Win7 透過群組原則禁用 USB 儲存裝置防止資料外洩

企業或個人需求下，可透過群組原則編輯器 gpedit.msc 針對 usbstor.inf 設定「拒絕完全控制」權限，從系統層面禁止 USB 隨身碟/行動硬碟讀寫，而不影響鍵盤滑鼠等 HID 裝置。

設定步驟（專業版/旗艦版/企業版）

步驟 1：開啟群組原則編輯器

Win + R → gpedit.msc → Enter。

步驟 2：導航至檔案系統原則

依序展開：電腦設定 → Windows 設定 → 安全性設定 → 檔案系統。

步驟 3：新增 usbstor.inf 檔案原則

右鍵「檔案系統」→「新增檔案」→ 輸入路徑：%SystemRoot%\Inf\usbstor.inf → 確定。

步驟 4：設定權限為拒絕存取

1. 在「usbstor.inf 安全性」視窗中，移除所有現有群組/使用者。
2. 點擊「新增」→ 輸入 Everyone → 確定。
3. 在 Everyone 權限中，取消勾選「讀取及執行」、「列出資料夾內容」、「讀取」的「允許」。
4. 勾選「完全控制」的 「拒絕」 → 確定套用。

步驟 5：確認繼承設定

彈出「新增物件」視窗保持預設（設定此資料夾、子資料夾和檔案）確定即可。

效果與解除

• 設定生效後，插入 USB 大容量儲存裝置將在裝置管理員顯示「存取被拒」，檔案總管不顯示磁碟機代號。
• 需解除禁用時，回到此原則將 Everyone「拒絕完全控制」移除或改為「允許」即可。
• 注意： 家用版無 gpedit.msc，可用註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR 將 Start 改為 4（禁用）達成類似效果。