Win7 群組原則禁用 USB 儲存裝置：防止資料外洩與病毒傳播

企業或共用電腦環境常需禁用 USB 隨身碟、外接硬碟等大量儲存裝置，防止資料竊取或病毒入侵。透過 Active Directory 群組原則針對 usbstor.inf 設定權限，可精確封鎖 USB 大量儲存裝置，不影響鍵盤、滑鼠、印表機等其他 USB 裝置。

設定流程

1. 按 Win + R 輸入 dsa.msc 開啟「Active Directory 使用者與電腦」（需網域環境；單機版請用 gpedit.msc 本機群組原則）。
2. 右鍵目標 OU（組織單位）→「內容」→「群組原則」→「新建」→ 命名（如「禁用 USB」）→「編輯」。
3. 展開：
   電腦設定 → Windows 設定 → 安全性設定 → 檔案系統
4. 右鍵空白處 →「新增檔案」→ 輸入路徑 %SystemRoot%\Inf\usbstor.inf → 確定。

5. 「資料庫安全性設定」視窗：移除所有既有使用者/群組 →「新增」→ 輸入 Everyone → 確定。
6. 針對 Everyone，取消勾選「讀取與執行」、「列出資料夾內容」、「讀取」→ 勾選「拒絕：完整控制」→「套用」→「確定」。
7. 「新增物件」視窗保持預設 → 確定完成。

效果： 套用原則後，插入 USB 隨身碟將不會出現磁碟機代號，裝置管理員中 USBSTOR 服務無法啟動，達到物理封鎖效果。解除禁用時，將 Everyone 權限改回「允許：讀取與執行」即可。