核心是控制可移动存储设备的安装与访问权限，兼顾设备级行为限制；启用“禁止安装可移动设备”策略优先级最高，拒绝驱动安装；“可移动存储访问”策略分计算机/用户级控制读写；BitLocker加密与外围设备管控可进一步强化安全。

通过组策略配置移动设备安全策略，核心是控制可移动存储设备的安装与访问权限，同时兼顾设备级行为限制。它不直接管理手机或平板等终端移动设备本身，而是聚焦于windows电脑上对接入的移动介质（如u盘、sd卡、外接硬盘）和外围设备（如蓝牙适配器、打印机）的管控。策略生效依赖域环境和gpo正确链接，且需注意计算机配置与用户配置的适用范围差异。

禁止安装可移动设备

该策略优先级最高，一旦启用，系统将拒绝安装任何被识别为“可移动”的设备驱动，包括USB存储、读卡器甚至部分无线网卡。已安装的设备不会被自动卸载，但无法更新驱动或重新识别。

• 路径：计算机配置 → 管理模板 → 系统 → 设备安装 → “禁止安装可移动设备”
• 启用后，普通用户插入U盘时会看到“此设备驱动程序未安装”提示
• 若需为管理员例外，需配合设备安装限制策略（如按硬件ID白名单），而非单纯靠用户组权限绕过

限制可移动存储的读写访问

这是最常用的数据防泄漏手段，可分别控制CD/DVD、磁带、USB大容量存储等类别的读取或写入权限。策略分计算机级和用户级，前者影响所有登录用户，后者仅作用于特定用户或组。

• 路径：计算机配置或用户配置 → 管理模板 → 系统 → 可移动存储访问
• 每个设备类型有两个开关：“拒绝读取”和“拒绝写入”，可独立启用
• 修改后通常需重启生效；若勾选“强制实施重新启动时间”，系统会在设定秒数后自动重启以应用策略

结合BitLocker强化可移动介质安全

单纯禁用写入可能影响业务流程，更合理的做法是要求所有写入U盘的行为必须基于BitLocker加密。这既保障数据机密性，又避免完全阻断使用。

• 通过组策略启用“对可移动驱动器启用BitLocker”并配置加密方式（如AES-128）
• 可配合“拒绝写入未加密的可移动驱动器”策略，强制用户先加密再使用
• 密钥恢复选项建议集成到AD中，便于IT部门统一管理恢复密钥

补充外围设备管控（打印机、蓝牙等）

除存储类设备外，组策略还可限制其他高风险外围设备。虽然原生组策略选项有限，但可通过ADMX模板扩展支持。

• 路径：计算机配置 → 管理模板 → 系统 → 设备安装 → “指定可安装的设备”
• 支持按设备类GUID、硬件ID或兼容ID精确放行或拦截
• 例如屏蔽所有蓝牙适配器（Class GUID {e0cbf06c-cd8b-4647-bb8a-263b43f0f974}），或只允许公司认证的打印机型号