域控制器中如何用組策略禁止USB
Windows 2003 域控制器用組策略禁止USB的方法如下所述：
一：直接辦法，禁用usb的注冊表方法
定位到
- HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/USBSTOR
右邊有一個叫start的鍵值
雙擊他將值改成4 usb就禁用了
下次要恢復只需將4改成3就好了
二：間接法
把下段斜杠內(nèi)的內(nèi)容拷到文本文檔中，保存成.ADM文件，然后打開你要做限制的OU的組策略，展開“用戶配置,管理模板”,右擊管理模板,添加/刪除模板,然后把剛才保存的ADM文件導入!現(xiàn)在在這個OU下的所有用戶將無法使用USB存儲設備! （第三方軟件GFI LANGuard Portable Storage Control.v2.0也可以在域環(huán)境中使用）。
//////////////////////////////////////////////////////
- CLASS USER
- CATEGORY !!ADMDesc
- POLICY !!MMC_DeviceManagerX
- KEYNAME "Software/Policies/Microsoft/MMC/{90087284-d6d6-11d0-8353-00a0c90640bf}"
- #if version >= 4
- SUPPORTED !!SUPPORTED_Win2k
- #endif
- EXPLAIN !!MMC_Restrict_Explain
- valueNAME "Restrict_Run"
- valueON NUMERIC 0
- valueOFF NUMERIC 1
- END POLICY
- POLICY !!MMC_DeviceManager
- KEYNAME "Software/Policies/Microsoft/MMC/{74246bfc-4c96-11d0-abef-0020af6b0b7a}"
- #if version >= 4
- SUPPORTED !!SUPPORTED_Win2k
- #endif
- EXPLAIN !!DEVMGR_Restrict_Explain
- valueNAME "Restrict_Run"
- valueON NUMERIC 0
- valueOFF NUMERIC 1
- END POLICY
- End CATEGORY
- CLASS MACHINE
- CATEGORY !!ADMDesc
- POLICY !!USB_UHCD_PARAMS
- KEYNAME "SYSTEM/CurrentControlSet/Services/uhcd"
- EXPLAIN !!STARTUPTYPE_HELP
- PART !!STARTUPTYPE NUMERIC REQUIRED
- valueNAME "START"
- MIN 3 MAX 4 DEFAULT 3
- END PART
- END POLICY
- POLICY !!USB_UHCI_PARAMS
- KEYNAME "SYSTEM/CurrentControlSet/Services/usbuhci"
- EXPLAIN !!STARTUPTYPE_HELP
- PART !!STARTUPTYPE NUMERIC REQUIRED
- valueNAME "START"
- MIN 3 MAX 4 DEFAULT 3
- END PART
- END POLICY
- POLICY !!USB_EHCI_PARAMS
- KEYNAME "SYSTEM/CurrentControlSet/Services/usbehci"
- EXPLAIN !!STARTUPTYPE_HELP
- PART !!STARTUPTYPE NUMERIC REQUIRED
- valueNAME "START"
- MIN 3 MAX 4 DEFAULT 3
- END PART
- END POLICY
- POLICY !!USB_HUB
- KEYNAME "SYSTEM/CurrentControlSet/Services/usbhub"
- EXPLAIN !!STARTUPTYPE_HELP
- PART !!STARTUPTYPE NUMERIC REQUIRED
- valueNAME "START"
- MIN 3 MAX 4 DEFAULT 3
- END PART
- END POLICY
- POLICY !!CD_ROM
- KEYNAME "SYSTEM/CurrentControlSet/Services/cdrom"
- EXPLAIN !!STARTUPTYPE_HELP
- PART !!STARTUPTYPE NUMERIC REQUIRED
- valueNAME "START"
- MIN 3 MAX 4 DEFAULT 3
- END PART
- END POLICY
- POLICY !!Floppy_Disk
- KEYNAME "SYSTEM/CurrentControlSet/Services/flpydisk"
- EXPLAIN !!STARTUPTYPE_HELP
- PART !!STARTUPTYPE NUMERIC REQUIRED
- valueNAME "START"
- MIN 3 MAX 4 DEFAULT 3
- END PART
- END POLICY
- End CATEGORY
- [strings]
- ADMDesc="自定義策略"
- MMC_DeviceManagerX="設備管理器擴展插件"
- MMC_DeviceManager="設備管理器"
- SUPPORTED_Win2k="至少使用Microsoft Windows 2000"
- MMC_Restrict_Explain="Disable —— 禁用設備管理器擴展插件；Enable —— 啟用設備管理器擴展插件 "
- DEVMGR_Restrict_Explain="Disable —— 禁用設備管理器；Enable —— 啟用設備管理器"
- USB_UHCD_PARAMS="USB通用主控制器驅(qū)動器"
- STARTUPTYPE_HELP="啟動類型，3-手動，4-禁用"
- STARTUPTYPE="啟動類型"
- USB_EHCI_PARAMS="Microsoft USB 2.0 Enhanced Host Controller Miniport Driver"
- USB_UHCI_PARAMS="Microsoft USB Universal Host Controller Miniport Driver"
- USB_HUB="Microsoft USB Standard Hub Driver"
- CD_ROM="光驅(qū)"
- Floppy_Disk="軟驅(qū)"
//////////////////////////////////////////////////////////
#p#
三：還有種方法就是讓每臺機子開機時導入一個注冊表文件
文件內(nèi)容為：
- Windows Registry Editor Version 5.00
- [HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/USBSTOR]
- "start"=dword:00000004
然后在OU的計算機配置--windows設置--安全設置-注冊表 里面添一條：
- HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/USBSTOR
在該注冊表項的權(quán)限設置中，將所有用戶刪除！只留 domain/administrator用戶！
四、在WindowsXP中禁用和管理USB接口
1. 計算機未安裝USB設備
這種情況可以采取將%SystemRoot%Inf下的Usbstor.pnf和Usbstor.inf兩個文件設置其用戶的控制權(quán)
限。
***步：右擊這兩個文件，選擇“屬性→安全→高級”，在“權(quán)限”頁面中取消“從父項繼承那些可以應
用到子對象的權(quán)限項目，包括那些在此明確定義的項目”復選框。
第二步：在“安全”頁面中，選擇要屏蔽的用戶或用戶組，在“完全控制”中選擇“拒絕”復選框，然后
單擊“確定”。
這種通過分配權(quán)限的方法，可以指定哪些用戶可以使用USB設備，哪些用戶不可以使用USB設備，和下面的
“Windows NT以上系統(tǒng)通用方法”一樣，靈活性較大，所以建議采用該方法限制用戶安裝USB設備。
2. 計算機已安裝了USB設備
這種情況可以通過修改注冊表來實現(xiàn)。方法是修改注冊表中
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesUSBSTOR下的“Start”值，改為十六位進制
數(shù)值“4”。
該方法修改后，當用戶將USB存儲設備連接到計算機時，該設備將無法運行。
五、Windows NT以上系統(tǒng)通用方法
運行注冊表編輯器，找到HKEY_LOCAL_MACHINESYSTEMControlSet002ServicesUSBSTOR鍵，取消
System的所有控制權(quán)。如果要分配控制權(quán)，只需要對相應用戶設置控制權(quán)限就可以了。
小提示：Windows 2000中要設置注冊表的控制權(quán)限，需用Regedt32.exe注冊表編輯器。
域控制器中用組策略禁止USB的這五種方法大家可以都嘗試一下，盡量五種方法都能熟練掌握。
【編輯推薦】
