Win7 群組原則封鎖非授權 USB 裝置：硬體 ID 白名單完整實作

本文詳細說明如何在 Windows 7 利用群組原則搭配裝置硬體 ID，建立 USB 儲存裝置白名單機制，僅允許特定隨身碟/外接硬碟存取，有效防止資料外洩與惡意程式透過 USB 傳播。

核心步驟概覽

1. 取得硬體 ID：裝置管理員 → 「磁碟機」與「通用序列匯流排控制器」下的目標裝置 → 內容 → 詳細資料 → 硬體 ID → 複製字串。
2. 開啟群組原則：Win+R → gpedit.msc → 電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
3. 啟用限制原則：
   • 「禁止安裝未由其他原則設定描述的裝置」→ 已啟用。
   • 「允許安裝符合下列裝置 ID 的裝置」→ 已啟用 → 顯示 → 貼上步驟 1 複製的硬體 ID。

4. 驗證效果：插入非白名單裝置，驅動安裝階段會被阻擋並提示錯誤。

後續管理

需新增信任裝置時：將「禁止安裝...」暫設為「未設定」→ 插入新裝置 → 取得硬體 ID 加入允許清單 → 恢復「禁止安裝...」為「已啟用」。

⚠ 群組原則修改即時生效，請謹慎操作並先備份重要資料。