群組原則封鎖 USB 儲存裝置：針對 usbstor.inf/usbstor.pnf 設定 ACL 拒絕存取

在網域環境透過 GPO 禁止 USB 儲存裝置，核心在於鎖定兩個驅動程式資訊檔：

1. 開啟「Active Directory 使用者與電腦」→ 目標 OU 右鍵 →「建立並連結 GPO」。
2. 編輯 GPO → 電腦設定 → Windows 設定 → 安全性設定 → 檔案系統。
3. 右鍵「新增檔案」 → 資料夾輸入 %SystemRoot%\Inf，檔案名 usbstor.inf → 確定。
4. 安全性設定：移除所有既有群組/用戶 → 新增 Everyone → 勾選「拒絕 - 完全控制」 → 套用。
5. 同樣對 usbstor.pnf 重複上述步驟。

原理

Windows 首次安裝 USB 大容量儲存裝置時需讀取這兩個檔案，ACL 拒絕存取即導致驅動安裝失敗，裝置無法掛載。需在首次插入 USB 前部署生效，已安裝驅動的電腦需先移除裝置再更新群組原則。

補充

• 同樣可針對 usbccgp.inf (通用父驅動) 設定 ACL 達到更廣泛封鎖。
• 若需例外，可建立安全性群組「AllowedUSBUsers」，給予「允許 - 讀取」權限並優先於 Everyone 拒絕。