组策略禁用u盘拷贝需启用“可移动磁盘：拒绝写入权限”并执行gpupdate /force刷新或重启生效，否则设置无效；设备管理器禁用usb存储会连带禁用键盘鼠标；白名单管控和剪贴板/拖拽限制才是真正阻断外泄的关键。
电脑设置了禁止U盘拷贝或文件外发，但别人仍能轻松复制走敏感资料，说明防护策略没真正落地生效。
检查组策略是否被绕过
打开运行窗口（Win+R），输入 gpedit.msc 回车，进入本地组策略编辑器；
依次展开「计算机配置 → 管理模板 → 系统 → 可移动存储访问」；
确认「可移动磁盘：拒绝写入权限」已设为【已启用】，且状态栏显示“已启用”而非“未配置”；
关键点：组策略设置后必须刷新或重启才生效——按 Win+R 输入 gpupdate /force 回车，强制更新策略，否则设置只是纸上谈兵。
验证USB禁用是否真实生效
方法一：设备管理器禁用法
右键“此电脑”→“管理”→“设备管理器”，展开「通用串行总线控制器」；
找到带“USB Mass Storage”字样的设备，右键→“禁用设备”；
⚠️注意：【禁用后键盘、鼠标也会失灵，除非你用的是蓝牙或PS/2接口设备】，该方法不适合日常办公场景。
方法二：白名单式USB管控
插入你自己的U盘→在域智盾软件中点击“USB设备管理”→勾选该U盘的硬件ID→添加进白名单；
再插入其他U盘，系统会直接不识别，连盘符都不出现——这才是真正阻断拷贝的底层控制。
排查剪贴板与拖拽泄露路径
第一步：关闭剪贴板历史记录
设置→蓝牙和其他设备→剪贴板→关闭“剪贴板历史记录”和“跨设备同步”；
第二步：禁用文件拖拽功能
在域智盾的「文档操作控制」模块中，勾选“禁止拖拽到外部程序”，包括微信、钉钉、浏览器地址栏等所有常见出口；
这一步常被忽略：即使U盘被禁，用户仍可通过拖文件进微信对话框发送，防护就形同虚设。
确认加密文件是否真正落地
① 打开一个你认为已加密的Word文档，另存为新文件到桌面；
② 拔掉网络、断开内网，将该新文件拷贝到未授权U盘；
③ 换一台未安装加密软件的电脑，插入U盘尝试打开——如果能正常打开，说明【透明加密未覆盖该程序或未启用落地加密】；
域智盾需在“进程监控”里手动勾选 Microsoft Word.exe 才能对其新建/另存文件实时加密，不是装上就自动全包。
