Windows 7 設定僅允許指定 USB 隨身碟讀取 群組原則實現 USB 白名單

擔心他人隨身碟帶入病毒、竊取資料？Windows 7 透過群組原則可實作「USB 白名單」：僅允許已登錄硬體 ID 的隨身碟被系統識別掛載，其他裝置一律拒絕。

前置作業：取得自家隨身碟的硬體 ID

1. 插入自用隨身碟，確認正常可讀寫。
2. 右鍵「電腦」→「管理」→「裝置管理員」。
3. 展開 「可攜式裝置」，右鍵您的隨身碟 → 「內容」 → 「詳細資料」標籤 → 屬性選 「硬體 ID」 → 複製第一組值（如 USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER...）。
4. 同樣在 「通用序列匯流排控制器」 下找到 「USB 大量儲存裝置」，同法取得硬體 ID 備份。

設定群組原則限制裝置安裝

1. 按 Win+R → 輸入 gpedit.msc → Enter。
2. 依序展開：
   電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制
3. 雙擊右側 「防止安裝未由其他原則設定描述的裝置」。
4. 選擇 「已啟用」 → 「確定」。

後續：將白名單裝置 ID 加入允許清單

上述步驟會封鎖**所有**未明確允許的 USB 裝置。需進一步在 裝置安裝限制 下配置「允許安裝符合這些裝置安裝類別的裝置」或「允許安裝符合這些裝置 ID 的裝置」，將剛才備份的硬體 ID 加入。詳細步驤較繁瑣，建議參考微軟官方文件「使用群組原則控制 USB 裝置存取」。

效果驗證

• 自用隨身碟：插入 → 正常掛載、讀寫。
• 他人隨身碟：插入 → 裝置管理員顯示錯誤代碼、磁碟機代號不出現、無法存取資料。

適用範圍與注意

• 僅限 Windows 7 專業版/企業版/旗艦版（家用版無 gpedit.msc）。
• 設定生效後需重新開機或重新插拔裝置。
• 同樣邏輯適用於 Windows 8/10/11，介面路徑略有不同。
• 此法僅阻擋儲存裝置，鍵盤、滑鼠、印表機等 HID 裝置不受影響。

建立 USB 白名單，從源頭杜絕不明裝置存取風險。