群組原則精準管控：禁用 USB 儲存裝置但保留滑鼠/印表機（上）

身為系統管理員，50 台電腦拆除軟碟/光碟機、BIOS 禁用 USB 埠，雖阻絕隨身碟卻也犧牲 USB 滑鼠/印表機/手寫板。如何「只禁儲存、不禁裝置」？

常見方法失效

1. USB 控制軟體：MyUSBOnly 等延遲幾秒才隱藏盤符，病毒/竊檔可趁虛而入。
2. 隱藏磁碟分區：群組原則 7 個選項無法精準只保留 E、P 槽（C、D 禁用，E 供操作，P 為網路磁碟）。

解決方案：修改 system.adm 實現精準隱藏

參考微軟 KB231289，修改群組原則範本檔新增自定義選項。

步驟 1：盤符與二進位對應

需隱藏除 E、P 外所有盤符。對應表：

二進位 11111111110111111111101111 → 十進位 67076079（計算機程式設計師模式轉換）。

步驟 2：修改 system.adm

1. 搜尋網域控制器 C 槽 system.adm，複製一份用記事本編輯
2. 找 Nodrives 與 Noviewdrives，在 ITEMLIST 區各加一行：
   NAME !!ABCDFGHIJKLMNOQRSTUVWXYZOnly VALUE NUMERIC 67076079
3. 找 Strings 區加一行：
   ABCDFGHIJKLMNOQRSTUVWXYZOnly="除E、P外其他磁碟機"
4. 存檔覆蓋原檔

步驟 3：套用群組原則

1. 重啟網域控制器
2. 編輯域使用者群組原則：使用者設定 → 管理範本 → Windows 檔案總管 → 「隱藏我的電腦中這些指定的磁碟機」與「防止從我的電腦存取磁碟機」 → 選「除 E、P 外其他磁碟機」 → 確定

驗證成果

• 客戶機開放 USB 埠、登入域、插入隨身碟 → 系統匣顯示圖示，但「我的電腦」無盤符、輸入盤符提示拒絕存取
• USB 滑鼠/印表機/手寫板完全正常
• 補充：群組原則再禁用「自動播放」雙重保險

精準管控，兼顧安全與效率！