如何使用组策略阻止域 2016/2012 上的 USB 存储设备

本指南包含有关如何使用 AD 域 2016 或 2012 中的组策略来阻止整个域或特定域用户上的 USB 存储设备的分步说明。更具体地说，在阅读本指南中的说明后，您将了解如何阻止访问任何可以连接到域中任何计算机的 USB 存储设备（闪存驱动器、外部硬盘驱动器、智能手机、平板电脑等），或者拒绝访问仅特定域用户可以访问 USB 存储。

如今，我们许多人都使用 USB 存储设备来传输数据。然而，对于组织而言，其员工使用外部存储设备的能力可能存在安全风险，例如传播恶意软件或拦截敏感数据。为了避免这些风险，您可以阅读以下说明，通过使用组策略. *

* 注意：
1. 在本文中，要通过组策略阻止 USB 驱动器，我们使用 Active Directory 2016 域控制器创建新的组策略，并使用 Windows 10 Pro 和 Windows 7 Pro 工作站来应用它。

2.“阻止 USB 访问”策略不会影响域管理员或任何其他连接的 USB 设备，例如 USB 键盘、鼠标、打印机等。
3. 应用组策略后，用户将无法访问任何类型的 USB 存储设备，并在尝试访问 PC 上的 USB 存储设备时收到以下错误消息之一。

如何使用组策略阻止访问USB存储设备（服务器2012/2012R2/2016）

Part 1. Block USB Read/Write Access on All Domain Users.
Part 2. Block USB Read/Write Access for Certain Domain Users.

第 1 部分：如何在整个域上阻止对 USB 存储设备的访问 2016。

要禁止域中任何计算机（用户）访问任何已连接的 USB 存储设备：

1. 在 Server 2016 AD 域控制器中，打开服务器管理器，然后从工具菜单中打开组策略管理。 *

* 此外，导航至控制面板 -> 管理工具 -> 组策略管理。

2. 在域下，选择您的域，然后右键单击默认域策略并选择编辑。

3. 在“组策略管理编辑器”中，导航至：

User Configuration > Policies > Administrative Templates > System > Removable Storage Access

4. 在右侧窗格中，双击：可移动磁盘：拒绝读取访问。 *

* 注意：
1. 此时许多教程建议启用“所有可移动存储类别：拒绝所有访问” ' 政策，但在我们的测试中我们发现该政策不适用于（工作）智能手机或平板电脑。

2. 如果您想阻止 USB 写入访问，请选择可移动磁盘：拒绝写入访问。

5.选中启用并单击确定。

6.关闭组策略编辑器。

7.重新启动服务器和客户端计算机，或运行gpupdate /force命令将新的组策略设置（无需重新启动）应用到服务器和客户端。

第 2 部分：如何阻止特定域用户访问 USB 存储设备。

要使用组策略禁止特定用户访问 USB 存储设备，您必须将不想访问 USB 存储设备的用户创建一个组，然后将新策略应用到该组。要做到这一点：

步骤 1. 创建一个包含禁用 USB 用户的组。 *

* 注意： 如果您已经创建了禁用 USB 用户的组，请继续执行步骤 2。

1. 打开Active Directory 用户和计算机。

2. 右键单击左侧窗格中的“用户”对象，然后选择新建 > 组

3. 输入新组的名称（例如“USB 禁用用户”），然后单击确定。 *

* 注意： 选中“全局”和“安全”选项。

4. 打开新创建的群组，选择成员选项卡，然后单击添加

5. 现在选择您想要阻止 USB 存储设备的域用户，然后单击确定。

6. 单击确定关闭组属性。

步骤 2. 创建新的组策略对象以禁用 USB 存储设备。

1. 打开组策略管理。

2. 在“域”对象下，右键单击您的域并选择在此域中创建 GPO 并将其链接到此处。

3. 键入新 GPO 的名称（例如“USB 已禁用”），然后单击确定。

4. 右键单击新 GPO，然后单击编辑。

5. 在“组策略管理编辑器”中，导航至：

User Configuration > Policies > Administrative Templates > System > Removable Storage Access

4. 在右侧窗格中，双击：可移动磁盘：拒绝读取访问。 *

* 注意：
1. 此时许多教程建议启用“所有可移动存储类别：拒绝所有访问” ' 政策，但在我们的测试中我们发现该政策不适用于（工作）智能手机或平板电脑。

2. 如果您想阻止 USB 写入访问，请选择可移动磁盘：拒绝写入访问。

5.选中启用并单击确定。

6.关闭组策略管理编辑器窗口。

7. 返回“组策略管理”，选择“USB 已禁用”GPO，然后在“范围”选项卡中单击添加按钮（在“安全过滤”设置下） ）。

8. 输入“USB 禁用用户”组的名称（例如本文中的“USB 禁用用户”），然后单击确定。

9.完成后，选择委派选项卡。

10. 在“委派”选项卡中，选择经过身份验证的用户，然后单击高级。

11。在安全选项中，选择经过身份验证的用户并取消选中应用组策略复选框。完成后，点击确定。

6.关闭组策略编辑器。

7.重新启动服务器和客户端计算机，或运行“gpupdate /force”命令（以管理员身份），将新的组策略设置（无需重新启动）应用到服务器和客户端。

就是这样！请留下您对您的经历的评论，让我知道本指南是否对您有帮助。请喜欢并分享本指南以帮助他人。