最稳妥的方式是组合启用“可移动存储访问控制”和“设备安装限制”，再配合硬件ID白名单，既能彻底阻止U盘、移动硬盘等非授权设备，又不影响键盘、鼠标等必需外设。最稳妥的方式是组合启用“可移动存储访问控制”和“设备安装限制”，再配合硬件ID白名单，既能彻底阻止U盘、移动硬盘等非授权设备，又不影响键盘、鼠标等必需外设。
核心策略：禁用所有可移动存储类权限
这是第一道防线，直接切断系统对usb存储设备的读写能力：
- 按 Win + R 输入 gpedit.msc 打开本地组策略编辑器
- 路径：计算机配置 → 管理模板 → 系统 → 可移动存储访问
- 依次启用以下三项（全部设为“已启用”）：
• 所有可移动存储类：拒绝所有权限
• 可移动磁盘：拒绝读取访问
• 可移动磁盘：拒绝写入访问 - 执行 gpupdate /force 刷新策略，建议重启生效
关键加固：阻止未授权USB设备驱动安装
仅靠上一步无法拦截已安装驱动的设备，必须叠加驱动级拦截：
- 路径：计算机配置 → 管理模板 → 系统 → 设备安装 → 设备安装限制
- 启用“禁止安装匹配下列设备ID的设备”，并在下方添加：
USBSTOR\*
（该通配符覆盖绝大多数U盘、移动硬盘、SD卡读卡器） - 同时启用“防止用户安装未由管理员批准的即插即用设备”
- 禁用“允许管理员覆盖设备安装限制”，防止本地管理员绕过
白名单保留：让键盘等必需设备照常工作
Windows默认不会把标准USB键盘/鼠标归入USBSTOR类，所以它们天然不受影响。但若遇到特殊设备（如带存储功能的电竞键盘），需主动放行：
- 在相同策略“禁止安装匹配下列设备ID的设备”中，点击“显示”按钮
- 添加明确的白名单硬件ID，例如：
USB\VID_046D&PID_C52B（罗技某款键盘）
USB\VID_05AC&PID_0272（苹果键盘） - 硬件ID可在设备管理器中右键设备 → 属性 → 详细信息 → “硬件ID”下拉框中查看
- 注意：白名单ID必须放在“禁止列表”的上方，策略按顺序匹配，先命中即生效
验证与日常维护要点
配置后务必检查是否真正起效，避免策略未应用或被继承覆盖：
- 插入U盘后，设备管理器中不应出现“通用卷”“USB大容量存储设备”，也不应有黄色感叹号
- 事件查看器 → Windows日志 → 系统中搜索事件ID 219，确认有“设备安装被阻止”记录
- 策略必须链接到计算机OU，而非用户OU；且确认GPO状态为“已启用”“已应用”
- 如需临时恢复，将上述策略全部设为“未配置”，再执行 gpupdate /force
