Windows 磁碟機鎖定術：群組原則一鍵隱藏指定磁碟，保護商務機密與隱私資料

筆電外出、共用電腦、客戶現場演示——**重要商務文件、客戶名單、財務報表、私密聊天記錄**若無保護，極易被順手複製、拍照、上傳。BitLocker 加密雖強，但解鎖後即全盤可讀；EFS 加密檔案級但操作繁瑣。Windows 內建**群組原則「防止從『我的電腦』存取磁碟機」**功能，可**針對特定磁碟機代號 (C:、D:、E:...)、光碟機、USB 隨身碟**，在檔案總管、「執行」對話框、命令列 dir、網路瀏覽器等所有介面層面**徹底隱藏與拒絕存取**，無需第三方軟體、無需加密解密等待、對效能零影響。本文詳細說明設定步驟、驗證方法、適用場景與繞過風險對策。

核心機制：Explorer.exe 殼層層面攔截

• 原理：群組原則向 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewOnDrive / NoDrives 寫入位元遮罩，Explorer 讀取後**不顯示、不允許開啟**對應磁碟機。
• 範圍：檔案總管、儲存/開啟對話框、Win+R D:、cmd dir D:、\\localhost\D$、IE/Edge file://D:/ 皆受限。
• **不影響**：系統服務、備份軟體、資料庫引擎、工作排程器等以 SYSTEM/服務帳號執行的後台程式存取該磁碟 (繞過 Explorer 殼層)。

設定步驟：三分鐘完成磁碟隱藏

1. Win+R → gpedit.msc (專業版/企業版/教育版) → Enter。
2. 依序展開：**使用者設定 → 系統管理範本 → Windows 元件 → 檔案總管**。
3. 右側雙擊 「防止從『我的電腦』存取磁碟機」 (Prevent access to drives from My Computer)。
4. 選擇 「已啟用」 → 下拉選單選擇限制範圍：

**建議：** 僅限制存放機密資料的特定磁碟 (如 僅限制 D 或 僅限制 E)，保留 C: 系統碟可見以確保系統正常運作、軟體安裝、暫存檔寫入。

5. 點擊「確定」→ 關閉群組原則編輯器。
6. **立即生效：** Win+R → gpupdate /force → 重新登入/重啟 `explorer.exe` (工作管理員 → 重新啟動)。

驗證效果

• 開啟「此電腦」/「我的電腦」→ 目標磁碟機圖示**消失**。
• 嘗試 Win+R 輸入 D: → 提示「此作業已被取消，因為有限制...」。
• cmd 執行 dir D: → 「拒絕存取」。
• 網路瀏覽器輸入 file://D:/ → 無法顯示。

進階：針對特定用戶/群組差異化管控

若需「管理員可見、一般用戶隱藏」：

1. 建立安全性群組 (如 DataAccessUsers) 將允許存取的用戶加入。
2. 群組原則編輯器 → 該原則 →「安全性」分頁 → 移除「已驗證的使用者」讀取/套用權限 → 新增 DataAccessUsers → 勾選「套用群組原則」允許、**拒絕「讀取」** (反向邏輯)。
3. 或使用 **WMI 篩選** 依據登入用戶/電腦屬性動態決定是否套用。

繞過風險與對策 (必讀)

適用場景對照

結語

群組原則磁碟隱藏是 **「零成本、零效能損失、秒級部署、介面層面全方位攔截」** 的資料保護利器。雖非鐵壁銅牆 (繞過手段存在)，但結合 **BitLocker 離線加密 + AppLocker 應用白名單 + 標準用戶權限 + 物理/BIOS 防護**，即可構建 **纵深防禦** 體系。對於不願購買昂貴 DLP/加密軟體、需快速落地資料保護的中小企業與個人進階用戶，這是**性價比最高的第一道防線**。下次攜帶筆電出門、借用電腦給同事，記得先 Win+R gpedit.msc，把機密盤「隱身」起來——安心，無價。