用AD组策略-----彻低禁止USB存储设备.doc

用AD组策略-彻低禁止USB存储设备Update:2008-11-102008-11-10原2008-10-13的更新有误，主要是usbstor.inf和usbstor.pnf的权限设置，现已更正详情请查看2008-10-13更新。2008-10-13更新为了对USB更彻底的控制本次更新将对系统的usbstor.inf和usbstor.pnf的文件权限进行控制这两个文件位于windowsinf目录下（这两个文件是USB存储设备的驱动文件，本策略的原理是利用NTFS权限阻止普通用户加载驱动），注意事项：（1）使用前请确认你的系统盘使用的是NTFS权限，否则此策略将无效。(2) 此策略只能对计算机，不针对用户1、打开组策略编辑器gpmc，选择计算机配置-安全设置-文件系统；z111111111111111.jpg (64.23 KB)2008-10-13 16:382、在右边单击鼠标右键选择添加文件；z111111111111112.jpg (70.11 KB)2008-10-13 16:383、选择系统目录下的C:windowsinfusbstor.inf文件,单击确定；z111111111111113.jpg (81.64 KB)2008-10-13 16:384、出现权限设置对话框，注意这一步很重要一定要删除所有的组；1111.jpg (49.27 KB)2008-11-10 16:5022222.jpg (32.55 KB)2008-11-10 16:505、出现如下对话框，继续单确定；z111111111111116.jpg (81.4 KB)2008-10-13 16:386、按照如上方法再把C:windowsinfusbstor.pnf添加进去，如下图；1.jpg (57.81 KB)2008-11-4 09:207、找一台客户端计算机验证策略，强制刷新策略,重新启动计算机；z111111111111118.jpg (38.99 KB)2008-10-13 16:388、查看客户端计算机c:windowsinfusbstor.inf及usbstor.pnf的NTFS权限，发现里面所有安全组已被删除。策略应用成功，普通用户无法再使用USB存储设备。333333.jpg (87.7 KB)2008-11-10 16:502007-09-10先下载附件里的usb.adm文件详细操作如下:，在DC里的OU里新建一条GPO组策略、添加至组策略-计算机配置-管理模板中，1.jpg (84.73 KB)2007-6-8 19:56、注意在“查看”-“筛选”中去掉“只显示能完全管理的策略设置”前面的勾2.JPG (59.21 KB)2007-6-8 19:563.JPG (78.44 KB)2007-6-8 19:56、右键管理模板-点添加删除模板-添加usb.adm的模板文件-点关闭窗口中出现custom policy settings进入,就可以看到那个设备的,右键你想设置的设备如disable usb 出现属性对话框点已启用在disable usb ports 中选enabled确定后重启计算机,就会发现usb接口不能用了,要恢复就禁用或选disabled,其它设备也是同样的操作.4.JPG (80.78 KB)2007-6-8 19:56为了方便大家阅读重新更新了一下图片.正确的使用方法是在要设置的驱动器里选择”isabled”或”Enabled”例1：禁用软驱;“Disabled Floppy”-选择disabled Flo