Windows 磁碟存取控制實戰：群組原則鎖定磁碟機保護隱私資料

商務筆電、共用電腦常面臨「不想讓他人看到特定磁碟機資料」的需求。Windows 群組原則提供「防止從『我的電腦』存取磁碟機」設定，無需第三方加密軟體即可實現磁碟機層級的存取阻擋。本文詳細說明設定步驟、生效範圍、繞過風險與進階替代方案。

設定步驟（Windows Pro/Enterprise/Education 版）

1. Win+R → gpedit.msc 開啟本機群組原則編輯器。
2. 依序展開：
   使用者設定 → 系統管理範本 → Windows 元件 → 檔案總管
3. 雙擊 「防止從『我的電腦』存取磁碟機」。
4. 選擇 「已啟用」 → 下拉選單選取欲限制的磁碟機（如「僅限制 C 槽」、「限制所有磁碟機」或特定組合）。
5. 按「確定」/「套用」。
6. 立即生效：Win+R → gpupdate /force 或重新登入。

生效範圍與驗證

• 檔案總管點擊被限制磁碟機 → 提示：「這次作業因電腦限制而被取消。請連絡系統管理員。」
• 同步阻擋：執行 對話框、cmd/powershell dir X:、網路瀏覽器 file:///X:/、捷徑、啟動項、ShellExecute 呼叫均無法存取。
• 不影響：系統開機、分頁檔、系統服務、備份軟體（以 SYSTEM 權限執行）、BitLocker 解鎖。

繞過風險與對策

進階替代方案：按需選擇

1. BitLocker（推薦）：硬體級加密，OS 層面透明，防竊機/離線攻擊，支援 TPM+PIN/USB Key 多因子解鎖。
2. EFS (加密檔案系統)：檔案/資料夾級加密，僅授權使用者可讀，適合多用戶共用電腦。
3. 第三方容器加密：VeraCrypt (開源)、BitLocker To Go (隨身碟)、Boxcryptor (雲端同步加密)。
4. 磁碟管理隱藏磁碟機代號：右鍵磁碟機 → 變更磁碟機代號與路徑 → 移除代號。僅隱藏視覺，不阻擋存取，安全性極低。
5. 儲存空間/ReFS + 存取控制清單 (ACL)：企業級檔案伺服器場景，精細權限控制。

最佳實務建議

• 分層防護：群組原則阻擋誤觸/一般使用者 + BitLocker 防物理存取 + ACL 精細權限 + 定期備份。
• 最小權限原則：日常使用標準帳號，管理任務臨時提權 (UAC/Runas)。
• 文件分類與標籤：Azure Information Protection (AIP) 標籤機密文件，配合 DLP 防外洩。

群組原則鎖定磁碟機是「誠實者的鎖」，適合防止無心誤觸與一般使用者好奇。真正的資料機密保護，必須以加密為核心，配合身分驗證與裝置管理構建纏深防線。

• 上一篇文章： Microsoft Forefront 安全產品家族全景解析：架構特性與企業部署策略
• 下一篇文章： Windows 平台六大免費備份軟體深度評測與推薦

XP 系統應用技巧

WinXP 玩英雄聯盟提示 DirectX 錯誤？真兇是顯卡驅動「太新」

四步驟快速診斷並解決 Windows 藍畫面死機問題

WinXP 寬帶連線錯誤 769「無法連線到指定目標」？網卡被停用、驅動異常、硬體故障三大成因與啟用網卡圖解