![为某些本地用户禁用 USB](https://linux22.com/image/1393671/%E4%B8%BA%E6%9F%90%E4%BA%9B%E6%9C%AC%E5%9C%B0%E7%94%A8%E6%88%B7%E7%A6%81%E7%94%A8%20USB.png)
我们的客户希望我们提供的系统必须满足以下要求:
- 只有管理员用户才能访问 USB 闪存驱动器。
- 所有其他本地用户必须完全无法访问 USB 闪存驱动器
理想情况下,他们希望我们不要编辑本地策略。但如果需要,可以使用计算机未连接到任何域控制器。
我想知道是否有可能满足这些要求?
答案1
答案2
如果计算机上尚未安装 USB 存储设备
如果计算机上尚未安装 USB 存储设备,请分配用户或组和本地 SYSTEM 帐户拒绝对以下文件的权限:
%SystemRoot%\Inf\Usbstor.pnf %SystemRoot%\Inf\Usbstor.inf
当您执行此操作时,用户无法在计算机上安装 USB 存储设备。
要为用户或组分配对 Usbstor.pnf 和 Usbstor.inf 文件的拒绝权限,请按照以下步骤操作:
启动 Windows 资源管理器,然后找到 %SystemRoot%\Inf 文件夹。
右键单击 Usbstor.pnf 文件,然后单击“属性”。
单击“安全”选项卡。
在“组或用户名”列表中,添加要为其设置拒绝权限的用户或组。
在“用户名或组名的权限”列表中,单击以选中“完全控制”旁边的“拒绝”复选框。
注意还将系统帐户添加到拒绝列表中。
在组或用户名列表中,选择 SYSTEM 帐户。
在“用户名或组名的权限”列表中,单击以选中“完全控制”旁边的“拒绝”复选框,然后单击“确定”。
右键单击 Usbstor.inf 文件,然后单击“属性”。
单击“安全”选项卡。
在“组或用户名”列表中,添加要为其设置拒绝权限的用户或组。
在“用户名或组名的权限”列表中,单击以选中“完全控制”旁边的“拒绝”复选框。
在组或用户名列表中,选择 SYSTEM 帐户。
在“用户名或组名的权限”列表中,单击以选中“完全控制”旁边的“拒绝”复选框,然后单击“确定”。
答案3
启动 gpedit.msc 并创建新的 GPO。设置过滤器,使管理员用户不会执行此 GP。在以下位置配置读/写/执行项目访问权限:计算机配置 > 策略 > 管理模板 > 系统 > 可移动存储访问。
编辑:好的,我刚刚重读了这个问题:没有本地政策。但这是最好的方法。