Windows组策略屏蔽U盘有妙法

1、1Windows 组策略屏蔽 U 盘有妙法基本原理 组策略实现的原理实际上就是修改注册表，当域用户登录到域上时，系统会对指定的客 户端实施组策略，也即修改客户端的注册表，当我们新建了一个组策略时，系统实际上是拷 贝了三个模板文件，在您修改组策略时，实际上是在修改这些模板的副本，然后把这些策略 应用到指定的客户端中去，然而 Windows 2000 Server 系统提供的组策略模板中并没有我们 想要的屏蔽 U 盘的策略，但我们可以手动修改系统的模板文件，使组策略模板具备屏蔽U 盘的策略，实际上根据其原理，凡是修改注册表能做到的，基本上都可以在域中使用组策略实 现。实现方法1、在域控制器上打开

2、Active Directory 用户和计算机，找到您要屏蔽 U 盘的组织单位（Organizational Unit 简称 OU，右键查看此组织单位的属性，点击组策略页面，新建一 个组策略，命名并保存为“屏蔽 U 盘”，建好后，双击“屏蔽 U 盘”（必需先打开一次，否 则系统不会拷贝那几个模板文件） ，在打开的标题为“组策略”的窗口的左边， 按以下顺序定 位“用户配置管理模板-Windows 组件-Windows 资源管理器”，选中 Windows 资源管理器， 在右边的窗口中会显示如图 1 所示。2乎pgy艸gg|t0 酬财曲* 辭以icf * * tfiitm叫1我们可以看到有“隐藏我的

3、电脑中的这些指定的驱动器”和“防止从我的电脑访问驱动器”，双击打开其中一项策略，选择“启用”，下面的下拉框会变亮，单击下拉框，如图2所示，您会发现系统提供了 7 种限制访问驱动器号的组合，其中也包括了 “不限制驱动器”， 显然，这些组合不能满足我们的要求（因为 U 盘的盘符通常是排在最后的，而且现在的硬盘 比较大，少则也有三四个分区）。Active* tj-* Ju* njfw*冲”4ifWttl*!ftasw * M祐涉屮 斗册 fffl 車b胁*1?神丹6障1粗Antmwtuxn*上 S的TF I，vurvif*iltiro*Hfm-Jht#wrM* J(l*-*-*3 ninriri忡n

4、q*吟时fFT J H如樽 JMTVXf R04MPNIILV覺KB l irauM -JE*明-阿*wt说和电儿裤wr站丁 mi32、在域控制器上打开 Active Directory 用户和计算机，在刚才我们新建的“屏蔽 U 盘” 策略上单击右键选择查看属性，在如图 3 所示的位置找到屏蔽 U 盘的组策略的唯一的名称， 此名称为一长串数字和字母组成，本例中为 82F86A8E-B345-4DDC-A304-E448F6E900A9记 下此字符串。3、 打开系统盘， 定位以 82F86A8E-B345-4DDC-A304-E448F6E900A 命名的文件夹， 此文 件夹位于“ C:，注意其

5、中 2000 的域名，打开82F86A8E-B345-4DDC-A304-E448F6E900A9 目 jiBSSl.费saifm|母bey叙 些包 卄” r:-4刨jja a 8 lRj量*理k 宰mr mri4T一r4录，找到 ADM 目录下的 system.adm 文件，此文件是我们在实施组策略的模板文件，是一个纯 文本文件，可用记事本打开，找到下面这两段代码：* POLICY !NoDrivesEXPLAIN !NoDrives_HelpPART !NoDrivesDropdown DROPDOWNLIST NOSORT REQUIRED VALUENAME NoDrivesITEML

6、ISTNAME !ABOnlyNAME !COnlyNAME !DOnlyNAME !ABConlyVALUE NUMERIC 3VALUE NUMERIC4VALUE NUMERIC 8VALUE NUMERIC 7NAME !ABCDOnlyVALUE NUM ERIC15NAME !ALLDrives VALUE NUMERIC DEFAULT; low 26 bits on (1 bit per drive)NAME !RestNoDrivesVALUE NUMERIC 0END ITEMLISTEND PARTEND POLICY* POLICY !NoViewOnDriveEXPL

7、AIN !NoViewOnDrive_HelpPART !NoDrivesDropdown DROPDOWNLIST NOSORT REQUIREDVALUENAME NoViewOnDriveITEMLISTNAME !ABOnlyNAME !COnlyNAME !DOnlyNAME !ABConlyNAME !ABCDOnlyVALUE NUMERIC 3VALUE NUMERIC4VALUE NUMERIC 8VALUE NUMERIC 7VALUE NUMERIC15NAME !ALLDrives VALUE NUMERIC DEFAULT; low 26 bits on (1 bit

8、 per drive)NAME !RestNoDrivesVALUE NUMERIC 0END ITEMLIST END PARTEND POLICY说明：这是两个策略，第一个 !NoDrive ，它的作用是在我的电脑中不显示指定的驱动器 名，驱动器号代表的所有驱动器不出现在标准的打开对话框上，但是在地址栏中输入盘符或 新建一个指向硬盘盘符的快捷方式，用户仍然可以访问该驱动器；第二个 !NoViewOnDrive 的作用是阻止用户访问驱动器。可以阻止上述情况的出现，但是仅仅用第二个的话，用户可 以看见该驱动器的盘符，但不能访问，一般情况，两个同时使用，可以达到比较理想的效果。仔细观察上述代码，

9、不难发现，其中一共有 7 个 NAM 项，正好和我们图 2 下拉框中的一 一对应，后面的 VALUENUMERI 按照 low 26 bits on (1 bit per drive)的规则取值，low 26 bits on 的意思说值为 26 位的二进制，最多可指定 26 个驱动器盘符，而 1 bit per drive 则代表 1 位代表 1 个驱动器， 举例说 A=1， B=2， C=4， D=8， E=16， F=32， G=64， H=128， I=256 ， 由低到高，以此类推。我们可根据我们的需要修改此代码段，假如我们要隐藏A、B、C、F、5G H I，您可以根据您的需要而定，推

10、荐隐藏的盘符数量应该大于您的现有的盘符数加上您 客户端所有的 USB 接口数（防止有人同时插入几个 U 盘，呵呵！）那么我们计算出 VALUENUMERIC数值 A+B+C+F+G+H+I = 1+2+4+32+64+128+256 =487 在两个策略中的NAME !ABCD On lyVALUE NUMERIC 15下插入一行NAME !ABCFGHIO nly VALUE NUMERIC 487随后，移到 System.adm 文件的末尾，在 ABConly=仅限制驱动器 A、B 和 C下面插入 一行数据，ABCFGHIO 门=仅限制驱动器 A、B、C、F、G H、I等于号后引号内的说明

11、您可以根据自己的喜好定义，它将会显示在如图2 的下拉框中。保存后，打开“屏蔽 U 盘”策略，定位“用户配置-管理模板-Windows 组件-Windows 资源管理 器”，在右边的窗口中双击“隐藏我的电脑中的这些指定的驱动器”或“防止从我的电脑访 问驱动器”其中的一个，点击“启用”，再点击下拉框，哈哈，您会发现您多了一个选项（如 图 4）。这时候，您只要在您想屏蔽的用户的组织单位上应用此策略（别忘了这两个策略都需要 设置），保存后，包含于该组织单位下的用户登录时，便会发现他的U 盘插上后，系统虽能识别并正确安装驱动，但在“我的电脑”中却无法看见，并且通过其他方法也无法访问，包 括在地址栏中输入

12、盘符。至此，全部设置完毕，让您的客户段使用此 OU 下的用户登录看看吧！其他注意事项：1、 这种方法在您的客户端很多的时候，很方便，您只要确保客户端登录用户属于您已应 用此组策略的 OUT 即可，如果暂时需要允许他使用 U 盘，那只要把该用户移出此 OU 该用 户再注销重新登录一下就 OK2、 需要注意的是，您在 OU 中建立用户时，用户缺省是属于 Domainusers 组，这对于大 多数软件来说没有问题， 但会使有些软件无法安装或运行， 您可以赋予这些用户在客户端本 机的 Poweruser 组的权限，即可解决3、 注意这种方法同时也屏蔽了您的光驱盘符， 光驱也是不能访问的。当然 U 盘都屏蔽了， 我 * fibBHI!*.- .-斗 皿FlI|bl_j旦|: J1加 P1垃iTH- UH_| FWS矗111L-JTW* C 5Ufi.*!* PWT11TTTitf Hf賣U6想光驱就更该屏蔽了，呵呵！如果实在要访问，可以在计算机管理中的磁盘管理中赋予光 驱一个靠后的盘符即可。4、 0U 是可以嵌套的，客户端组策略的应用是从域根到 0U 再到子 0U 而且是可以覆盖的， 除非您选定了“阻止策略继承”。如果您在父 0U 上设置了屏蔽 U 盘，但在子 0U 中又取消了 屏蔽，那么客户端的 U 盘是不会被屏蔽的。5、 如果您在一个 0U 中设置了此屏蔽策略，但您又要在其他同级的 0