在银河麒麟v10中实施usb外设精准管控需先启用外设管控基础框架，再依需求配置黑名单（禁用全部u盘/移动硬盘）或白名单（仅允许可信设备），二者不可混用；黑名单可通过图形界面一键启用或内核层屏蔽usb_storage驱动，白名单须通过udev规则按vid/pid精确匹配并重载生效。
在银河麒麟V10中对USB键盘、鼠标、U盘、移动硬盘等外设实施精准管控，需区分“禁止接入”（黑名单）与“仅允许可信设备”（白名单）两类策略，二者不可混用，否则将导致鼠标失灵或UKey无法识别等严重操作中断。
启用外设管控基础框架
外设管控功能依赖系统级安全服务，未激活该框架则后续所有黑白名单设置均无效。
点击屏幕左下角「开始菜单」→ 在搜索框输入“安全中心”并回车打开。
在安全中心主界面左侧导航栏中，点击「设备安全」选项卡。
确认右侧“外设管控”开关处于开启状态；若为灰色关闭状态，请点击切换为蓝色开启——【必须先开启此总开关，否则下方所有子项呈禁用状态】。
配置USB存储设备黑名单（禁止所有U盘/移动硬盘）
适用于办公终端统一禁用可移动存储介质的场景，操作后插入任意U盘将直接提示“设备被系统阻止”。
方法一：图形界面一键禁用（推荐桌面版SP3 2303）
向下滚动至「权限控制」区域 → 点击「移动储存」→ 将「禁止USB存储设备接入」设为启用。
方法二：内核层彻底屏蔽（服务器/封闭环境适用）
以root权限执行：sudo nano /etc/modprobe.d/blacklist.conf，在文件末尾新增两行：blacklist uasblacklist usb_storage
保存后必须运行 sudo update-initramfs -u，否则重启后驱动仍会加载。
配置USB设备白名单（仅允许指定设备）
当需保留加密UKey、专用扫描仪、定制工控USB模块时，必须采用udev规则方式，在设备节点生成前即完成拦截，绕过上层策略干扰。
第一步：插入目标允许设备，执行 lsusb 记录总线号与设备号（如 002:004）。
第二步：执行 lsusb -v -s 002:004 | grep -E "(idVendor|idProduct)"，提取 idVendor=0a89 和 idProduct=1234 值。
第三步：创建规则文件 sudo nano /etc/udev/rules.d/99-usb-allow.rules，写入：ACTION=="add", ATTRS{idVendor}=="0a89", ATTRS{idProduct}=="1234", MODE="0664", GROUP="plugdev"
注意：每行末尾不能有空格，引号必须为英文半角；该规则赋予设备读写权限，不加则默认无访问权。
第四步：重载udev规则并触发重新识别：sudo udevadm control --reload-rules && sudo udevadm trigger。
第五步：拔插设备验证——仅匹配该VID/PID的设备能正常挂载，其余USB存储设备插入后无任何响应，dmesg 中亦无相关枚举日志。
