USB 金鑰開機鎖：插入專屬隨身碟才能啟動電腦，否則自動關機

利用群組原則「啟動指令碼」搭配批次檔偵測特定隨身碟檔案，實作低成本實體金鑰開機鎖。適合防止他人未經授權開機使用。

實作步驟

1. 插入隨身碟，記下盤符（假設為 G:）。
2. 隨身碟根目錄建立唯一識別檔（檔名任意，如 mykey.lock）。
3. 本機建立批次檔 C:\Scripts\usb_lock.bat 內容：

@echo off
if not exist G:\mykey.lock (
    shutdown -s -t 10 -c "未偵測到授權金鑰，系統將在 10 秒後關機"
)

4. gpedit.msc → 電腦設定 → Windows 設定 → 指令碼（啟動/關機） → 「啟動」 → 加入 C:\Scripts\usb_lock.bat。
5. 重開機測試：插入隨身碟 → 正常進入系統；拔除隨身碟 → 10 秒倒數關機。

緊急解鎖（隨身碟遺失時）

• 關機倒數期間：Win+R → shutdown -a 取消關機。
• 進入安全模式（不載入啟動指令碼） → 刪除群組原則中的啟動指令碼或批次檔。
• 或使用 Windows PE / 安裝光碟修復模式離線編輯登錄檔 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\State\Machine\Scripts\Startup 移除指令碼參考。

安全性補充

• 批次檔易被竄改，建議改用編譯後的 EXE（AutoIt/PowerShell 編譯）或簽署指令碼並設定「僅執行已簽署指令碼」。
• 隨身碟檔案應具唯一性（如 UUID），避免同檔名被複製繞過。
• 此為「物理存取控制」輔助手段，無法防禦離線破解（啟動光碟、PE、硬碟拆卸），重要資料仍需加密（BitLocker/VeraCrypt）。

低成本、易部署，適合個人電腦、共用工作站的基本物理存取控制。