通过组策略禁用U盘的使用
在域管理中用策略禁止U盘的方法
在域管理中用策略禁止U盘的方法用策略控制域中的U盘问题相信管理员朋友都会遇到U盘管理问题，有的人是在主板上禁止USB，有的是物理破环USB接口，有的是用软件，如果公司电脑数量上了二百台，呵呵，这还真是件麻烦事，那么作为有域控制的局域网，通过组策略轻松的来解决这个问题呢？？经过摸索，得出控制U盘主要是：C:\WINDOWS\inf\usbstop.infC:\WINDOWS\inf\usbstop.PNF这两个文件来控制的，U盘连接电脑后，需要加载这两个程序，如果是用权限来控制那就更麻烦了。
编辑一个批处理文件，然后在域中建一个策略设置开机启动，就ok了。
批处理文件：用txt文档编辑后文件后缀改成“关闭U盘.bat”或者是“开启U盘.bat”关闭U盘的代码是：ECHO屏蔽U盘USB.regren"C:\WINDOWS\inf\usbstor.inf""usbstop.inf"ren"C:\WINDOWS\inf\usbstor.PNF""usbstop.PNF"regadd"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR"/v Start /t reg_dword/d4/f开启U盘的代码是：echo恢复U盘USB.regren"C:\WINDOWS\inf\usbstop.inf""usbstor.inf"ren"C:\WINDOWS\inf\usbstop.PNF""usbstor.PNF"regadd"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\USBSTOR"/v Start /t reg_dword/d3/f然后你再建一个策略，设置开机启动，那样你就可以轻松解决域中U盘使用问题了。
怎样使自己的电脑禁止使用U盘
怎样使自己的电脑禁止使用U盘
要使电脑禁止使用U盘，可以采取以下方法：
1.修改注册表
然后，依次展开以下路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor 在右侧窗口中，找到"Start"键，并将其值从3改为4
最后，重启电脑，电脑将禁止使用U盘。
2.使用第三方软件
3.使用系统策略
然后，依次展开以下路径：计算机配置\管理模板\系统\可移动存储访问
在右侧窗口中，找到"所有可移动存储访问"键，并双击它进行配置。
在弹出的窗口中，选择“已禁用”，然后点击确定。
最后，重启电脑，电脑将禁止使用U盘。
4.禁用驱动程序
通过禁用U盘的驱动程序，来达到禁用U盘的效果。
首先，按下Win + R键，在运行对话框中输入"devmgmt.msc"，并按下回车键打开设备管理器。
然后，展开"通用串行总线控制器"或"USB控制器"选项。
找到U盘对应的驱动程序，右键点击它，选择"禁用"。
最后，重启电脑，电脑将禁止使用U盘。
需要注意的是，上述方法都可以禁止电脑使用U盘，但请谨慎操作，确保不会对电脑的正常使用和其他设备造成不良影响。
同时，如果你想解除禁用U盘的限制，可以按照以上步骤返回相应设置并进行修改。
用AD组策略之彻低禁止USB存储设备
04
具体操作步骤
计算机配置禁止USB存储设备操作步骤
在“组策略管理”窗口中，展开“计算机配 置”->“Windows设置”->“安全设置 ”->“设备管理器”。
特定计算机或用户的USB存储设备禁止
打开注册表编辑器
按下“win+r”组合键，输入 “regedit”并回车。
定位到注册表
依次展开 “HKEY_LOCAL_MACHINE\System \CurrentControlSet\Services\USBS TOR”。
禁用特定计算机或用 户的USB存储设备
解决方法
在组策略中启用该策略。
问题二：禁止后仍能访问USB存储设备
原因
可能未禁止所有USB存储设备的访问权限。
解决方法
在组策略中禁止所有USB存储设备的访问权限。
问题三：策略无法正常应用
原因
可能是管理员账户未设置密码，或者密码不符合复杂性要求。
解决方法
为管理员账户设置密码，并确保密码符合复杂性要求。
2023
用AD组策略之彻低禁止 USB存储设备
contents
目录
• 介绍 • AD组策略基础 • 如何禁止USB存储设备 • 具体操作步骤 • 可能出现的问题及解决方案 • 总结与展望
01
介绍
什么是AD组策略
AD组策略是一种基于Active Directory的集中式安全管理工 具，可以用于管理和配置网络中的计算机和用户。
06
总结与展望
使用AD组策略禁止USB存储设备的优势
组策略 禁用域用户移动存储U盘
背景：为了避免病毒通过U盘传入内网，为了工作单位的网络安全,通过在域控端创建组策略的形式，实现灵活控制域用户端U盘使用（灵活的原因在于不能禁用所有人的U盘使用权限，只能禁止一部分）。
首先在域控服务器端，打开组策略管理（windows+R gpmc.msc）
灵活选择想要控制的组织单位，右键——在这个域中创建GPO并在此处链接，新建一个GPO,名称为U盘禁用。
在新建的GPO 上右键编辑，依次点开计算机配置——策略——管理模板——系统——可移动存储访问
双击所有可移动存储类：拒绝所有权限进行配置。
选择已启用
点击应用，点击确定。
最后一步：在域控上更新组策略：windows + R 键入gpupdate 或者gpupdate / force ，客户机重启电脑，U盘禁用生效。
至此完成组策略编辑，禁用U盘。
注意事项：1、在新建GPO的组织单位下，必须确保有计算机，域用户登录此类计算机无法访问U盘。
受限制的是计算机，不是用户。
（这里要分清楚）
2、如果还想要控制其他组织单位的计算机，不再需要新建GPO 连接，直接在需要控制的组织单位下，右键，连接现有GPO 选择刚刚创建的GPO名称后，更新组策略即可。
————————————————
版权声明：本文为CSDN博主「站的高，看得远」的原创文章，遵循CC 4.0 BY-SA 版权协议，转载请附上原文出处链接及本声明。
原文链接：https:///MS_Tony_Shu/article/details/94430234。
在域环境中利用组策略禁止使用USB
刚接触域环境的时候在坛子上提过一个在域环境中利用组策略禁止使用USB接口的帖子.当时是求助,后来自己解决了.而后就有好多人就加我的QQ,问我是怎么解决的.所以把自己的经验发表一下.供大家分享.有不明白的请发贴提问.这个方法已经经过测试完全好用.另外我也有几个域的问题想问一下.希望知道的朋友不吝赐教.1.如何在域服务器上做限制,使域用户不能访问INTERNET,而却能访问LAN.2.如何使域中的电脑一部分要输入用户密码才能登陆,而一部分不需要输入密码直接能登陆.下面是屏蔽USB的方法:现在在公司数据保密问题越来越受到领导的重视,U盘自然成为各位领导的一块心病.因为其简便的操作特性让人觉的电脑里没有一样东西是安全的.如何防范---在BIOS中屏蔽USB端口,这个办法是“宁可错杀一千，不能放过一个”的笨办法,U盘是不可以使用了,但所有的USB 相关设备也都不能使用了.如果是在WINDOWS 2003域环境中,可以利用组策略妥善的来解决这个问题.即可以使用除U盘以外的任何USB设备,如打印机,USB键盘,鼠标.....思路：当计算机插入Ｕ盘后，系统会自动增加一个盘符，如果我们想办法禁止系统增加新的盘符,那么不就可以把U盘禁止了吗。
打開Active Directory用户和计算机，建立一个名为NOＵＳＢ的组织单位，也就是OU，如图:右键--属性－组策略，新建一个名为nousb的策略.如图:点编辑后出现组策略，我们来设置。
定位到用户配置—Windwos组件--Windows资源管理器我们要配置的是“隐藏我的电脑中的这些指定的驱动器”和“防止从我的电脑访问驱动器”这两个选项。
而现在这两个选项的启用菜单中没有我们要去禁止访问的盘符，这就需要手动的为组策略来添加我们需要的选项。
我们重新回到nousb属性对话框，选择nousb组策略，点下面的属性，记下弹出的又一个nousb属性对话框中的常规选项卡—摘要---唯一的名称（{C04ED8BO。
组策略u盘控制
组策略u盘控制组策略是Windows操作系统中一种用于管理计算机和用户配置的工具。
它可以让管理员集中管理多台计算机的配置，并对用户的行为进行限制和控制。
在这篇文章中，我们将探讨如何使用组策略来控制U盘的使用。
U盘是一种常见的外部存储设备，通常用于存储和传输数据。
然而，由于U盘的便携性和易于使用的特点，它也带来了一些安全隐患。
例如，用户可能会将机密数据复制到U盘中并将其带离办公室，这可能导致数据泄露的风险。
为了解决这个问题，管理员可以通过组策略来控制U盘的使用。
管理员可以使用组策略来禁止访问U盘。
通过禁止U盘的访问，管理员可以防止用户将数据复制到U盘中或从U盘中复制数据。
这可以有效地保护机密数据不被意外泄露。
要实现这个策略，管理员可以在组策略中配置禁用可移动存储访问的设置。
这样一来，当用户插入U盘时，系统将无法识别设备并阻止用户访问。
管理员还可以使用组策略来限制U盘的访问。
相比于完全禁止访问，限制访问可以使管理员更加灵活地控制U盘的使用。
管理员可以设置访问权限，例如只允许特定用户或用户组访问U盘。
这可以确保只有经过授权的用户才能使用U盘，并进一步保护数据的安全。
管理员还可以通过组策略来监控U盘的使用情况。
他们可以配置日志记录策略，以便记录U盘的插入和拔出事件。
这样一来，管理员可以随时查看U盘的使用情况，并追踪用户的行为。
如果发现有不当行为或安全风险，管理员可以及时采取措施来应对。
除了上述控制措施，管理员还可以使用组策略来强制实施U盘的加密。
通过强制加密，管理员可以确保即使U盘丢失或被盗，其中的数据也不会被未经授权的人员访问。
管理员可以配置加密策略，要求用户在使用U盘前先对其进行加密。
这样一来，即使U盘落入他人手中，数据也将得到保护。
通过组策略来控制U盘的使用可以有效地保护数据的安全。
管理员可以通过禁止访问、限制访问、监控使用情况和强制加密等措施来控制U盘的使用。
这些措施可以帮助组织防止数据泄露和安全漏洞，提高数据的安全性和保密性。
组策略设置阻止用户访问U盘
组策略设置阻止用户访问本地磁盘
在本机设置，包括管理员的所有用户生效。
1.以管理员登录，关闭写保护
2.在开始运行中输入gpedit.msc
3.嵌入式Windows XP, 选择用户配置-管理模板-Windows Components- Windows Explorer
4.在右边选择Hide these specified drives in my computer, 按下表选择
5.在右边选择Prevent access to drives from my computer策略，按下面选择
6.策略编辑完成后，重启系统生效。
所有用户无法访问C盘和U盘。
7.如果管理员需要访问磁盘，可以把策略禁止。
8.如果是嵌入式Windows7, 则依次展开“计算机配置"一“管理摸板”—“系统”—“可移动存
储访问”，并在右侧的窗格中选择“所有可移动存储类拒绝所有权限”项。
在机器加入域的情况下，在域控制器上进行组策略的编辑。
AD组策略禁用U盘
ad组策略的作用
01
AD组策略可帮助企业实现以 下目标
02
03
04
统一管理：通过定义组策略对 象，企业可以实现对网络中计 算机和用户的统一管理和控制 ，减少管理员的工作量，提高 管理效率。
安全加固：AD组策略可以定 义各种安全设置，如密码策略 、账户策略、防火墙设置等， 以提高网络的安全性。
计算机配置是指定组策略设置，以禁 用或启用U盘的使用。
在计算机配置中，我们需要更改设备策略 来禁用USB存储设备。
我们可以通过在设备管理器中禁用 USB存储设备来禁止用户使用U盘 。
用户配置
用户配置是指定组策略设置，以禁用或启用U盘的使用。 在用户配置中，我们需要更改设备策略来禁用USB存储设备。 我们可以通过在设备管理器中禁用USB存储设备来禁止用户使用U盘。
ad组策略禁用u盘
xx年xx月xx日
目 录
• 介绍 • ad组策略禁用u盘的方法 • ad组策略禁用u盘的优缺点 • ad组策略禁用u盘的适用场景 • ad组策略禁用u盘的实践案例
01
介绍
什么是ad组策略
AD组策略是一种企业级集中管理工具，用于在Active Directory（AD）域中管理和控制用户、计算机和其他网络 资源的策略。
问题描述
由于政务网内涉及大量敏感信息，如果U盘使用不当，可能导致敏感信息泄漏，对政府形 象和公众利益造成损害。
解决方案
通过AD组策略禁用U盘，严格控制员工使用U盘的范围和功能，确保敏感信息的安全性和 保密性。同时，可以防止病毒和恶意软件在政务网内传播，提高网络安全性。
THANKS
域组策略中禁用U盘的使用方法
域组策略中禁用U盘的使用方法
域组策禁用U盘的使用方法
1、首先你要具备一台装有Windows Server2003操作系统服务器，再次你要配置域服务器，如下图：
2、找到域控制器（Active Directory）,我简称它为AD, 点击管理AD中的用户和计算机，会出现下图：
3、右击Domain Controllers后，点击属性会出现下图：
4、选择“组策略”，点击组策略对象链接，再双击它，会出现下图：
5、照图点击到“注册表”，右击“注册表”后点击“添加项”，照图上的路径添加那两项。
注意添加图上那两项时的前提是你的域服务器注册表（“开始”→“运行”→输入命令“regedit”就会打开注册表）将图上那两项修改了。
我具体说明下它们的修改值。
第一项如图:
它项中的WriteProtect值默认为“0”,更改为“1”。
第二项如下图：
将其中的Start的值改为“4”,默认值为“3”表示启用。
6、添加完“注册表”的那两项后，关闭所有，在“开始”→“运行”→输入命令“gpupdate”后完成。
7、所有加入域中的计算机的U盘就被禁用了。
另外还有种脚本法也可禁用U盘，我没有采用那种方法，一是它的脚本语言复杂，二是我想用最简单的方法去实现禁止U盘的使用。
上述方法本人在虚拟机中已经实现U盘的禁用。
用组策略彻底禁止USB存储设备
用组策略彻底禁止USB存储设备、光驱、软驱、ZIP软驱一、禁止USB存储设备、光驱、软驱、ZIP软驱在现在企业网络环境下，由于企业网络越来越大环境越来越复杂。
公司内员工素质参差不齐，公司为了加强网络安全性、数据保密性提出要封堵USB存储设备、光驱、软驱、ZIP软驱设备。
首先我们在企业网络环境要想实现以上目的，必须要有域环境。
这里肯定有朋友会说，没有域环境也能实现。
是的没有域环境我们可以通过修改每个客户端的注册表来实现，大家可以试想下我们企业环境就算不是很大的集团就算是个60多台小型网络环境，一台一台的去一个个修改每台客户端计算机的注册表也会累死。
所以我们在域环境下就可以通过在DC上建立策略，客户端应用策略后我们就比一台台的去客户端修改注册表来的简单省事多了。
好的言归正传，大家先下载我博文中的附件，附件内是该文中的核心。
其次我想推荐大家可以在自己的DC上安装GPMC组策略管理工具，来方便我们大家来对组策略管理已经排错。
第一步：我们我们在域控制器上点击开始→运行输入“GPMC.MSC”→点击确定启动组策略管理。
第二步：打开组策略管理，右键点击→点击“创建并链接（GPO）”→输入组策略名称“禁止USB”。
因为我们这次的策略是希望企业内所有计算机都应用，故我们在域级别上创建一条GPO组策略。
第三步：右键点击“禁止USB”策略→点击“编辑”→右键点击“计算机配置”下的“管理模板”中的“添加/删除模板”。
第四步：在弹出的“添加/删除模板”对话框中点击“添加”按钮在弹出“策略模板”对话框中来添加“usb.adm”组策略模板。
（这里我们可以事先把“usb.adm”组策略模板拷贝到c:\windows\inf目录下也可以通过路径选择“usb.adm”组策略模板所存放的位置。
）双击“usb.adm”组策略模板添加“usb.adm”组策略模板。
添加后，回到“添加/删除模板”对话框，我们此时清楚看到“添加/删除模板”对话框中多了一个名称为“USB”的组策略模板。
AD组策略禁用U盘
AD组策略禁用U盘如果需要禁用U盘的使用，可以通过AD组策略来实现。
下面是详细的步骤，以及一些注意事项：1.创建一个新的组策略对象（GPO）：- 打开Group Policy Management Console（GPMC）- 在左侧的树形目录中选择“Group Policy Objects”，右键单击，选择“New”-输入一个描述性的名称，然后点击“OK”-在GPMC中，找到创建的新GPO- 右键单击该GPO，然后选择“Edit”选项3.配置组策略设置：-展开“系统”子节点，然后找到“可移动存储访问”-在右侧的列表中，找到“禁用USB存储设备”，双击打开设置窗口-在设置窗口中，选择“已启用”，然后点击“确定”4.更新组策略：-在GPMC中，找到域对象- 右键单击域对象，然后选择“Group Policy Update...”选项-在弹出的对话框中，选择需要更新的对象，然后点击“OK”5.验证组策略设置：-在域内的计算机上，以域管理员身份登录- 打开命令提示符，输入“gpupdate /force”命令以强制更新组策略-重新启动计算机-插入U盘，检查是否能够正常访问需要注意的是，禁用U盘使用是一种较为严格的控制措施，可能会对用户的正常操作造成一定的影响。
在实施之前，需要与用户进行充分的沟通和培训，并根据实际情况进行调整和适配。
此外，应注意以下几点：1.仅禁用U盘可能无法完全限制用户从其他途径传输文件（例如通过网络或其他外部存储设备）。
因此，在实施组策略之前，应对其他可能的数据传输途径进行评估和控制。
2.组策略设置将适用于所有用户和计算机。
如果只想限制特定用户或计算机的U盘使用，可以将GPO应用于相应的组织单元（OU）或安全组。
3.在一些情况下，可能需要允许一些特定用户或计算机使用U盘。
可以针对这些特殊情况创建不同的GPO，或者通过安全组的方式进行特权控制。
总结来说，通过AD组策略禁用U盘的使用，可以有效地增强计算机系统的安全性。
AD组策略禁用U盘
“自动播放”。 • 在右侧窗格中，双击“关闭自动播放”。 • 在“关闭自动播放属性”对话框中，选择“已启用”，然后在“选项”下选择“所有驱动器”，然后单击
“确定”。 • 重新启动计算机以使更改生效。
2023
《AD组策略禁用U盘》
目录
• 引言 • AD组策略禁用U盘的方法 • 禁用U盘的影响及注意事项 • 案例分析与应用 • 总结与展望
01
引言
背景介绍
随着信息技术的不断发展，企业数据安全问题日益受到重视 。U盘作为一种常用的数据传输工具，也可能成为企业数据泄 露的潜在风险。为了保护企业数据安全，需要采取措施禁用 或限制使用U盘。
05
总结与展望
AD组策略禁用U盘的优势
提高安全性
通过禁用U盘，可以减少病毒、恶意软件和未经授权的数据传输的风险，提高整个网络的 安全性。
控制数据访问
通过AD组策略，可以精确地控制哪些用户或组可以访问特定的文件和文件夹，从而更好 地保护敏感数据。
减少不必要的麻烦
禁用U盘可以避免因U盘使用不当而导致的数据丢失、病毒感染等问题，减少了管理员的 维护工作量。
使用第三方软件阻止U盘使用
安装完成后，打开软件并找到“禁止USB存 储设备”、“禁止USB随身设备”、“禁止
USB驱动程序”等功能。 保存设置并重新启动计算机以使更改生效。
下载并安装第三方软件，例如“大势至USB 监控系统”。
根据需要选择相应的选项，并设置禁止的设 备或驱动程序。
03
禁用U盘的影响及注意事项
组策略通过将管理和配置任务集中到一个中央位置，简化 了网络管理员的工作，并提高了管理效率。
组策略禁用U盘、组策略禁用USB、注册表禁用USB、注册表禁用U盘方法汇总
组策略禁用U盘、组策略禁用USB、注册表禁用USB、注册表禁用U盘方法汇总在企事业单位局域网中，处于保护电脑文件安全和商业机密的需要，我们常常需要禁用电脑USB接口、禁止U盘和移动硬盘的使用，防止通过U盘、移动硬盘甚至手机等带有USB存储功能的设备复制电脑文件的行为。
那么，具体如何管理电脑USB接口、禁用U盘呢？笔者以为，可以通过以下方式实现，一种是通过注册表和组策略的方式来实现（如果你觉得这种方法复杂，可以直接看文章底部第二种方法），另外一种是通过电脑U口管理软件、USB 屏蔽软件来实现，相对更为简单：一、通过注册表禁用USB接口、组策略禁用USB接口来禁止U盘使用1、USB设备是使用USB接口的，在网上找了下，得知它使用如下两个配置文件或是注册表文件，usbstor.inf和usbstor.png。
注册表文件是:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbstor2、清楚了USB的配置文件或是注册表中的位置就好说了，下面就分两种方法来完成禁用USB 设备的目的，一是通过组策略使用户禁用这两个配置文件，一是通过注册表。
以下两种实验均在WINDOWS 2003实验通过通过组策略，当然，这个要应用在域环境中了，而且要保证，没有使用过USB设备的（注册表文件里会有变化的）嘿嘿。
如下图，在管理工具――域安全策略――计算机配置――WINDOWS设置――安全设置――文件系统，单击右键――添加文件或文件夹。
找到c:\windows\inf\usbstor.inf 和usbstor.pnf，并添加之然后，确定，会弹出一个对话框，这可是重要步骤，通过此，设定不同用户对此的访问级别，当然，这里选拒绝了，你可以根据实际情况选择不同的用户组对这两个文件的拒绝权限。
如下图确定，OK，会弹出以下的窗口，当然，还是确定，不过，如果上一步你没有做的话，可以在此重新设定不同用户组的访问权限的哟（点编辑安全设置按钮）！确定，便可以了，等域组策略刷新后，就会生效了。
域控u盘限制策略
域控u盘限制策略
域控U盘限制策略：为什么需要它，如何实现？
在企业网络环境中，防止未经授权的U盘使用是非常重要的。
这是为了避免敏感数据泄露，来源于员工的不当操作或者是病毒攻击。
为了解决这个问题，很多企业都采用了一种称为“域控U盘限制策略”的方法。
一、什么是域控U盘限制策略?
域控制器限制U盘的使用，通过这个限制，只有管理员和特定的用户才能访问U盘。
这种限制策略可以帮助企业在保护重要数据的同时，也避免了员工私自使用U盘的情况。
二、如何实现域控U盘限制策略?
实施域控U盘限制策略有很多种方法，下面我们来介绍两种常用的方法。
1. 在组策略中配置
通过组策略对象 (GPO) 来配置网络中所有计算机，可以实现域控制器U盘的限制。
在组策略对象中，开启“拒绝访问USB存储驱动器” 来实现限制。
这项策略可以拦截所有 USB 存储设备的访问，包括 USB 闪存驱动器和外置硬盘驱动器。
2. 使用第三方工具
使用第三方工具也是实现域控制器U盘限制的一种方法。
一些第三方
软件可以监控网络上的USB存储设备，从而保证在每个计算机上设置
正确的策略。
这种方法对于企业来说更加方便，因为它可以确保所有
计算机都拥有相同的安全策略。
三、总结
通过使用域控制器U盘限制策略，企业可以防止机密数据泄露以及未
经许可的U盘使用。
在实施此策略时，可以在组策略中配置或使用第
三方工具。
这种策略实施的好坏还要基于系统进行完善的管理，并确
保策略的无误执行。
这样，企业就能更好地保护重要数据和信息安全。
AD组策略禁用U盘
检查U盘是否出现故障
如果U盘出现故障，可能会导致无法读取或 写入。请尝试使用其他U盘或修复工具检查
并修复U盘。
05
ad组策略禁用u盘的优势和局限
优势
要点一
保护计算机安全
通过禁用U盘，可以减少计算机受到 病毒、木马等恶意软件的攻击。
要点二
防止数据泄露
禁止使用U盘可以减少公司敏感数据 外泄的机会，保护企业的商业机密和 客户信息。
禁用U盘可以防止员工随意拷贝公司内部数据，降低数据泄露的风险。
防止病毒传播
禁用U盘可以避免外部U盘中的病毒在企业内部传播，提高系统安全性。
简化管理
禁用U盘可以减少IT管理员的管理难度，不需要对每个员工的U盘进行跟踪和管理。
禁用u盘的利弊分析
利
可以控制数据流动，降低数据泄露风险，提高系统安全性，简化管理难度。
在右侧窗格中，双击“阻止使用与安装设备 安装相关的策略选项”选项。
通过注册表禁用u盘
按下Win+R组合键打开 “运行”窗口，输入 regedit并回车。
在右侧窗格中，右键单 击空白处，选择“新建 ”-“DWORD(32-位)值 (D)”。
将新创建的DWORD值 重命名为 NoDriveTypeAutoRun ，然后右键单击该值， 选择“修改”选项。
它通过在服务器上设置相应的安全策略，实现对整个网络中 的计算机进行统一的安全管理和控制。
ad组策略的作用
集中式安全管理
AD组策略可以实现对整个网络中的计算 机进行集中式安全管理，包括对用户账户 、密码策略、访问权限、安全审计等方面 的管理和控制。
VS
灵活的安全策略设置
通过AD组策略，可以灵活地设置各种安 全策略，包括软件安装、系统配置、网络 安全等方面的策略，以满足企业的安全需 求。
AD组策略禁用U盘
AD组策略是一种基于Active Directory（活动目录）的组策略服务，它用于管理和控制组织内部的IT环境。它允许管理员通过组策略对象（GPO）来集中管理和配置网络中的计算机和用户。AD组策略是一种非常强大的工具，可以用于实现各种策略，包括禁用USB存储设备的使用。
AD组策略的定义
AD组策略的功能和作用
背景介绍
03
提高工作效率
禁止U盘使用可以避免员工在使用U盘时浪费时间和精力，提高工作效率。
目的和意义
01
减少病毒和恶意软件传播的风险
通过禁用U盘，可以减少病毒和恶意软件通过U盘传播的机会。
02
保护企业数据的安全
禁用U盘可以防止员工随意拷贝企业数据，从而降低数据泄露的风险。
02
AD组策略介绍
Chapter
ad组策略禁用u盘
2023-11-06
contents
目录
引言AD组策略介绍禁用U盘的必要性AD组策略禁用U盘的方法禁用U盘的注意事项结论
01
引言
Chapter
在企业环境中，通常会通过各种方式限制员工对U盘的使用，以防止潜在的安全风险和数据泄露。
在Windows操作系统中，通过Active Directory（AD）组策略可以实现对U盘的禁用。
AD组策略的优点
易于管理：管理员可以在中央位置统一管理和监控AD组策略的应用情况。
保护数据：可以防止未经授权的数据传输和泄露。
安全性高：可以避免U盘带来的病毒和恶意软件攻击风险。
使用AD组策略禁用U盘有以下优点
方便快捷：通过AD组策略禁用U盘可以快速、简便地实现组织内部计算机的统一管理。
03
禁用U盘的必要性
组策略是Active Directory（AD）中的一种功能，它允许管理员定义规则和策略，以便在组织中管理和控制计算机和用户的行为。
用AD组策略之彻低禁止USB存储设备
用AD组策略之彻底禁止USB存储设备在如今信息化时代，数据的安全性越来越受到重视。
越来越多的企业、机构和组织都意识到，内部数据的泄漏可能会给他们带来巨大的损失和影响。
因此，为了确保信息的安全性，限制或禁止员工使用USB存储设备成为了许多企业的必要举措之一。
Active Directory（AD）组策略是微软Windows操作系统中重要的安全管理工具，它通过集中管理和配置网络中的用户和计算机，提供了一种灵活而高效的方式来限制和管理用户对计算机和网络资源的访问。
本文将介绍如何通过AD组策略来完全禁止USB存储设备的使用，从而确保企业的信息安全。
为什么需要禁用USB存储设备USB存储设备如U盘、移动硬盘等的使用带来了便利性，但也带来了潜在的安全风险。
一旦员工可以随意使用USB存储设备，他们就可以轻松地将敏感数据复制到移动存储设备中，这可能导致数据泄漏、知识产权侵权等问题。
此外，病毒和恶意软件也可以通过感染USB存储设备来传播。
一旦一个感染了恶意软件的USB存储设备被插入企业网络中的计算机，整个网络都可能受到威胁。
因此，禁止USB存储设备的使用是确保企业数据安全的重要一环。
使用AD组策略禁止USB存储设备步骤一：创建组策略对象1.打开组策略管理器，选择要应用AD组策略的组织单位或域。
2.右键单击选择“新建GPO”（组策略对象）。
3.输入适当的名称，例如“禁止USB存储设备”。
步骤二：编辑组策略设置1.在组策略管理器中，右键单击新创建的组策略对象，并选择“编辑”。
2.在组策略管理编辑器中，展开“计算机配置”>“Windows设置”>“安全设置”>“本地策略”>“安全选项”。
3.找到并双击“可移动存储访问”策略。
步骤三：配置“可移动存储访问”策略1.在“可移动存储访问”策略中，选择“已禁用”。
2.单击“确定”保存更改。
步骤四：将组策略应用到组织单位或域1.将新创建的组策略对象链接到相应的组织单位或域。
巧用组策略禁用U盘,禁止访问
巧用组策略禁用U盘,禁止访问实现方法1、在域控制器上打开Active Directory用户和计算机，找到您要屏蔽U盘的组织单位（Organizational Unit 简称OU），右键查看此组织单位的属性，点击组策略页面，新建一个组策略，命名并保存为“屏蔽U盘”，建好后，双击“屏蔽U盘”（必需先打开一次，否则系统不会拷贝那几个模板文件），在打开的标题为“组策略”的窗口的左边，按以下顺序定位“用户配置－管理模板-Windows组件-Windows资源管理器”，选中Windows资源管理器，在右边的窗口中会显示如图1所示。
我们可以看到有“隐藏我的电脑中的这些指定的驱动器”和“防止从我的电脑访问驱动器”，双击打开其中一项策略，选择“启用”，下面的下拉框会变亮，单击下拉框，如图2所示，您会发现系统提供了7种限制访问驱动器号的组合，其中也包括了“不限制驱动器”，显然，这些组合不能满足我们的要求（因为U盘的盘符通常是排在最后的，而且现在的硬盘比较大，少则也有三四个分区）。
2、在域控制器上打开Active Directory 用户和计算机，在刚才我们新建的“屏蔽U盘”策略上单击右键选择查看属性，在如图3所示的位置找到"屏蔽U盘"的组策略的唯一的名称，此名称为一长串数字和字母组成，本例中为{82F86A8E-B345-4DDC-A304-E448F6E900A9}，记下此字符串。
3、打开系统盘，定位以{82F86A8E-B345-4DDC-A304-E448F6E900A9}命名的文件夹，此文件夹位于“C:Policies”下（盘符依赖于您安装的操作系统所在的分区），注意其中是您的Windows 2000的域名，打开{82F86A8E-B345-4DDC-A304-E448F6E900A9}目录，找到ADM目录下的system.adm文件，此文件是我们在实施组策略的模板文件，是一个纯文本文件，可用记事本打开，找到下面这两段代码：* POLICY !!NoDrives EXPLAIN !!NoDrives_Help PART !!NoDrivesDropdown DROPDOWNLIST NOSORT REQUIRED V ALUENAME "NoDrives" ITEMLISTNAME !!ABOnly V ALUE NUMERIC 3NAME !!COnly V ALUE NUMERIC 4NAME !!DOnly V ALUE NUMERIC 8NAME !!ABConly V ALUE NUMERIC 7NAME !!ABCDOnly V ALUE NUMERIC 15NAME !!ALLDrives V ALUE NUMERIC 67108863 DEFAULT ; low 26 bits on (1 bit per drive)NAME !!RestNoDrives V ALUE NUMERIC 0 END ITEMLIST END PARTEND POLICY* POLICY !!NoViewOnDrive EXPLAIN !!NoViewOnDrive_Help PART !!NoDrivesDropdown DROPDOWNLIST NOSORT REQUIRED V ALUENAME "NoViewOnDrive" ITEMLISTNAME !!ABOnly V ALUE NUMERIC 3NAME !!COnly V ALUE NUMERIC 4NAME !!DOnly V ALUE NUMERIC 8NAME !!ABConly V ALUE NUMERIC 7NAME !!ABCDOnly V ALUE NUMERIC 15NAME !!ALLDrives V ALUE NUMERIC 67108863 DEFAULT ; low 26bits on (1 bit per drive)NAME !!RestNoDrives V ALUE NUMERIC 0 END ITEMLIST END PARTEND POLICY说明：这是两个策略，第一个!!NoDrive，它的作用是在我的电脑中不显示指定的驱动器名，驱动器号代表的所有驱动器不出现在标准的打开对话框上，但是在地址栏中输入盘符或新建一个指向硬盘盘符的快捷方式，用户仍然可以访问该驱动器；第二个!!NoViewOnDrive 的作用是阻止用户访问驱动器。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
电话：(0371)65706336 65706337 65706339 传真：（0371）65706367 地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002 1
场景
USB移动存储给我们带来便利的同时，也带有不少麻烦：信息泄露、病毒传播等。
某单位希望将一些受限的计算机放置在某个OU中，禁用在这些计算机上使用USB存储设备。
如果将某台计算机移出受限制的OU后，又可以使用USB存储设备了。
如果需求不复杂，可以不使用第三方移动存储管理软件（多数需要在客户端安装软件），而是使用组策略来达到此目的。
原理
推荐阅读：/default.aspx?scid=kb;en-us;823732
两个要点：
z第一次使用USB存储设备时，主要通过两个文件，一个是Usbstor.pnf、另外一个是Usbstor.inf来安装UsbStor服务，并且将这个服务启动。
z以后要使用USB存储设备，UsbStor服务必须处于启动状态。
启动状态由注册表中HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor的Start值
来控制。
Start值的含义为：
0 Boot
1 System
2 Auto
Load
3 Load On Demand 默认值
4 Disabled
有一些朋友的做法仅仅是通过管理模板来将Start的值设置为4-Disable。
这种做法有一个弱点：
如是一个人将U盘插入到从来没有使用过U盘的计算机时，Windows会自动安装UsbStor服务，并且处于启动状态直到下一次禁用USB存储设备的GPO被应用为止。
在这个时候，这个仍然可以使用USB存储设备！
电话：(0371)65706336 65706337 65706339 传真：（0371）65706367 地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002 2
解决方案
根据上面的分析，只有两者相结合才是最可靠的解决方案：
1、我们需要防止USBSTOR服务被安装，除非这些用户是可以使用USB存储设备
的。
这可以通过在组策略中限制对USBSTOR.INF 和USBSTORE.PNF访问，
来访问即插即用功能自动安装驱动程序。
2、通过管理模板来控制USBSTOR启动类型
组策略1：控制对USBSTOR.INF 和USBSTORE.PNF的访问
1、打开Active Directory用户和计算机；
2、选择需要禁用USB设备的OU，并点击鼠标右键进行组策略；
3、创建一个针对USB的GPO，比如命名为“只允许指定的用户组安装USB存储驱动
程序”，然后点击编辑，打开组策略编辑器；
4、进入组策略编辑器，依次展开计算机配置ÆWindows设置Æ安全设置Æ文件系统；
5、右键点击“添加文件”，弹出“添加文件和文件夹”，在“文件夹”栏输入
“%systemroot%\inf\usbstor.inf”，确定；
6、在“数据库安全设置”中，删除Users，添加相应组，如下所示。
然后，应用、确
定；
7、在“添加对象”窗口，默认当前设置，若要重新编辑安全权限，则可点击“编辑安
全设置”进行重新设置；确认，退出设置；
8、除此之外，重复5、6、7步，对“%systemroot%\inf\usbstor.pnf”进行设置；
9、关闭组策略编辑器；
3电话：(0371)65706336 65706337 65706339 传真：（0371）65706367
地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002
10、使用“gpupdate /force”，强行刷新策略。
组策略2：控制对USBSTOR.INF 和USBSTORE.PNF的访问
1、创建自定义的管理模板文件。
使用记事本创建一个文本文件，保存后缀为.adm文件，如
USBStore.adm
CLASS MACHINE
CATEGORY "Services und Drivers"
POLICY "USB Storage"
KEYNAME "System\CurrentControlSet\Services\usbstor"
PART "Startup type" DROPDOWNLIST
V ALUENAME "Start"
ITEMLIST
NAME "0 - Boot" V ALUE NUMERIC 0
NAME "1 - System" V ALUE NUMERIC 1
NAME "2 - Auto Load" V ALUE NUMERIC 2 DEFAULT
NAME "3 - Load On Demand" V ALUE NUMERIC 3
NAME "4 - Disabled" V ALUE NUMERIC 4
END ITEMLIST
END PART
4电话：(0371)65706336 65706337 65706339 传真：（0371）65706367
地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002
END POLICY
END CATEGORY
2、 如果通过管理模板修改注册表，如果以后是不应用此策略了，这些值也不会恢复原有的
值。
所以，为了达到“仅对受限OU 的计算机禁用USB 移动存储设备，当计算机从受限OU 中移除后又恢复USB
移动设备的使用”的目的，所以建议先在域的级别上创建一个组策略--“允许使用USB 移动存储设备”
3、 在组策略编辑器中添加自定义的管理模板
电话：(0371) 65706336 65706337 65706339 传真：（0371）65706367
地址：郑州市丰产路81号思达数码大厦C 座5楼 邮编：450002
5
6电话：(0371)65706336 65706337 65706339 传真：（0371）65706367
地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002
4、添加了自定义的模板后，由于筛选的原因，默认情况下并没有将设置荐显示出来
7电话：(0371)65706336 65706337 65706339 传真：（0371）65706367
地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002
清除只显示完全管理的策略设置
这样，可以显示出来设置值
8电话：(0371)65706336 65706337 65706339 传真：（0371）65706367
地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002
5、选择启动类型为3 - Load On Demand
9电话：(0371)65706336 65706337 65706339 传真：（0371）65706367
地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002
6、然后，在禁用USB移动存储设备OU上创建一个组策略--“禁止使用USB移动存储设
4-Disable
备”。
设置方法与前面相似，只不过是在启动类型中选择
FAQ
Q：如果管理员在已经被禁用USB移动存储的计算机上进行维护工作时，想临时启用USB 移动存储，如何做？
A：在已经安装了USB存储驱动的计算机上，可以在命令提示符下执行net start usbstor。
在使用之后，可以执行net stop usbstor
Q：能否达到在指定计算机上，有的用户可以使用USB存储设备，有的用户则不能？
A：由于是前面提供的是针对计算机的策略，故而无法针对用户来控制。
如果想达到这个目的可以从用户登录脚本上想办法
Q：如果客户端的系统所在的分区不是NTFS,那么这个安全策略是否起作用?
A：如果系统所在分区不是NTFS，则无法对Usbstor.pnf、Usbstor.inf来设置许可，所以不能防止USB存储驱动程序的安装。
10电话：(0371)65706336 65706337 65706339 传真：（0371）65706367
地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002
电话：(0371)65706336 65706337 65706339 传真：（0371）65706367 地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002
主页： E-mail：service@ 11
Q：能否只允许用户使用某个U盘？比如“专盘专用”？
A：第三方的软件如GFI LANguard、CenterTools DriveLock等可以达到此目的，这类软件需要客户端安装agent软件。
Vista在USB存储管理上有一些新的增强。