Windows Server 2008 域環境群組原則實戰兩例：USB 裝置管控與預設策略部署

Windows Server 2008 強化的群組原則功能，讓企業能在域層級集中管控所有客戶端（含 Vista 與非 Vista 系統）的可移動儲存裝置存取權限。本文透過兩個實戰案例，示範如何快速落地「預設拒絕、管理員例外」的 USB 管控策略。

案例一：透過預設域策略封鎖一般使用者讀寫 USB 裝置

1. 在域控制器 (DC) 開啟「群組原則管理」 (gpmc.msc)
2. 展開目標域 (如 fr.zhongtian.com) → 右鍵「Default Domain Policy」 → 選擇「編輯」
3. 依序展開：電腦設定 → 管理範本 → 系統 → 可移動儲存體存取
4. 啟用下列兩項原則：
   • 可移動磁碟：拒絕讀取權限
   • 可移動磁碟：拒絕寫入權限
5. 於客戶端或 DC 執行 gpupdate /force 強制生效

設定完成後，預設僅有域管理員具備 USB 讀寫權限，一般使用者插入隨身碟、外接硬碟、光碟機皆會彈出「存取被拒」視窗，點選「略過」需輸入具權限帳號密碼才能繼續。

圖 1：於群組原則管理編輯器中啟用 USB 讀寫拒絕原則

圖 2：一般使用者嘗試存取 USB 裝置遭拒絕

案例二：進階應用——針對特定 OU 或群組放寬權限（略）

實務上可建立獨立 GPO 連結至特定 OU，配合安全性篩選針對「IT 人員群組」或「高階主管」設定「允許讀寫」，實現角色基礎存取控制 (RBAC)，兼顧安全與彈性。

透過域層級群組原則，企業無需部署第三方端點管控軟體，即可低成本落實 USB 裝置資安管控，符合資料外洩防護 (DLP) 基礎需求。