通过组策略可禁用USB存储设备以防止数据泄露。1、启用“所有可移动存储类：拒绝所有权限”可彻底禁用U盘；2、启用“可移动磁盘：拒绝写入权限”仅禁止写入；3、通过设备安装限制阻止USB设备安装；4、结合注册表设置强化控制，防止策略被篡改。
如果您希望在公共电脑环境中防止未经授权的数据传输或恶意软件通过U盘传播，可以通过配置本地组策略来禁用USB存储设备的使用。此方法适用于需要集中控制外设访问权限的场景。
本文运行环境：Dell OptiPlex 7080，Windows 11 专业版
一、通过组策略禁用所有可移动磁盘
该方法通过修改本地组策略设置，阻止系统识别和挂载任何可移动存储设备，包括U盘、移动硬盘等，从而有效切断数据非法拷贝的途径。
1、按下 Win + R 组合键打开“运行”窗口，输入 gpedit.msc 并回车，启动本地组策略编辑器。
2、依次展开“计算机配置” → “管理模板” → “系统” → “可移动存储访问”。
3、在右侧找到“所有可移动存储类：拒绝所有权限”策略项，双击打开。
4、选择“已启用”，然后点击“确定”保存设置。
5、重启计算机使策略生效。
二、仅禁止U盘写入但允许读取
此方案适用于需要用户查看U盘内容但禁止其复制文件到U盘的场合，既能满足信息查阅需求，又能防止数据泄露。
1、打开“运行”窗口，输入 gpedit.msc 并进入本地组策略编辑器。
2、导航至“计算机配置” → “管理模板” → “系统” → “可移动存储访问”。
3、双击“可移动磁盘：拒绝写入权限”选项。
4、将其设置为“已启用”，确认后关闭窗口。
使用tbot机器ID身份文件配合tsh CLI，通过Teleport访问控制SSH登录托管主机或执行远程命令。
5、该策略无需重启即可生效，后续插入U盘将无法进行文件写入操作。
三、完全封锁USB接口设备
若需彻底禁用所有USB存储功能（包括键盘、鼠标除外），可通过禁用整个USB大容量存储驱动实现更高级别的安全防护。
1、打开组策略编辑器，路径为“计算机配置” → “管理模板” → “系统” → “设备安装限制”。
2、在右侧找到“禁止安装可移动设备”并双击打开。
3、勾选“已启用”，点击“确定”应用更改。
4、同时建议启用“禁止安装与下列任何设备ID相匹配的设备”并添加USB存储设备的硬件ID以增强控制精度。
5、完成配置后重启电脑，确保所有USB存储设备均无法被系统识别。
四、结合注册表强化策略效果
为防止普通用户擅自更改组策略设置，可配合注册表锁定关键项，提升配置的抗篡改能力。
1、按 Win + R 输入 regedit 打开注册表编辑器。
2、定位到 HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices。
3、新建一个名为 {53f5667e-9d97-11d0-8c7b-00a0c9068ff3} 的子项。
4、在该子项下创建一个新的DWORD值，命名为 Deny_Write，数值设为1以禁止写入。
5、重启系统后，注册表设置将与组策略协同作用，进一步加固U盘使用限制。
