如何禁用附加 USB 键盘的功能？

Question

我们希望保护公司免受充当键盘的恶意 USB 设备的侵害。当然，我们可以阻止所有 USB 设备，但这给我们带来了一个问题，即我们的大多数用户在笔记本电脑上使用外接键盘。我们也可以使用一些硬件 USB 锁，但我们发现这对我们的笔记本电脑来说不切实际。

如何在不禁用特定供应商 ID（或已安装的键盘）的情况下禁用附加 USB 键盘的安装？如果可以通过组策略完成此操作，那就更好了。