Win7 組策略進階：僅允許指定 USB 存儲設備，阻止陌生 U 盤

U 盤雖便利，卻帶來病毒傳播、數據竊取等風險。Windows 7 專業版/企業版可透過組策略，限制僅允許已授權的 USB 存儲設備安裝驅動，從而阻止未知 U 盤使用。

原理與前置條件

• 策略通過「禁止安裝未由策略描述的設備」+「允許安裝匹配特定硬體 ID 的設備」實現白名單機制。
• 已在電腦上使用過的設備，需先在「裝置管理員」卸載其驅動，再插入時即會被阻攔。
• 操作前請備份重要資料，謹慎操作。

步驟一：獲取授權設備的硬體 ID

1. 插入你的 U 盤/移動硬碟，確保正常識別。
2. 打開「裝置管理員」（控制面板或右鍵「電腦」→管理），展開「磁碟機」，右鍵你的 U 盤 →「屬性」→「詳細資料」標籤，屬性選「硬體 ID」，複製第一行字串（如 USBSTOR\DISK&VEN_...）。



3. 同樣展開「通用序列匯流排控制器」，找到「USB 大量儲存裝置」，同樣複製其硬體 ID。建議將所有常用移動設備的 ID 記錄備份。

步驟二：配置組策略

1. 運行 gpedit.msc 開啟本地組策略編輯器。





2. 依次展開：
   電腦配置 → 管理範本 → 系統 → 裝置安裝 → 裝置安裝限制
3. （關鍵）啟用「禁止安裝未由其他策略設置描述的設備」，選「已啟用」。
4. 啟用「允許安裝與下列裝置 ID 相符的設備」，選「已啟用」，點擊「顯示」，將剛才複製的硬體 ID 逐行添加進去。

注意： 必須先啟用第 3 項，第 4 項白名單才會生效。

效果與後續管理

設定成功無需重啟。插入未授權 U 盤時，驅動安裝過程中會彈出阻擋提示。

需添加新授權設備時：將「禁止安裝...」暫設為「未配置」或「已停用」，插入新設備讓驅動安裝完成，獲取其硬體 ID 加入白名單，再重新啟用「禁止安裝...」。

風險提示： 組策略修改 MBR 等底層設置有風險，操作前請三思。