透過簡單的批次檔與群組原則設定，您可以將一支 USB 隨身碟變成電腦的「實體開機金鑰」：插上才能開機、拔除則自動關機。這對提升實體電腦存取安全性非常有效。本文提供完整製作步驟與原理解析。
製作「USB 開機金鑰」完整步驟
步驟 1：準備 USB 隨身碟並建立識別檔案
- 將 USB 隨身碟插入電腦，記下磁碟機代號 (假設為 G:)。
- 在 USB 根目錄空白處按右鍵 → 「新增」→「文字文件」，命名為
123.kkk (檔名與副檔名可自訂，但需與後續批次檔一致)。
步驟 2：建立檢查批次檔
- 在桌面建立新文字文件，貼入以下程式碼：
@echo off
if not exist G:\123.kkk shutdown -s -t 5 -c "您沒有啟動金鑰，禁止登入系統"
注意：若您的 USB 磁碟機代號非 G:，請將程式碼中的 G: 修改為實際代號 (如 H:)。
- 另存為
USB_Key_Check.bat (儲存類型選「所有檔案」)。
步驟 3：透過群組原則設定開機腳本
- 按 Win + R 輸入
gpedit.msc 開啟本機群組原則編輯器 (Windows 家用版無此功能，可用 第三方啟用工具 或改用「工作排程器」設定「啟動時」觸發)。
- 依序展開：本機電腦原則 → 電腦設定 → Windows 設定 → 指令碼 (啟動/關機)。
- 右側雙擊 「啟動」 → 「新增」 → 瀏覽選取剛建立的
USB_Key_Check.bat → 確定兩次。
運作原理與效果
- 電腦開機進入 Windows 核心載入階段 → 執行群組原則「啟動」腳本。
- 批次檔檢查
G:\123.kkk 是否存在：
- 存在 → 檢查通過，繼續正常開機流程。
- 不存在 → 執行
shutdown -s -t 5，5 秒後強制關機，畫面顯示「您沒有啟動金鑰，禁止登入系統」。
重要注意事項與應變方案
- USB 遺失/損壞怎麼辦？：準備一支備用 USB，依相同步驟建立同名識別檔案 (
123.kkk)，即可繼續開機。
- 識別檔案被誤刪怎麼辦？：同樣在 USB 根目錄重新建立同名空檔案即可恢復。
- 磁碟機代號變更怎麼辦？：批次檔寫死磁碟機代號，若系統指派不同代號會誤判。建議在「磁碟管理」將 USB 固定指派特定代號 (如 G: 或 Z:)。
- 家用版無 gpedit.msc：改用「工作排程器」→ 建立基本工作 → 觸發條件選「啟動時」→ 動作選「啟動程式」→ 瀏覽選取 .bat 檔 → 完成。需勾選「使用最高權限執行」。
- 安全性限制：此法屬「軟體層面防護」，無法防禦 PE 開機、Linux Live USB、硬體層面繞過。建議搭配 BIOS/UEFI 密碼、BitLocker 磁碟加密使用。
進階強化：加入 USB 序號驗證 (防止同名檔案複製繞過)
批次檔可改用 wmic diskdrive get serialnumber 或 vol G: 取得磁碟區序號進行比對，僅允許特定實體 USB 開機，大幅提升安全性。有興趣者可自行研究 WMI 查詢語法。
這個低成本、高效果的「實體金鑰」方案，非常適合個人電腦、辦公室獨立工作站的實體存取控制。動手試做，給電腦加把鎖！
