在域控制器上通过计算机配置启用“关闭自动播放”并设为“所有驱动器”，可批量禁用U盘等设备的自动播放；需配合设备安装限制与可移动存储访问策略实现双重防护。
直接在域控制器上配置计算机级组策略，启用“关闭自动播放”并设为“所有驱动器”，是最稳妥、可批量生效的方式。
定位并启用核心策略
在组策略管理控制台（GPMC）中编辑目标OU链接的GPO，导航至：
计算机配置 → 管理模板 → Windows 组件 → 自动播放策略
双击右侧的“关闭自动播放”，设置为已启用，并在下拉菜单中选择所有驱动器。该策略作用于整个系统层面，覆盖U盘、移动硬盘、SD卡读卡器等所有可移动存储设备。
确保策略应用范围正确
必须将该策略配置在计算机配置分支下，而非用户配置。原因如下：
- 自动播放行为由系统服务（Shell Hardware Detection）触发，属计算机上下文
- 计算机配置策略优先级高于用户配置，避免被登录用户覆盖
- 域内终端重启后自动加载，无需用户登录即可生效
补充验证与生效要点
策略部署后需确认实际效果：
- 终端执行 gpupdate /force 强制刷新策略（或等待默认90分钟刷新周期）
- 重启终端或至少重启资源管理器进程（explorer.exe），部分旧系统如Win7需重启才完全生效
- 插入U盘验证：不再弹出自动播放窗口，也不自动打开文件夹或运行autorun.inf
搭配设备安装限制提升防护强度
仅关自动播放不能阻止设备识别和读写。建议同步配置：
- 在计算机配置 → 管理模板 → 系统 → 设备安装 → 设备安装限制中，启用“禁止安装与下列设备ID相匹配的设备”，添加硬件ID：USBSTOR\*
- 在计算机配置 → 管理模板 → 系统 → 可移动存储访问中，启用“所有可移动存储类：拒绝所有访问”
这样既阻断自动响应，又从驱动层和访问层双重抑制移动存储设备功能。
