Vista 群組原則管控 USB 裝置：限制可移動儲存、允許特定裝置 ID、平衡安全與業務需求的企業級方案

USB 隨身碟、外接硬碟體積小、容量大、即插即用，既是資料攜帶利器，也是企業資安最大漏洞：員工可輕易帶走 4GB+ 機密資料、帶入惡意程式、繞過防火牆傳輸資料。單純在 BIOS 關閉 USB 埠或貼膠帶過於粗暴，會阻擋合法業務（如掃描儀、授權金鑰、列印機）。Windows Vista/Server 2008 引入「裝置安裝限制」群組原則，可精細管控：禁止安裝可移動裝置、允許管理員覆蓋、依裝置 ID 白名單放行特定 USB，實現「安全不犧牲業務」的精準管控。

群組原則核心設定路徑

本機群組原則編輯器（Win+R → gpedit.msc）或 MMC 加入「群組原則物件編輯器」：

電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制

關鍵原則項目與設定策略

實作流程：從「全盤禁止」到「精準放行」

1. 基線：啟用「防止安裝可移動裝置」+「允許管理員覆蓋」 → 一般使用者無法使用新 USB，IT 可維護。
2. 業務例外：採購/財務/研發需特定 USB 金鑰/掃描儀/儀器 → 取得裝置硬體 ID（裝置管理員 → 內容 → 詳細資料 → 硬體 ID） → 啟用「允許安裝符合下列裝置識別碼的裝置」→ 加入 ID。
3. 稽核：啟用「稽核裝置安裝」原則，事件檢視器記錄所有裝置安裝嘗試，事後可追蹤違規。
4. 部署：單機用 gpedit.msc；網域環境將 GPO 連結至對應 OU（部門/角色），實現集中管控。

取得裝置硬體 ID 方法

1. 插入目標 USB 裝置。
2. 「裝置管理員」→ 找到該裝置（通用序列匯流排控制器/磁碟機/人介面裝置）。
3. 右鍵「內容」→「詳細資料」索引標籤 → 屬性選「硬體 ID」。
4. 複製第一組值（如 USBSTOR\DISK&VEN_KINGSTON&PROD_DATATRAVELER），貼入原則白名單。

限制與補充方案

• 群組原則僅管控「驅動安裝」，已安裝驅動的裝置仍可使用。嚴格管控需配合「裝置存取控制」（Device Access Control）或第三方端點 DLP（資料外洩防護）。
• 使用者可改用 FireWire、eSATA、光碟機、網路共享、雲端硬碟外洩資料，需建立全方位資料外洩防護體系。
• Vista/Server 2008 為首個支援此原則的版本，Win7/8/10/11/Server 2012+ 完整繼承並增強。

小結

Vista 群組原則「裝置安裝限制」提供企業級 USB 管控基石：預設拒絕、管理員例外、白名單精準放行。配合稽核、網域部署、端點 DLP，可構建「可見、可控、可稽核」的 USB 安全防線，不再靠膠帶與 BIOS 粗暴封鎖。IT 管理者請善用此原則，讓 USB 變成受管資產而非資安漏洞！