声明：本文转载自gnaw0725.blogbus.com，更新网址：http://gnaw0725.blog.51cto.com。

     活动目录网域中禁用移动存储（U盘）:由于安全须要,要禁用U盘的使用,但是不禁用其它usb接口的设备,查了一下,发现有一份资料这样写:

运行注册表编辑器，找到HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\USBSTOR键，取消System的所有控制权。如果要分配控制权，只需要对相应用户设置控制权限就可以了。

问题1:我按照上面的描述,我在DC上的组策略中的"安全选项"-"注册表",新建一项,然后找到HKEY_LOCAL_MACHINE\SYSTEM,但是里面没有ControlSet002,只有ControlSet001和ControlSet003.不知是什么原因?

问题2:上面要求分配控制权,如果客户端的系统所在的分区不是NTFS,那么这个安全策略是否起作用?

答：关于Active Directory中禁用移动存储的问题，我之前写过两篇文章

一、关于如何使用策略禁用USB的问题 此文章中借用MS KB823732 来说明禁用USB存储设备的原理，但这个方法存在两点问题：

1、要求用户之前没有使用过USB，否则可能就不起作用了。

2、由于是针对计算机的策略，故而无法针对用户来控制。（用户有可能在其他计算机上登陆，也有可能临时的开放使用USB设备）

BTW：用策略控制移动存储有些难度，制作策略比较麻烦，于是国外的一个MVP Simon Geary 写了一个kb555324 HOWTO： 使用组策略来禁用 USB、 CD-ROM、 软盘和 LS-120 驱动程序 大家可以用他写的adm模版直接导入GPO使用。

二、移动存储管理 由于上面方法中存在的问题，我就写了这个文章，大家可以用一些第三方的工具来灵活管控用户账户使用USB的权限，诸如 GFI LANguard 或者 CenterTools DriveLock 等等。这些工具都具有如下这些特点：

  • 需要部署客户端的Agent
  • 可以针对用户账户处理
  • 可以管理更多类型的移动存储，比如DVD刻录机，比如蓝牙，比如MP3、smartphone等等
  • 可以通过远程管理
  • 可以得到部署的数据

BTW：一直到Vista，虽然在策略中添加了移动存储的项目，但仅仅是计算机的策略，不能针对用户管理。呵呵MS要把空间留给第三方厂商嘛：）OK，下面来回答您的问题：

问题1:我按照上面的描述,我在DC上的组策略中的"安全选项"-"注册表",新建一项,然后找到HKEY_LOCAL_MACHINE\SYSTEM,但是里面没有ControlSet002,只有ControlSet001和ControlSet003.不知是什么原因?

回答：您看到的描述可能有问题，请直接修改 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor 关于 ControlSetxxx是这样的，这个项目的作用就是您在计算机启动的时候按 F8，然后选择 最近一次的正确配置 那么，OS就会加载 ControlSet001下的配置，如果仍旧失败，尝试002，依此类推。

问题2:上面要求分配控制权,如果客户端的系统所在的分区不是NTFS,那么这个安全策略是否起作用?

回答：如果系统所在分区不是NTFS，则安全项目无效。

 

 

     封闭使用USB问题，当电脑接入一个全新的u盘时，AD组策略里封USB端口策略不起作用

回答：首先，我假设您只是想禁止用户使用USB存储设备，而不是所有USB设备。因此，我建议参考下面两篇文章，来测试是否可以实现通过禁止用户对usbstor.pnf和usbstor.inf的访问来实现禁用USB存储设备：
注意：我建议您先删除以前建立的没有起作用的组策略，而重新创建一个新的策略来测试这个问题。
如何禁用 USB 存储设备
http://support.microsoft.com/kb/823732/zh-cn
如何使用 Xcacls.exe 修改 NTFS 权限
http://support.microsoft.com/kb/318754/zh-cn
参考上面两篇KB，您只需建立一条使用xcacls，设置usbstor.pnf和usbstor.inf上domain users组用户的拒绝权限的登陆脚本，在用户登陆后他们自然就无法使用USB存储设备了，而administrator由于访问权限没有更改，所以可以继续使用USB存储设备。

Xcacls %systemroot%\inf\usbstor.pnf /d “domain users” /y
Xcacls %systemroot%\inf\usbstor.inf /d “domain users” /y
以编辑域策略为例提供设置脚本的步骤如下：
1．将xcacls和脚本放在所有用户都能访问的共享目录内（比如netlogon）
2．运行dsa.msc命令
3．右键点击域名，打开属性
4．点击组策略属性页
5．新建一个组策略，给予一个恰当的名称然后点击编辑（或者编辑默认域策略）
6．定位到：计算机配置->Windows 设置->脚本->启动
7．双击启动脚本，将配置的脚本添加进去
8．点击确定
9．运行gpupdate /force刷新这一策略
这样下次计算机重启后本地文件的权限即被更改了。这一脚本只需运行一次，在您确认所有计算机都执行过这一脚本后，即可撤销这条策略。

潘玉霞 MCSE 微软全球技术支持中心