需依据系统架构与安全等级选择适配路径：一、系统策略禁用，集中管控且不影响键鼠；二、内核模块黑名单，阻断usb-storage/uas驱动加载；三、udev规则精细化管控，按vid/pid白名单放行；四、bios/uefi固件级禁用，最底层彻底切断；五、grub参数usbcore.authorized_default=0，引导阶段拒绝枚举。
如果您在银河麒麟企业级环境中需落实数据防泄露策略，必须对USB接口实施有效管控，则需依据系统架构与安全等级选择适配的技术路径。以下是实现USB接口禁用的多种方法：
一、通过系统策略禁用USB存储设备
该方法直接作用于银河麒麟云桌面或桌面操作系统的权限管理层，可在管理平台统一配置并下发至所有终端，具备策略集中、生效及时、不影响其他USB外设（如键盘鼠标）的特点。
1、登录银河麒麟云桌面管理平台或本地系统管理员账户。
2、进入“安全管理”或“设备策略管理”模块。
3、定位“USB设备控制策略”，启用“禁止USB存储设备接入”选项。
4、设置策略应用范围为全部用户组或指定组织单元。
5、点击“立即推送”或“同步策略”，等待终端接收并生效。
二、编辑内核模块黑名单文件
该方法从Linux内核加载层阻断USB存储驱动加载，适用于银河麒麟桌面操作系统（基于Debian/Ubuntu），禁用后U盘、移动硬盘等设备将无法被系统识别，且无需重启即可部分生效，但完整生效需重启。
1、以root权限打开终端，执行命令：sudo nano /etc/modprobe.d/blacklist.conf。
2、在文件末尾新增两行内容：blacklist uas 和 blacklist usb_storage。
3、保存退出后，执行：sudo update-initramfs -u。
4、执行：sudo reboot 重启系统使配置完全生效。
三、配置udev规则实现精细化管控
该方法支持按设备厂商ID、产品ID甚至序列号进行白名单/黑名单控制，适用于需保留特定USB设备（如加密UKey、专用扫描仪）而禁用其余存储类设备的高安全场景。
1、获取目标USB设备信息，执行：lsusb -v -s 001:002 | grep -E "(idVendor|idProduct|iSerial)"。
2、创建规则文件：sudo nano /etc/udev/rules.d/99-usb-block.rules。
3、写入规则：例如禁用所有非白名单USB存储设备，添加行：ACTION=="add", SUBSYSTEMS=="usb", DRIVERS=="usb", ATTR{bDeviceClass}!="09", RUN+="/bin/sh -c 'echo 0 > /sys%p/authorized'"。
4、重载udev规则：sudo udevadm control --reload-rules。
5、触发规则更新：sudo udevadm trigger。
6、重启系统或重新插拔USB设备验证效果。
四、BIOS/UEFI固件级禁用USB控制器
该方法在硬件启动初期即切断USB主控制器供电或响应能力，属于最底层、最彻底的禁用方式，适用于物理环境可控、无须频繁变更外设策略的封闭办公终端。
1、重启银河麒麟终端设备，在开机自检画面出现时连续按 Del 或 F2 键 进入BIOS/UEFI设置界面。
2、使用方向键导航至 Advanced → USB Configuration 或 Integrated Peripherals → OnChip USB Controller。
3、将 USB Ports、Front USB Ports 及 USB 3.0 Controller 全部设为 Disabled。
4、按 F10 保存设置并退出，系统自动重启。
五、通过GRUB内核启动参数禁用USB核心授权
该方法修改系统引导阶段行为，使内核初始化时默认拒绝所有USB设备枚举，可配合黑名单使用以增强防护强度，适用于对USB零容忍的强监管终端。
1、以root权限编辑GRUB配置文件：sudo nano /etc/default/grub。
2、找到 GRUB_CMDLINE_LINUX 行，在引号内添加参数：usbcore.authorized_default=0。
3、保存后执行：sudo update-grub。
4、执行：sudo reboot 完成重启生效。
