Win7 透過群組原則禁用 USB 大容量儲存裝置（僅封鎖儲存，保留鍵鼠印表機）

企業資安或家長管控常需「禁用 USB 隨身碟/行動硬碟，但保留鍵盤、滑鼠、印表機等 HID/列印類裝置」。Windows 7 專業版/企業版/旗艦版內建的群組原則 (gpedit.msc) 可精準實現此需求，無需第三方軟體。本文提供完整設定步驟與驗證方法。

適用版本

• Windows 7 Professional / Enterprise / Ultimate
• Home Premium / Starter 版本無 gpedit.msc，需透過登錄對應鍵值設定（文末提供）。

設定步驟

1. Win+R → gpedit.msc → 確定，開啟「本機群組原則編輯器」。
2. 依序展開：
   使用者設定 → 系統管理範本 → 系統 → 可移動儲存體存取
3. 右側清單雙擊 「可移動磁碟：拒絕寫入權限」 或 「可移動磁碟：拒絕讀取權限」（建議兩者皆啟用，徹底封鎖存取）。
4. 選擇 「已啟用」 → 「確定」。
5. 關閉群組原則編輯器，執行 gpupdate /force 或重新登入生效。

驗證效果

• 插入 USB 隨身碟/行動硬碟 → 「我的電腦」出現磁碟機圖示，但雙擊提示「存取被拒絕」或無法讀取內容。
• USB 鍵盤、滑鼠、印表機、音效裝置、手機僅充電模式 → 完全正常運作。

Home 版對應登錄設定（無 gpedit.msc）

以系統管理員身分執行 CMD 或建立 .reg 檔匯入：

; 拒絕讀取可移動磁碟
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}" /v Deny_Read /t REG_DWORD /d 1 /f

; 拒絕寫入可移動磁碟
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}" /v Deny_Write /t REG_DWORD /d 1 /f

重開機生效。解除禁用將值改為 0 或刪除鍵值。

進階：僅允許特定 USB 裝置（白名單機制）

若需更精細控制（如只允許公司採購的特定加密隨身碟），需搭配：

• 「可移動磁碟：允許唯讀/讀寫」對應 VID/PID 白名單（需登錄 HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\ 下建立裝置 ID 子鍵）。
• 或部署 Microsoft AppLocker / SRP (軟體限制原則) 針對裝置類別限制。

常見問題

Q：設定後 USB 隨身碟仍可讀取？

A：確認執行 gpupdate /force，或重開機。檢查是否有更高優先順序的網域群組原則覆蓋（gpresult /h report.html 分析）。

Q：手機連接電腦無法傳檔？

A：MTP/PTP 協定不屬於「可移動磁碟」類別，不受此原則影響。若需封鎖手機儲存，請另行設定「WPD 裝置：拒絕讀取/寫入」。

Q：BitLocker To Go 加密隨身碟受影響？

A：受影響，解鎖後同樣無法讀寫。建議白名單機制排除授權裝置。