Win7如何禁止USB隨身碟/行動硬碟讀取？群組原則禁用可移動儲存存取教學

為保護機密資料防外洩、防止病毒透過 USB 裝置傳播，企業/個人需禁止電腦讀取 USB 隨身碟、行動硬碟、SD 卡等可移動儲存裝置，但保留滑鼠、鍵盤、印表機等 USB 介面裝置正常運作。Windows 7 群組原則可精準實現此需求。

設定步驟（Win7 專業版/企業版/旗艦版）

1. Win+R → gpedit.msc 開啟「本地群組原則編輯器」。
2. 依序展開：
   使用者設定 → 管理範本 → 系統 → 可移動儲存體存取。
3. 右側清單找到以下項目，逐一雙擊 → 選「已啟用」 → 確定：
   🔹 可移動磁碟：拒絕執行存取
   🔹 可移動磁碟：拒絕讀取存取
   🔹 可移動磁碟：拒絕寫入存取
   （建議三項全啟用，徹底禁用存取）
4. 關閉群組原則編輯器，Win+R → gpupdate /force 強制重新套用，或重新登入/重開機。

驗證與例外

• 驗證： 插入 USB 隨身碟，「我的電腦」不顯示磁碟機代號；嘗試在總管輸入路徑（如 E:\）提示「拒絕存取」。
• 不影響： USB 滑鼠、鍵盤、印表機、掃描儀、手機（MTP/PTP 模式）、USB 網卡、USB 音效卡等非「可移動磁碟」類別裝置。
• 例外需求： 若特定 USB 裝置需允許，可在「可移動儲存體存取」中設定「所有可移動儲存體類別：允許/拒絕」搭配裝置 ID 白名單（進階，需註冊表/驅動程式層面配合）。

家用版替代方案

Win7 家用版無 gpedit.msc，可用註冊表對應鍵值：
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
建立 DWORD Deny_Execute、Deny_Read、Deny_Write = 1。

設定生效後，USB 儲存裝置徹底無法存取，資料外洩風險大幅降低。