Vista 群組原則管控 USB 裝置安全：限制安裝、允許管理員覆蓋、封鎖可移動裝置

Vista 群組原則（gpedit.msc）提供精細的裝置安裝限制，可降低 USB 隨身碟帶來的資料外洩與惡意程式風險。

開啟群組原則物件編輯器

1. Win+R → mmc → 檔案→加入/移除管理單元→「群組原則物件」→「新增」→「完成」。
2. 導航：電腦設定→系統管理範本→系統→裝置安裝→裝置安裝限制。

關鍵設定項

1. 允許管理員覆蓋裝置安裝限制：啟用後，管理員仍可安裝新硬體，否則連管理員也被封鎖。
2. 防止安裝可移動裝置：啟用後，使用者無法安裝新的 USB/可移動裝置。已安裝裝置因驅動程式已存在可繼續使用，但無法更新驅動程式。

部署層級

• Vista 僅支援本機群組原則。
• Windows Server 2008 釋出後，可透過網域/站點/OU 層級集中部署。

其他替代方案缺點

• BIOS 關閉 USB：舊主機板不支援、影響合法 USB 掃描儀/印表機。
• 膠帶封住 USB 孔：勞力密集、不靈活、無法防 FireWire/DVD 攜資料。

群組原則提供集中、彈性、可稽核的 USB 管控，優於物理封鎖。