用 USB 隨身碟當實體鑰匙：插上才能開機，拔走自動關機

想給電腦加把「實體鎖」？利用 Windows 群組原則的「啟動指令碼」配合簡單批次檔，即可實現「插入特定 USB 隨身碟才能開機，否則 10 秒倒數關機」的防盜機制。本文詳細說明設定步驟與遺失隨身碟時的緊急解鎖方法。

核心原理

在群組原則「電腦設定 → Windows 設定 → 指令碼（啟動/關機） → 啟動」中加入批次檔，開機時檢查指定隨身碟是否存在特定檔案，不存在則執行 shutdown -s -t 10 -c "訊息" 強制關機。

設定步驟

1. 確認隨身碟磁碟代號並建立識別檔

• 插入隨身碟，記下磁碟代號（假設為 I:）。
• 在隨身碟根目錄建立任意檔案，例如 123.lj（檔名、副檔名自訂）。

2. 建立啟動批次檔

用記事本建立 usb_check.bat，內容如下（請將 I: 改為實際代號）：

@echo off
if not exist I:\123.lj shutdown -s -t 10 -c "未偵測到授權 USB 隨身碟，系統將在 10 秒後關機"

儲存至本機固定路徑（如 C:\Scripts\usb_check.bat）。

3. 匯入群組原則啟動指令碼

1. 執行 gpedit.msc 開啟「本機群組原則編輯器」。
2. 依序展開：「電腦設定」→「Windows 設定」→「指令碼（啟動/關機）」→「啟動」。
3. 點擊「新增」→「瀏覽」選取 usb_check.bat → 確定套用。

效果驗證

• 插入隨身碟開機： 正常進入桌面。
• 未插入隨身碟開機： 出現倒數 10 秒關機提示，時間到自動關機。

緊急解鎖方案（隨身碟遺失/損壞時）

1. 關機倒數期間： 快速按 Win+R 輸入 shutdown -a 取消關機。
2. 已關機/無法操作： 進入「安全模式」（開機按 F8 選擇），安全模式不會載入啟動指令碼，登入後刪除群組原則中的該啟動指令碼或移除批次檔。

安全性提醒

• 此法屬「物理存取控制」輔助手段，無法防禦離線攻擊（如啟動 PE、Linux Live USB 竊取硬碟資料）。
• 建議搭配 BIOS/UEFI 密碼、BitLocker 全碟加密共同使用。
• 批次檔路徑勿放在可被一般使用者修改的位置，防止被竄改繞過檢查。

這招「USB 實體鑰匙」成本極低、設定簡單，適合個人電腦、辦公室專用機等場景，讓未經授權者無法輕易啟動系統。