禁用USB设备

转贴http://gnaw0725.blogbus.com/logs/36492598.html

在Windows Server 2008的DC下禁用USB存储设备包括光驱U盘等等对客户端操作系统补丁有无具体要求？是如何操作的？客户端不是Vista而是Windows XP SP2、SP3的情况下，是否有解决方案？

回答：根据您的描述，我对这个问题的理解是：需要在2008DC环境下对XP SP2/SP3客户机禁用USB设备。该问题要分成两种情况处理：

1. 对于已经安装过USB驱动的客户机：
我们可以使用组策略中的管理模板，对客户机分发“HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/UsbStor”注册表键值，将该值设为4。

2. 对于尚未安装USB驱动的客户机：
需要使用组策略为客户机上的以下文件设置拒绝访问权限：

%SystemRoot%/Inf/Usbstor.pnf
%SystemRoot%/Inf/Usbstor.inf

更多关于如何禁用USB的信息，请参考以下文章：

How can I prevent users from connecting to a USB storage device?
http://support.microsoft.com/?id=823732

举个例子，我们可以按照以下步骤进行：

1. 根据以下文章的说明，在DC上建立一个adm文件，比如c:/windows/inf/denyusb.adm:
HOWTO: Use Group Policy to disable USB, CD-ROM, Floppy Disk and LS-120 drivers
http://support.microsoft.com/?id=555324

2. 对客户机所在OU新建一个GPO并进行编辑，将”View”->Filtering”->”Only show policy settings that can be fully managed”选项取消。您看到的文章来自活动目录seo http://gnaw0725.blogbus.com/c1404552/

3. 右键点计算机配置下的管理模板，然后将建立的denyusb.adm加入。
将管理模板下的”Custom Policy Settings”->”Restrict Drives”->”Disable USB”启用。

4. 展开以下GPO节点：
“Computer Configuration”->”Windows Settings”->”Security Settings”->”File System”

5. 右击”File System”然后”Add File”，然后将以下文件加入并赋予”Users”组Deny Full Control的权限：

%SystemRoot%/Inf/Usbstor.pnf
%SystemRoot%/Inf/Usbstor.inf

确认此选项已经设置：“Configure this file or folder then”->”Propagate inheritable permissions to all subfolders and files”.

客户机重启以后或刷新策略后，USB设备会被禁用。

穆骥 微软全球技术支持中心

禁止USB设备的相关文章请参考
域环境下禁用USB口设备活动目录SEO
脚本禁用usb接口屏蔽usb端口活动目录SEO
脚本禁用USB存储设备活动目录SEO
关于如何使用策略禁止USB的问题活动目录SEO
活动目录网域中禁用移动存储（U盘） 活动目录SEO

组策略封闭使用usb 活动目录SEO
企业WindowsXP安全解决方案客户端如何进行安全设置活动目录SEO
http://www.googlesyndicatedsearch.com/u/blogbus?hl=zh-CN&inlang=zh-CN&newwindow=1&ie=UTF-8&q=site:gnaw0725.blogbus.com+%E7%A6%81%E7%94%A8usb%E8%AE%BE%E5%A4%87&start=10&sa=N