Win7 群組原則限制僅允許特定 USB 隨身碟：硬體 ID 白名單機制

企業/個人資安需求：僅允許授權的 USB 隨身碟存取電腦，拒絕所有其他 USB 儲存裝置。Windows 7 群組原則提供「裝置安裝限制」功能，配合硬體 ID 白名單，零成本實現強管制。

核心邏輯

1. 「禁止安裝未由其他原則描述的裝置」→ **預設拒絕所有裝置**。
2. 「允許安裝符合下列裝置 ID 的裝置」→ **白名單例外**，填入授權裝置的硬體 ID。

操作步驟

第一階段：取得授權 USB 硬體 ID

1. 插入授權 USB 隨身碟。
2. 裝置管理員 →「磁碟機」→ 找到該 USB → 右鍵「內容」→「詳細資料」→ 屬性選 「硬體 ID」 → 複製**第一組**值（如 USBSTOR\Disk&Ven_Kingston&Prod_DataTraveler_3.0&Rev_1.00）。
3. 同樣在「通用序列匯流排控制器」→「USB 大量儲存裝置」→ 內容 → 詳細資料 → 硬體 ID → 複製第一組值。

第二階段：設定群組原則

1. Win + R → gpedit.msc。
2. 依序展開：
   電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制
3. 雙擊 「禁止安裝未由其他原則設定描述的裝置」 →「已啟用」。
4. 雙擊 「允許安裝符合下列裝置 ID 的裝置」 →「已啟用」→「顯示」→ 將剛複製的兩組硬體 ID 逐行貼上。
5. 確定層層套用，原則即時生效（無需重開機）。

驗證與效果

• 插入授權 USB → 正常讀寫、指派磁碟代號。
• 插入非授權 USB → 裝置管理員顯示黃色驚嘆號，「裝置驅動程式未安裝」，無磁碟代號，完全無法存取。

進階補充

• 同樣可限制：印表機、攝影機、藍牙裝置、無線網卡等任何裝置類別。
• 若需允同品牌/型號所有裝置，可使用通用硬體 ID（如 USBSTOR\Disk&Ven_Kingston*），但建議精確到序號級別。
• 原則位於 HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions，可透過登錄檔批次部署。

⚠️ 緊急解除

若誤鎖自己的 USB：安全模式開機 → gpedit.msc → 將「禁止安裝...」設為「未設定」或「已停用」→ 重開機恢復。