直接通过组策略限制USB存储设备需启用“所有可移动存储类：拒绝读取权限”和“拒绝写入权限”两项策略，仅影响U盘等存储设备，不影响键盘鼠标；家庭版需改用注册表；还可结合安全筛选按用户组控制或禁用USBSTOR服务实现增强防护。
直接通过组策略限制 usb 存储设备，核心是控制“可移动存储类”的访问权限或底层驱动加载。windows 专业版、企业版和教育版支持该功能，家庭版不可用 gpedit.msc，需改用注册表方式。
启用可移动存储访问限制策略
这是最常用、最稳妥的图形化操作方式，仅影响 U 盘、移动硬盘、SD 卡等存储类设备，不影响键盘、鼠标等 HID 设备：
- 按 Win + R 输入
gpedit.msc，以管理员身份打开本地组策略编辑器 - 依次展开：计算机配置 → 管理模板 → 系统 → 可移动存储访问
- 双击启用以下两项策略（推荐同时启用）：
• 所有可移动存储类：拒绝读取权限
• 所有可移动存储类：拒绝写入权限 - 点击“确定”保存，重启电脑或运行
gpupdate /force后重新登录用户生效
按用户组精准控制（域环境适用）
若只限制部分用户（如学生、访客），而非整台设备所有人，需结合安全筛选：
- 在组策略管理控制台（GPMC）中编辑目标 GPO，右键 → “属性” → 切换到安全选项卡
- 移除 Authenticated Users 的“读取”和“应用组策略”权限
- 添加你要限制的用户组（如 Students），并勾选这两项权限
- 确保该 GPO 已链接到用户所在的 OU，且策略继承未被阻止
禁用 USBSTOR 驱动服务（增强级防护）
此操作让系统根本无法加载 USB 存储驱动，U 盘插入后设备管理器中显示黄色感叹号，连盘符都不出现：
- 在同一条 GPO 中，导航至：计算机配置 → 管理模板 → 系统 → 设备安装 → 设备安装限制
- 启用策略：禁止安装可移动大容量存储设备
- 或手动设置服务启动类型：运行
services.msc，找到 USB Storage（服务名 USBSTOR），右键属性 → 启动类型设为禁用
补充建议：避免误阻断与验证效果
策略生效后，建议用目标账户实测，并注意以下细节：
- 策略作用于计算机配置，不是用户配置，所以必须重启或执行
gpupdate /force+ 重新登录 - 插入 U 盘后，资源管理器不显示盘符、双击提示“拒绝访问”即表示成功
- 如需为管理员保留权限，可新建更高优先级 GPO 并赋予其“读取+应用”权限，利用策略继承顺序覆盖限制
- 不建议单独禁用整个 USB 总线（如禁用 USBROOT 或通用串行总线控制器），否则会同时屏蔽键盘、鼠标等必要外设
