Win7 透過群組原則禁止使用 USB 隨身碟（讀取權限）

企業或共用電腦環境需防止資料外洩，可透過 Windows 7 專業版/企業版/旗艦版內建的「本機群組原則編輯器」設定「可移動磁碟：拒絕讀取權限」，徹底禁止使用者存取 USB 隨身碟、外接硬碟等可移動儲存裝置。

操作步驟

1. 按 Win+R 輸入 gpedit.msc 開啟本機群組原則編輯器。
2. 依序展開：
   使用者設定 → 系統管理範本 → 系統 → 可移動儲存裝置存取
3. 在右側清單找到 「可移動磁碟：拒絕讀取權限」，雙擊開啟。
4. 選擇 「已啟用」 → 「確定」。

生效驗證

1. 插入 USB 隨身碟，嘗試在「電腦」中開啟。
2. 系統將彈出 「存取被拒絕」 或 「您沒有權限存取此裝置」 對話框，無法讀取任何檔案。

相關擴充設定（同目錄下）

• 可移動磁碟：拒絕寫入權限：禁止寫入，但允許讀取（唯讀模式）。
• 可移動磁碟：拒絕執行權限：禁止直接從隨身碟執行 .exe 程式，防止惡意程式傳播。
• 所有可移動儲存裝置：拒絕讀取/寫入/執行權限：涵蓋 USB、IEEE 1394、CardBus 等所有可移動裝置類別。

注意事項

• 僅支援 Win7 專業版/企業版/旗艦版。家用版/家用基本版無 gpedit.msc，需改用登錄檔對應機碼：
  HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b} 新增 DWORD Deny_Read = 1。
• 設定為「使用者設定」下，僅對目前登入使用者生效。若需對所有使用者生效，請在「電腦設定」下對應路徑設定。
• 管理員帳號同樣受限，若需管理員例外，請在「電腦設定」層級設定或使用 WMI 篩選器排除管理員群組。
• 解除限制：將原則改回「未設定」或「已停用」→ 重新登入或執行 gpupdate /force 即時生效。

一條群組原則，即可在 Win7 專業版以上版本徹底封鎖 USB 隨身碟讀取，落實資料防洩管理。