Vista 限制 USB 儲存裝置存取：僅允許指定隨身碟，封鎖其餘裝置

隨身碟普及讓資料外洩風險大增。Vista 透過群組原則搭配硬體 ID 識別，可實現「僅信任特定 USB 裝置、拒絕其餘所有儲存裝置」的精細管控。

前置作業：取得目標裝置的硬體 ID

1. 將信任的隨身碟插入電腦，確認可正常讀寫；
2. 「控制台」→「裝置管理員」→ 展開「可攜式裝置」，右鍵該隨身碟選「內容」；
3. 「詳細資料」分頁 → 屬性下拉選「硬體 ID」 → 複製第一組數值（如 USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER...）備份；
4. 同樣方法展開「通用序列匯流排控制器」→「USB 大量儲存裝置」→ 取得其硬體 ID 備份。

群組原則設定：禁止未授權裝置安裝

1. Win+R 輸入 gpedit.msc 開啟群組原則編輯器；
2. 依序展開：
   「電腦設定」→「管理範本」→「系統」→「裝置安裝」→「裝置安裝限制」；
3. 雙擊右側「防止安裝未由其他原則設定描述的裝置」→ 選「已啟用」→「確定」。

後續補充：白名單機制

上述設定僅阻擋「未被其他原則描述」的裝置。要真正實現白名單，需進一步設定「允許安裝符合這些裝置安裝類別的裝置」並匯入目標裝置的 GUID，或使用「防止安裝符合這些裝置 ID 的裝置」搭配硬體 ID 建立黑名單。註：家庭版無群組原則編輯器，需升級專業/旗艦版或使用登錄檔手動修改對應鍵值。

注意事項

• 並非所有 USB 裝置都能在「可攜式裝置」下找到硬體 ID，若找不到請嘗試在「磁碟機」分類下查找；
• 設定生效後，非白名單隨身碟插入將提示「裝置驅動程式未安裝」且無法在檔案總管顯示；
• 建議先在測試機驗證再部署至生產環境，避免誤封鎖合法裝置。

透過硬體 ID 綁定與群組原則雙重機制，Vista 可構建企業級 USB 存取管控，有效防範資料外洩。