Win7 純淨版 32 位網域環境禁用 USB 儲存裝置？群組原則 + 登錄雙重封鎖

場景：企業網域環境，禁止員工使用 USB 隨身碟/行動硬碟洩密

方法一：群組原則針對 usbstor.inf 拒絕權限（適用未曾插過 USB 的電腦）

1. 開啟「Active Directory 使用者與電腦」→ 右鍵目標 OU → 「群組原則」→ 新建/編輯 GPO。
2. 展開：電腦設定 → Windows 設定 → 安全性設定 → 檔案系統。
3. 右鍵「新增檔案」→ 輸入 %systemroot%\inf\usbstor.inf → 確定。

4. 「資料庫安全性設定」→ 移除所有使用者/群組 → 「新增」→ 輸入 Everyone → 移除預設「讀取和執行/列出資料夾內容/讀取」→ 「新增」→ 勾選「拒絕」→「完全控制」→ 套用/確定。
5. 同樣對 %systemroot%\inf\usbstor.pnf 重複上述步驟。
6. 關閉 GPO 編輯器 → 客戶端執行 gpupdate /force 強制重新整理。

方法二：登錄修改 UsbStor Start 值為 4（適用已插過 USB、方法一失效的電腦）

1. Win+R → regedit。
2. 定位：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor。
3. 右側 Start 雙擊 → 數值資料改 4（預設 3=手動，2=自動，4=停用） → 確定 → 重開機。

部署建議

網域環境建議將方法二封裝為啟動腳本 / GPO 登錄項目統一下發，確保全域生效。並配合 BIOS 關閉 USB 埠、機箱物理鎖定、端點管控軟體 (DLP) 多層防護。