域策略禁用usb

来源:http://www.cnblogs.com/likehc/archive/2016/09/12/5866226.html
-Advertisement-
Play Games

文檔及模板可在 http://pan.baidu.com/s/1qYTcjTy 下載 pro_usb_users.adm 此模板可禁用到 指定盤符，針對用戶策略 pro_usb_computers.adm 此模板 針對電腦，一般只要它就好了。 可以從 3 個方面下手 其實 adm配置文件，看起來是 ...


 

文檔及模板可在 http://pan.baidu.com/s/1qYTcjTy  下載

pro_usb_users.adm  此模板可禁用到 指定盤符，針對用戶策略

pro_usb_computers.adm  此模板 針對電腦，一般只要它就好了。

可以從 3 個方面下手

  1. adm 配置 文件。
  2. 註冊表
  3. usb驅動

 

其實 adm配置文件，看起來是修改了本地組策略，其實最後還是通過修改註冊表實現的。

我們只保留可以查看ABCDE 盤。其他的盤符，不可查看，不可讀寫。

服務端  Server 2003 \

客戶端  XP 的版本為 sp3,  E盤為光碟機，F盤為U盤

第一種方法 （不推薦這種，雖 可圖像化訪問，但可以用DOS訪問）

要用到兩個鍵

NoDrives  禁止顯示(不顯示在我的電腦里、如果NoViewOnDrive設置為訪問時，可以通過直接訪問完全路徑進行訪問)

NoViewOnDrive  禁止訪問(其實可以通過命令行訪問的)，

 

值為0 時，為啟用功能， 為1時是不啟用。

可以在 excel 中弄好自己想要隱藏的，複製到計算器內，轉成16進位就好了

結果為  3FFFFE0

 

 

 

Windows Registry Editor Version 5.00

 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"NoDrives"=dword:03ffffe0

"NoViewOnDrive"=dword:03ffffe0

 

這樣，除了ABCDE 其他磁碟，為不顯示，不可讀寫(但命令行可以訪問)

 

 

 

第二 種呢、就是 修改   usbhub(舊系統)   USBSTOR 現在的系統

 

Windows Registry Editor Version 5.00

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\USBSTOR]

"Start"=dword:00000004

 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\usbhub]

"Start"=dword:00000004

 

https://support.microsoft.com/zh-cn/kb/823732 官方文檔

 

此處需要註意一下

修改 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor

的Start為4時，每次接入新設備時，還會變為3,只有策略再次刷新過後，下次接入該USB才不可被識別.

當然清理過USB 痕跡，就也再次被識別， 例如使用 usbviewer 工具

 

知道 註冊表修改了 什麼，我們就開始寫 adm 文件

https://support.microsoft.com/en-us/kb/555324  可以下載模板文件，但註意開頭為CLASS MACHINE 也就是說，它是電腦配置的模板，針對電腦的配置，需要重啟PC的。

 

第一種禁用到盤符的，是針對用戶的，註銷用戶就可，adm文件編碼請使用UCS-2,否則會亂碼

 

之前 修改註冊表的 16進位、在adm文件要轉為10進位。

 

在 域控上 建立一個 GPO 用戶模板引用 此規則 ，保存為 xx.adm 即可

 

----------------複製以下----------------------------

CLASS USER

CATEGORY !!category

 CATEGORY !!categoryname

 KEYNAME "Software\Microsoft\Windows\CurrentVersion\Policies\Explorer"

  POLICY !!policyNoDrives

  

   EXPLAIN !!explaindrives

     PART !!labeltextusb DROPDOWNLIST REQUIRED

 

       VALUENAME "NoDrives"

       ITEMLIST

                                               NAME !!ABOnly           VALUE NUMERIC     3

                                               NAME !!COnly            VALUE NUMERIC      4

                                               NAME !!DOnly            VALUE NUMERIC    8

                                               NAME !!ABConly          VALUE NUMERIC    7

                                               NAME !!ABCDOnly         VALUE NUMERIC    15

                                               NAME !!ALLDrives        VALUE NUMERIC       67108863 DEFAULT

                                               ;此處隱藏除ABCDE外所有的盤符

                                               NAME !!ExceptABCDE      VALUE NUMERIC     67108832

       END ITEMLIST

     END PART

         END POLICY    

                   POLICY !!policyNoViewOnDrives

                            EXPLAIN !!NoViewOnDrive_Help

                            PART !!NoDrivesDropdown     DROPDOWNLIST NOSORT REQUIRED

                                     VALUENAME "NoViewOnDrive"

                                     ITEMLIST

                                               NAME !!ABOnly           VALUE NUMERIC     3

                                               NAME !!COnly            VALUE NUMERIC      4

                                               NAME !!DOnly            VALUE NUMERIC    8

                                               NAME !!ABConly          VALUE NUMERIC    7

                                               NAME !!ABCDOnly         VALUE NUMERIC    15

                                               NAME !!ALLDrives        VALUE NUMERIC       67108863 DEFAULT

                                               ; low 26 bits on (1 bit per drive)

                                               ;此處禁用除ABCDE外所有的盤符

                                               NAME !!ExceptABCDE      VALUE NUMERIC     67108832

                                     END ITEMLIST

                            END PART

                   END POLICY        

 END CATEGORY

END CATEGORY

 

[strings]

ABOnly="僅限制驅動器 A 和 B"

ABCDOnly="僅限制驅動器 A、B、C 和 D"

COnly="僅限制驅動器 C"

DOnly="僅限制驅動器 D"

ABConly="僅限制驅動器 A、B 和 C"

ALLDrives="限制所有驅動器"

ExceptABCDE="限制除A、B、C、D、E外所有驅動器"

 

category="禁用盤符"

categoryname="Restrict Drives"

policyNoDrives="在我的電腦中隱藏這些盤符"

explaindrives="請根據自己的情況選擇要禁用的盤符"

labeltextusb="選擇禁用盤符"

 

policyNoViewOnDrives="防止從“我的電腦”訪問驅動器"

NoViewOnDrive_Help="防止用戶使用我的電腦訪問所選驅動器的內容。

NoDrivesDropdown="選擇下列組合中的一個"

 

----------------複製以上----------------------------

 

 

然後，我們啟用禁用 "限制除A、B、C、D、E外所有驅動器" ， 客戶端gpupdate /force ,然後 rsop.msc 查看獲取策略的結果

 

此 策略 再 配上 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor

Start 等於4 的策略，能應付一般的 使用人員了。

 

---------------複製以下—這是 電腦策略----

CLASS MACHINE

CATEGORY !!category

 CATEGORY !!categoryname

  POLICY !!policynameusb

   KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR"

   EXPLAIN !!explaintextusb

     PART !!labeltextusb DROPDOWNLIST REQUIRED

 

       VALUENAME "Start"

       ITEMLIST

        NAME !!Disabled VALUE NUMERIC 3 DEFAULT

        NAME !!Enabled VALUE NUMERIC 4

       END ITEMLIST

     END PART

   END POLICY      

  POLICY !!Allusb_usbhub

   KEYNAME "SYSTEM\ControlSet001\Services\usbhub"

   EXPLAIN !!explain_USBSTOR

     PART !!labusb_USBSTOR DROPDOWNLIST REQUIRED

 

       VALUENAME "Start"

       ITEMLIST

        NAME !!Disabled VALUE NUMERIC 3 DEFAULT

        NAME !!Enabled VALUE NUMERIC 4

       END ITEMLIST

     END PART

   END POLICY         

  POLICY !!Allusb_USBSTOR

   KEYNAME "SYSTEM\ControlSet001\Services\USBSTOR"

   EXPLAIN !!explain_USBSTOR

     PART !!labusb_USBSTOR DROPDOWNLIST REQUIRED

 

       VALUENAME "Start"

       ITEMLIST

        NAME !!Disabled VALUE NUMERIC 3 DEFAULT

        NAME !!Enabled VALUE NUMERIC 4

       END ITEMLIST

     END PART

   END POLICY         

  POLICY !!policynamecd

   KEYNAME "SYSTEM\CurrentControlSet\Services\Cdrom"

   EXPLAIN !!explaintextcd

     PART !!labeltextcd DROPDOWNLIST REQUIRED

 

       VALUENAME "Start"

       ITEMLIST

        NAME !!Disabled VALUE NUMERIC 1 DEFAULT

        NAME !!Enabled VALUE NUMERIC 4

       END ITEMLIST

     END PART

   END POLICY

  POLICY !!policynameflpy

   KEYNAME "SYSTEM\CurrentControlSet\Services\Flpydisk"

   EXPLAIN !!explaintextflpy

     PART !!labeltextflpy DROPDOWNLIST REQUIRED

 

       VALUENAME "Start"

       ITEMLIST

        NAME !!Disabled VALUE NUMERIC 3 DEFAULT

        NAME !!Enabled VALUE NUMERIC 4

       END ITEMLIST

     END PART

   END POLICY

  POLICY !!policynamels120

   KEYNAME "SYSTEM\CurrentControlSet\Services\Sfloppy"

   EXPLAIN !!explaintextls120

     PART !!labeltextls120 DROPDOWNLIST REQUIRED

 

       VALUENAME "Start"

       ITEMLIST

        NAME !!Disabled VALUE NUMERIC 3 DEFAULT

        NAME !!Enabled VALUE NUMERIC 4

       END ITEMLIST

     END PART

   END POLICY

 END CATEGORY

END CATEGORY

 

[strings]

category="Disable_USB"

categoryname="Restrict Drives"

Allusb_USBSTOR="disable USBSTOR"

Allusb_usbhub="disable usbhub"

policynameusb="Disable USB"

policynamecd="Disable CD-ROM"

policynameflpy="Disable Floppy"

policynamels120="Disable High Capacity Floppy"

explaintextusb="Disables the computers USB ports by disabling the usbstor.sys driver"

explain_USBSTOR="Disables usb"

explaintextcd="Disables the computers CD-ROM Drive by disabling the cdrom.sys driver"

explaintextflpy="Disables the computers Floppy Drive by disabling the flpydisk.sys driver"

explaintextls120="Disables the computers High Capacity Floppy Drive by disabling the sfloppy.sys driver"

labeltextusb="Disable USB Ports"

labusb_USBSTOR="Disable USB Ports"

labeltextcd="Disable CD-ROM Drive"

labeltextflpy="Disable Floppy Drive"

labeltextls120="Disable High Capacity Floppy Drive"

Enabled="Enabled"

Disabled="Disabled"

 

---------------複製以上----------

 

其實 都是 修改註冊表 也可以用 批處理 來完成、個人喜歡寫 adm文件，寫好後，可動態選擇,不死板。

 

------------用戶-------

reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDrives /t reg_dword /d 67108832 /f

reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoViewOnDrive /t reg_dword /d 67108832 /f

 

-----------電腦---------

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR" /v Start /t reg_dword /d 4 /f

 

 

第二種，就是從驅動下手啦，這要放到 電腦 配置下手。

從文件系統中 ，禁用下麵兩個文件

(我只留下administrators 與system 這兩個組可讀取，其他的都沒讀取許可權，但一定要加入Everyone這個組，並拒絕讀取  普通域用戶為 power user)

%SystemRoot%\inf\usbstor.inf 

%SystemRoot%\inf\usbstor.PNF

 

 

 

 

然後去 客戶端 看看結果

 

不過此 方案下，如果換usb的鍵盤、滑鼠、印表機，也會彈出此窗體，輸入有讀取 usbstor.inf、usbstor.PNF文件許可權的 用戶及密碼即可。

 

 

 

 

第二種方案 在win7 的客戶端 下不能生效，要註意。

但第一種可以 在win7下生效

 

 

當啟用 電腦配置後， 就可以在win7上禁用 usb了

 

  

 

--------------------------我是分割線-----------------------------

現在 換成

伺服器2008 r2

客戶端xp sp3

 

然後用禁用 usb的 電腦模板，可以禁用 xp上的 usb

 

 

 

我們在2008 r2 設置一個禁用usb 驅動的 gpo （如下圖）

 

 

然後看XP 的結果集 ，是生效的，如下圖

 

 

 

但 當 win7 做為客戶端時，就不會有效禁用 usb.

 

 

2008 r2 對移動存儲 新加入了新功能選項，我們可以用它來禁用USB.

 

此處應該把 策略 掛在用戶OU下，(我掛在電腦OU下，gpresult /v 沒查看到獲取成功)

 

 

XP 可以 接收到域策略，卻不能執行，估計是版本太老，沒這功能。

 

 

可是win7 的效果就很好。

 

 

 

所以、如果想相容xp 與win7還是寫模板文件好點。。

 

請選擇  pro_usb_computers.adm  模板，掛在 電腦策略下，不論伺服器是 2003 或是2008 r2 ，客戶端是 xp 還是win7 都會生效。


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • HBase(五): HBase運維管理
    HBase自帶的很多工具可用於管理、分析、修複和調試，這些工具一部分的入口是hbase shell 客戶端，另一部分是在hbase的Jar包中。 目錄： hbck hfile 數據備份與恢復 hbck: hbck 工具用於Hbase底層文件系統的檢測與修複，包含Master、RegionServer ...
  • CentOS 7 安裝MySQL 5.7
    1. 安裝環境：CentOS 7 64位 MySQL 5.7 2. 去MySQL官方網站下載MySQL源碼安裝包，註意，一定要選擇下圖的源代碼版，否則cmake時會報錯： 3. 預先安裝依賴軟體： 4. 創建MySQL用戶和用戶組先查看是否已經創建： 沒有創建則新建mysql用戶以及用戶組： 5. ...
  • HBase(七): HBase體繫結構剖析（下)
    目錄： write Compaction splite read Write： 當客戶端發起一個Put請求時，首先根據RowKey定址，從hbase:meta表中查出該Put數據最終需要去的HRegionServer 客戶端將Put請求發送給相應的HRegionServer，在HRegionServ ...
  • 【工匠大道】一些Vim不常見但很逼格的命令(不斷更新中)
    普通的vim的移動，編輯等命令就不再贅述。這裡主要是記錄一些不常見但是很逼格的命令，使你瞬間感到精神為之一振的命令 1. :Tlist 1)該命令是列出當前文件中的類名，變數名和函數名，移動時還會有提示。 2. :colorscheme desert 1)設置vim的界面風格，類似的還有 :colo ...
  • [轉]Windows 下常用盜版軟體的替代免費軟體列表
    當您看完這篇文章，我相信您完全可以把您 Windows 系統里安裝的盜版軟體清理乾凈而不影響您的任何工作。如果您仍然希望並且喜歡、享受做一個盜版軟體用戶的話，那也沒有辦法，但是請您記住，非常非常重要的一點：您已經不是一個歷史清白的人，因為一打開電腦，您就在犯罪（侵犯知識產權，侵犯軟體版權）。以後像“ ...
  • env，export
    這幾個命令都是和Linux環境變數相關的 env 查看系統所有的環境變數，個人覺得這裡面最重要的就是PATH，我們在終端敲入的命令，其實都是一個個腳本文件，那麼Shell去哪找這些文件呢？搜索路徑就存在PATH里，PATH里用 作分隔符區分不同的路徑 舉個慄子： 如果想要查看特定的環境變數的值，可以 ...
  • ubuntu16.04主題美化和軟體推薦(轉載)
    從這裡轉載！轉載！轉載！ http://blog.csdn.net/terence1212/article/details/52270210 ...
  • Ubuntu 16.04 LTS sublime text 3 解決不能輸入中文
    sublime text 3 安裝完成後不能輸入中文，讓人很是不爽。下麵內容可以解決使用問題！ 一．首先要註意幾個問題。 １）sublime_imfix.c　文件放在home目錄下麵。 ２）如果你在步驟五中使用sudo gedit /usr/share/applications/sublime_te ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類