在银河麒麟桌面操作系统中彻底禁用USB存储设备需采用三种方法：一是编辑/etc/modprobe.d/blacklist.conf黑名单内核模块usb-storage和uas并更新initramfs；二是通过安全中心启用外设管控策略；三是配置udev规则按VID/PID精确拦截。
在银河麒麟桌面操作系统中彻底阻止U盘、移动硬盘等USB存储设备被识别和使用，需从内核驱动层切断其加载能力，避免仅靠图形界面禁用导致的策略绕过风险。
编辑内核模块黑名单文件
该方法直接阻止usb-storage和uas两个核心驱动模块加载，系统重启后将完全无法生成/dev/sdX类设备节点，是企业级环境中最常用且可靠的禁用方式。
以root权限打开终端，执行：sudo nano /etc/modprobe.d/blacklist.conf
在文件末尾新增两行：
blacklist uas
blacklist usb_storage
保存退出后执行：sudo update-initramfs -u。这一步必须执行，否则initramfs镜像中仍包含旧驱动，重启后策略失效。
执行 sudo reboot 使配置完全生效。重启后插入U盘，dmesg | grep -i usb 将不再显示storage相关枚举日志，lsblk 也不会列出新增的sdb/sdc设备。
通过安全中心启用外设管控策略
适用于已部署银河麒麟云桌面管理平台或本地启用了安全管理模块的终端，策略由后台统一推送，无需逐台操作，且不影响键盘、鼠标等基础外设。
点击开始菜单 → 搜索“安全中心”并打开。
进入左侧导航栏「设备安全」→ 确保「外设管控」开关为开启状态。
向下滚动至「权限控制」区域，点击「移动储存」。
将「禁止USB存储设备接入」选项设为启用。该策略会拦截设备挂载前的身份认证环节，插拔后立即生效。
注意：此策略依赖dbus服务与安全中心守护进程正常运行，若系统未安装kylin-security-center包则无法启用。
配置udev规则实现设备级拦截
当需要保留特定USB设备（如加密UKey、专用扫描仪）而仅禁用普通U盘时，必须使用此方法。它基于硬件VID/PID精确匹配，绕过内核模块限制，对白名单外的存储设备在设备节点创建前即丢弃。
第一步：插入目标禁用U盘，执行 lsusb 获取总线号与设备号（如001:005）。
第二步：执行 lsusb -v -s 001:005 | grep -E "(idVendor|idProduct)"，记录下 idVendor 和 idProduct 值（例如 idVendor=0781, idProduct=5567）。
第三步：创建规则文件：sudo nano /etc/udev/rules.d/99-usb-block.rules
写入规则：ACTION=="add", ATTRS{idVendor}=="0781", ATTRS{idProduct}=="5567", ENV{UDISKS_IGNORE}="1", RUN+="/bin/sh -c 'echo 0 > /sys$devpath/device/delete'"
第四步：重载udev规则：sudo udevadm control --reload-rules && sudo udevadm trigger
第五步：拔插U盘验证。若设备未出现在文件管理器且 ls /sys/bus/usb/devices/ 中对应路径消失，则规则生效。
