Win7 設定僅允許特定 USB 隨身碟存取 透過硬體 ID 與群組原則實現

為防止不明 USB 裝置帶入病毒或洩露資料，Windows 7 可透過「裝置管理器」取得自有 USB 隨身碟的硬體 ID，再配合群組原則「防止安裝未由其他原則設定描述的裝置」，實現白名單機制：僅允許登錄過的 USB 隨身碟被系統辨識與存取。本文提供完整操作流程。

操作步驟

步驟 1：取得自有 USB 隨身碟的硬體 ID

1. 將自用 USB 隨身碟插入電腦，確認可正常存取。
2. 開啟「裝置管理器」（控制台 → 系統管理工具 → 電腦管理 → 裝置管理器）。
3. 展開「可攜式裝置」，右鍵點選該 USB 裝置 → 「內容」 → 「詳細資料」分頁 → 屬性選「硬體 ID」 → 複製第一組值（如 USBSTOR\DISK&VEN_XXX&PROD_XXX&REV_1.00）。

步驟 2：取得 USB 大量儲存裝置的硬體 ID

在裝置管理器展開「通用序列匯流排控制器」，找到「USB 大量儲存裝置」，同樣取得其硬體 ID 複製備份。

步驟 3：設定群組原則限制裝置安裝

1. 按 Win+R 輸入 gpedit.msc 開啟群組原則編輯器。
2. 依路徑展開：電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
3. 雙擊「防止安裝未由其他原則設定描述的裝置」，選「已啟用」 → 「確定」。

步驟 4：建立允許安裝的裝置原則（白名單）

在同一層級找到「允許安裝符合下列裝置設定 ID 的裝置」，啟用並點擊「顯示」，將步驟 1、2 取得的硬體 ID 逐行加入。確定後重新開機或執行 gpupdate /force 套用。

結果：僅列表內的 USB 裝置可被系統辨識並掛載，其他所有 USB 儲存裝置（含手機、外接硬碟）將被阻擋。此設定在系統升級後依然有效。

提醒：Windows 7 家用版需透過登錄檔對應機碼設定，或升級至專業版以上使用群組原則。