![拒绝访问 USB 端口,但设置“升级”以允许按需访问](https://linux22.com/image/1496103/%E6%8B%92%E7%BB%9D%E8%AE%BF%E9%97%AE%20USB%20%E7%AB%AF%E5%8F%A3%EF%BC%8C%E4%BD%86%E8%AE%BE%E7%BD%AE%E2%80%9C%E5%8D%87%E7%BA%A7%E2%80%9D%E4%BB%A5%E5%85%81%E8%AE%B8%E6%8C%89%E9%9C%80%E8%AE%BF%E9%97%AE.png)
对于 Windows 7/10,有没有办法阻止对 USB 端口的访问,但使其能够由管理员根据具体情况以 UAC 样式“授权”?
我知道我可以通过 GPO 来阻止 USB 端口,但是如果有人真的有正当需求需要使用 USB 端口,那么解决这个问题就会很麻烦。
答案1
为此,我创建了禁用组、读取启用组和写入启用组。使用 GPO,您可以对它们进行排序,以便一个接一个地进行处理。因此,每个人都被塞进禁用组中,禁用组首先运行,然后读取和写入组第二个运行,并反转禁用 GPO 中实施的任何策略。您还可以“强制执行”读取和写入 GPO,这样禁用组就无法覆盖它(如果适用)。
然后你只要让他们提交一张票或其他什么的,然后把他们放到组中,对他们执行 gpupdate \force,然后让他们做 w/e。
您也可以前往那里并修改本地组策略以允许它。
或者,您可以使用第三方应用程序,或者自行将数据复制到记忆棒上。
答案2
如果您的环境中有 Symantec Endpoint Protection,除了使用 GPO 之外,SEP 也可以在本地执行。SEP 可以在执行可移动媒体策略的同时维护主机的完整性。同样重要的是,您可以为离网的机器设置更严格的策略。您可以使用 AD 属性来分配策略,这将与您允许管理员访问的意图相一致。您还可以对某些类型的闪存驱动器(如安全加密的闪存驱动器)使用设置限额。
并不是想强迫您接受,但除了 Desthro 建议的 GPO 方法之外,这是您可以使用的一种产品选项。