使用組策略禁止從「我的電腦」訪問指定磁盤驅動器

為保護服務器數據安全，防止普通用戶通過「我的電腦」或「資源管理器」隨意瀏覽、操作磁盤驅動器，可通過組策略「防止從『我的電腦』訪問驅動器」限制特定盤符的訪問。此策略同時阻斷「運行」對話框、命令提示符 dir、映射網絡驅動器等訪問路徑。

配置步驟

1. 按 Win+R 輸入 gpedit.msc 打開組策略編輯器。
2. 依次展開：用戶配置 → 管理模板 → Windows 組件 → Windows 資源管理器。
3. 在右側雙擊 「防止從『我的電腦』訪問驅動器」。
4. 選擇 「已啟用」。
5. 在「選擇下列組合之一」下拉框中選擇要限制的驅動器組合（如「僅限 C 驅動器」、「所有驅動器」、「A、B、C、D 驅動器」等），或選擇「限制所有驅動器」後手動輸入盤符。
6. 點擊「確定」保存。

圖1：打開組策略編輯器

圖2：啟用策略並選擇受限驅動器

策略生效範圍

啟用後，受影響用戶將無法通過以下方式訪問被限制的驅動器：

• 「我的電腦」/「此電腦」圖標雙擊
• Windows 資源管理器地址欄輸入路徑
• 「運行」對話框輸入 C:、D:\path
• 命令提示符下 cd /d C:、dir C:
• 映射網絡驅動器對話框瀏覽
• 應用程序的「打開/保存」文件對話框

豁免管理員/特定用戶

1. 建立安全組（如 G_DriveAccess_Allowed），加入需豁免的用戶。
2. 在組策略管理主控台 (GPMC) 中，對該 GPO 的「委派」頁面，給該組「讀取」權限但不給予「套用組策略」權限（或通過 WMI 過濾/安全性過濾排除）。
3. 或在「用戶配置」層級改為在「計算機配置」下配置同名策略（路徑：計算機配置→管理模板→Windows 組件→文件資源管理器），並通過安全性過濾僅套用到目標用戶/組。

注意：此策略不阻止具有管理員權限的用戶通過磁盤管理工具 (diskmgmt.msc)、diskpart、PowerShell 等底層工具操作磁盤。需結合「拒絕訪問磁盤管理工具」策略或最小權限原則綜合防護。