Win7 透過群組原則封鎖未授權 USB 隨身碟啟動，保護資料安全

企業或個人為防止資料外洩，常需限制只有特定 USB 裝置能在電腦上使用。Windows 7 內建的群組原則搭配裝置硬體 ID，即可精準實現「白名單」管控。本文詳述完整設定流程。

前置作業：取得裝置硬體 ID

1. 將允許使用的 USB 隨身碟插入電腦，開啟「控制台」→「裝置管理員」。
2. 展開「磁碟機」，右鍵點選目標隨身碟 →「內容」→「詳細資料」索引標籤 → 屬性選「硬體 ID」→ 複製第一組字串（如 USBSTOR\DiskKingstonDataTraveler_3.0）。
3. 同樣展開「通用序列匯流排控制器」，找到「USB 大容量儲存裝置」，同樣方式複製其硬體 ID。

設定群組原則限制裝置安裝

4. 按 Win+R 輸入 gpedit.msc 開啟群組原則編輯器。
5. 依序展開：電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
6. 啟用「禁止安裝未由其他原則設定描述的裝置」。
7. 啟用「允許安裝符合下列裝置 ID 的裝置」，點擊「顯示」，將步驟 2-3 複製的硬體 ID 逐行貼上。

驗證與後續管理

設定完成無需重啟。插入非白名單隨身碟時，系統會在安裝驅動程式階段彈出「找不到驅動程式」提示，裝置無法使用。

新增信任裝置時：將「禁止安裝...」改為「未設定」或「已停用」，插入新裝置後再將其硬體 ID 加入允許清單，最後恢復原設定。

⚠ 操作涉及系統核心設定，請先備份重要資料，謹慎執行。