把下段斜杠内的内容拷到文本文档中,保存成.ADM文件,然后打开你要做限制的OU的组策略,展开“用户配置,管理模板”,右击管理模板,添加/删除模板,然后把刚才保存的ADM文件导入!现在在这个OU下的所有用户将无法使用USB存储设备!
//////////////////////////////////////////////////////
CLASS USER
CATEGORY !!ADMDesc
POLICY !!MMC_DeviceManagerX
KEYNAME "Software\Policies\Microsoft\MMC\{90087284-d6d6-11d0-8353-00a0c90640bf}"
#if version >= 4
SUPPORTED !!SUPPORTED_Win2k
#endif
EXPLAIN !!MMC_Restrict_Explain
valueNAME "Restrict_Run"
valueON NUMERIC 0
valueOFF NUMERIC 1
END POLICY
POLICY !!MMC_DeviceManager
KEYNAME "Software\Policies\Microsoft\MMC\{74246bfc-4c96-11d0-abef-0020af6b0b7a}"
#if version >= 4
SUPPORTED !!SUPPORTED_Win2k
#endif
EXPLAIN !!DEVMGR_Restrict_Explain
valueNAME "Restrict_Run"
valueON NUMERIC 0
valueOFF NUMERIC 1
END POLICY
End CATEGORY
CLASS MACHINE
CATEGORY !!ADMDesc
POLICY !!USB_UHCD_PARAMS
KEYNAME "SYSTEM\CurrentControlSet\Services\uhcd"
EXPLAIN !!STARTUPTYPE_HELP
PART !!STARTUPTYPE NUMERIC REQUIRED
valueNAME "START"
MIN 3 MAX 4 DEFAULT 3
END PART
END POLICY
POLICY !!USB_UHCI_PARAMS
KEYNAME "SYSTEM\CurrentControlSet\Services\usbuhci"
EXPLAIN !!STARTUPTYPE_HELP
PART !!STARTUPTYPE NUMERIC REQUIRED
valueNAME "START"
MIN 3 MAX 4 DEFAULT 3
END PART
END POLICY
POLICY !!USB_EHCI_PARAMS
KEYNAME "SYSTEM\CurrentControlSet\Services\usbehci"
EXPLAIN !!STARTUPTYPE_HELP
PART !!STARTUPTYPE NUMERIC REQUIRED
valueNAME "START"
MIN 3 MAX 4 DEFAULT 3
END PART
END POLICY
POLICY !!USB_HUB
KEYNAME "SYSTEM\CurrentControlSet\Services\usbhub"
EXPLAIN !!STARTUPTYPE_HELP
PART !!STARTUPTYPE NUMERIC REQUIRED
valueNAME "START"
MIN 3 MAX 4 DEFAULT 3
END PART
END POLICY
POLICY !!CD_ROM
KEYNAME "SYSTEM\CurrentControlSet\Services\cdrom"
EXPLAIN !!STARTUPTYPE_HELP
PART !!STARTUPTYPE NUMERIC REQUIRED
valueNAME "START"
MIN 3 MAX 4 DEFAULT 3
END PART
END POLICY
POLICY !!Floppy_Disk
KEYNAME "SYSTEM\CurrentControlSet\Services\flpydisk"
EXPLAIN !!STARTUPTYPE_HELP
PART !!STARTUPTYPE NUMERIC REQUIRED
valueNAME "START"
MIN 3 MAX 4 DEFAULT 3
END PART
END POLICY
End CATEGORY
[strings]
ADMDesc="自定义策略"
MMC_DeviceManagerX="设备管理器扩展插件"
MMC_DeviceManager="设备管理器"
SUPPORTED_Win2k="至少使用Microsoft Windows 2000"
MMC_Restrict_Explain="Disable —— 禁用设备管理器扩展插件;Enable —— 启用设备管理器扩展插件 "
DEVMGR_Restrict_Explain="Disable —— 禁用设备管理器;Enable —— 启用设备管理器"
USB_UHCD_PARAMS="USB通用主控制器驱动器"
STARTUPTYPE_HELP="启动类型,3-手动,4-禁用"
STARTUPTYPE="启动类型"
USB_EHCI_PARAMS="Microsoft USB 2.0 Enhanced Host Controller Miniport Driver"
USB_UHCI_PARAMS="Microsoft USB Universal Host Controller Miniport Driver"
USB_HUB="Microsoft USB Standard Hub Driver"
CD_ROM="光驱"
Floppy_Disk="软驱"
//////////////////////////////////////////////////////////
还有种方法就是让每台机子开机时导入一个注册表文件(如何让每台机子开机导入注册表文件,就不用我讲了吧),文件内容为:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
"start"=dword:00000004
然后在OU的计算机配置--windows设置--安全设置-注册表 里面添一条:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR
在该注册表项的权限设置中,将所有用户删除!只留 domain\administrator用户!
一、在WindowsXP中禁用和管理USB接口
1. 计算机未安装USB设备
这种情况可以采取将%SystemRoot%Inf下的Usbstor.pnf和Usbstor.inf两个文件设置其用户的控制权
限。
Step1:右击这两个文件,选择“属性→安全→高级”,在“权限”页面中取消“从父项继承那些可以应
用到子对象的权限项目,包括那些在此明确定义的项目”复选框。
Step2:在“安全”页面中,选择要屏蔽的用户或用户组,在“完全控制”中选择“拒绝”复选框,然后
单击“确定”。
这种通过分配权限的方法,可以指定哪些用户可以使用USB设备,哪些用户不可以使用USB设备,和下面的
“Windows NT以上系统通用方法”一样,灵活性较大,所以建议采用该方法限制用户安装USB设备。
2. 计算机已安装了USB设备
这种情况可以通过修改注册表来实现。方法是修改注册表中
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUSBSTOR下的“Start”值,改为十六位进制
数值“4”。
该方法修改后,当用户将USB存储设备连接到计算机时,该设备将无法运行。
二、Windows NT以上系统通用方法
运行注册表编辑器,找到HKEY_LOCAL_MACHINESYSTEMControlSet002ServicesUSBSTOR键,取消
System的所有控制权。如果要分配控制权,只需要对相应用户设置控制权限就可以了。
小提示:Windows 2000中要设置注册表的控制权限,需用Regedt32.exe注册表编辑器。
三、禁止和管理域中多台计算机USB设备的使用
方法很简单,就是在域控制器上通过组策略限制用户对“Windows NT以上系统通用方法”中注册表键的控
制权即可。
组策略禁止USB最好的方法
精选 转载上一篇:Explorer程序出错
-
AD 组策略 | 服务器管理 | 组策略计算机配置
上一篇介绍组策略是 Windows AD 活动目录中的一项管理功能,用于在网络中集中管理计算机和用户的配置。组策略允许系统管理员通过定义规则和设置,对计算机和用户的行为进行控制。其中,计算机配置和用户配置两个关键功能。今天我们以计算机配置为例进行操作展示。想想关于计算机配置里面的所有配置项在200左右(这个回头我可以统计下),统一管理成千上万台客户端和服务器。那效率咋样? - **系统级设置:** 计算机配置允许我们定义适用于整个计算机的设置。包括安全设置、脚本执行、网络设置等。 - **软件部署:** 我们可以使用计算机配置来部署软件和应用程序,确保特定计算机上安装了所需的软件。
AD 组策略管理 AD GPO 配置 AD 域策略 域策略计算机配置 组策略管理 -
组策略禁止使用USB
域环境下禁用USB口设备。请问如何在域环境下,禁用客户端的USB接口 回答:根据您的需求, Windows识别USB设备主要通过两个文件,一个是Usbstor.pnf、另外一个是Usbstor.inf,当在电脑第一次使用USB设备之前禁用这两个文件即可达到我们的目标。1、打开Active Directory用户和计算机;2、选择需要禁用USB设备的OU,并点击鼠标右键进行组策略;3、创建一个针对USB的GPO,并点击编辑,打开组策略编辑器;4、进入组策略编辑器,依次展开“计算机配置”、“Windows设置”、“安全设置“、”文件系统”;
组策略 禁止 usb 组策略 禁用usb 组策略禁止usb 组策略限制usb 组策略关闭usb -
组策略(禁止存储介质)
按需配置,不要作用在虚拟化的服务器区域
组策略 服务器 虚拟化 -
Active Directory只读USB组策略策略
个人学习仅供学习参考,不喜勿喷
AD活动目录启动USB只读权限