妙用群組原則讓 Windows 7 識別專屬 USB 隨身碟、拒絕陌生 USB 裝置

USB 隨身碟雖便利，卻是病毒傳播主力。Windows 7 透過群組原則可實現「白名單機制」：僅允許特定硬體 ID 的 USB 裝置掛載，自動拒絕所有其他 USB 儲存裝置，從源頭阻斷病毒入侵。

操作流程：兩階段六步驟

階段一：蒐集專屬 USB 硬體 ID

1. 插入專屬 USB 隨身碟，開啟「裝置管理員」 (Win+R → devmgmt.msc)。
2. 展開「磁碟機」→ 找到該隨身碟 → 右鍵「內容」→ 「詳細資料」→ 屬性選「硬體 ID」→ **複製第一行數值** (如 USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER...)。
3. 同樣展開「通用序列匯流排控制器」→ 「USB 大量儲存裝置」→ 同樣複製硬體 ID 第一行數值。

階段二：配置群組原則白名單

1. Win+R → gpedit.msc 開啟群組原則編輯器。
2. 路徑：電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制。
3. 啟用兩項設定：
   ① 「禁止安裝未由其他原則設定描述的裝置」 (預設允許全部，改為禁止)。
   ② 「允許安裝與下列裝置 ID 相符的裝置」 → 點擊「顯示」→ 將步驟 2-3 複製的兩組硬體 ID 各佔一行貼上。
4. 確定層層套用，插入非白名單 USB 測試 → 應無法辨識/掛載。

效果驗證

• 白名單 USB：正常讀寫、指派磁碟機代號。
• 非白名單 USB：裝置管理員顯示「未知裝置」或無反應，資源管理員不出現磁碟機。
• 系統重開機後規則持續生效。

適用場景與注意

• 企業/學校電腦室、個人機密資料電腦、共用電腦防毒。
• 需新增允許裝置時，只需在群組原則「顯示」清單追加硬體 ID，無需重開機。
• 僅限 Windows 7 Professional/Enterprise/Ultimate (家庭版無 gpedit.msc)。
• 此設定僅影響 USB 大量儲存裝置，不影響鍵盤、滑鼠、印表機等其他 USB 類別。

群組原則白名單機制，讓 Windows 7 擁有「認得自家 USB、拒絕陌生 USB」的智慧，以極低成本構建實體介面層級的防毒防線。