Win7 透過群組原則限制 USB 隨身碟：僅允許指定裝置、禁止其他儲存裝置

資安需求下，企業或個人常需管控 USB 介面：既要保留自家備份隨身碟可用，又要封鎖不明裝置防止資料外洩。Win7 專業版以上可用「群組原則」+「裝置硬體 ID 白名單」精準達陣。

核心流程

1. 收集白名單硬體 ID：
   • 插入允許使用的隨身碟 → 「裝置管理員」→「可攜式裝置」/「通用序列匯流排控制器」→ 右鍵屬性 →「詳細資料」→ 屬性選「硬體 ID」→ 複製第一組值（如 USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER...）。
   • 同法取得「USB 大量儲存裝置」的硬體 ID 備用。
2. 啟用限制原則： Win+R 輸入 gpedit.msc → 「電腦設定」→「系統管理範本」→「系統」→「裝置安裝」→「裝置安裝限制」→ 雙擊「防止安裝未由其他原則設定描述的裝置」→「已啟用」。
3. 加入白名單例外：同層找到「允許安裝符合下列裝置安裝類別的裝置」或「允許安裝符合下列裝置 ID 的裝置」，將剛複製的硬體 ID 加入。
4. 生效：命令提示字元執行 gpupdate /force 或重開機。

進階補充：① 家用版無 gpedit.msc，可改用註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR 將 Start 改為 4（禁用），再配合授權機制；② 若需暫時解禁，將原則改回「未設定」並 gpupdate 即可；③ 建議搭配 BitLocker To Go 加密自家隨身碟，雙重防護。