我省Windows组策略屏蔽U盘有妙法(图)

Windows 组策略有很多绝妙的方法可以屏蔽 U 盘。作者在地区网络中心工作。为保证局域网内计算机安全，省高院要求将省内联网客户的机器光驱拆除，并禁止U盘在局域网内使用。我们知道局域网中使用的操作系统大多是Windows系列。对于Windows 98，这样做并不难，因为第一次使用磁盘时需要安装相应的驱动程序。取出光驱和软驱后，驱动无法安装，U盘也无法使用，但对于Windows 2000、Windows XP，情况就不同了。用过盘的都知道，这些操作系统不需要安装驱动，U盘即插即用。 对于大多数用户来说，这确实很方便，但是对于有单位要求的网络管理员来说，却是一件头疼的事。现在你不能总是在新购买的机器上安装 Windows 98。毕竟Windows 98会“下岗”，但面对U盘，也没有什么好办法。您可能认为可以在BIOS设置中屏蔽USB端口，但这是一种“宁愿误杀一千也不愿放过一个”的方式。如果您的公司客户没有使用它 用于USB接口的键盘、鼠标、打印机等设备，您可以使用此方法，但您在以后购买设备时要注意。除非我们自己使用网管，否则最好不要购买USB设备，哈哈！有没有简单易行的方法？经过一段时间的探索和实验，作者终于找到了修改组策略模板的方法来达到这个目的。

实现条件 当然，这是前提。首先你的局域网必须是基于域的（我们知道Windows 2000、Windows XP有自己的组策略编辑器，可以单独使用编辑每台机器的策略，使用域时，只要用户登录域，策略就会自动应用，一旦在服务器端修改，就可以实现整个域的管理目标，如果不采用域模式，则需要每台机器设置组策略失去效率，没有必要采用它们）。其次，客户端必须以域用户身份登录网络，不能授予客户端本地管理员的权限。建议使用 Windows 2000 和 Windows XP 作为客户端操作系统。虽然Windows 98 也可以在域环境中应用组策略，但Windows 2000 Server 组策略并不完全支持Windows 98，需要两种完全不同的方法。管理它们会给您以后的网络管理带来不便。特别说明：这里介绍的方法不适用于Windows 98，仅适用于在服务器端安装Windows 2000 Server或Windows Server 2003。只要你的网络满足上述条件，我们就可以使用组策略来屏蔽U盘，但对其他U盘没有影响。笔者在单位实施了一年多，效果很好。下面我来介绍一下详细的方法。希望能为广大网络管理员提供一点参考。

基本原理 组策略实现的原理其实就是修改注册表。当域用户登录域时，系统会在指定的客户端上执行组策略，即修改客户端的注册表。当我们新建一个组策略时，系统实际上复制了三个模板文件。当您修改组策略时，您实际上是在修改这些模板的副本，然后将这些策略应用于指定的客户端。但是，Windows 2000 Server系统提供的组策略模板并没有我们想要的屏蔽磁盘的策略，但是我们可以手动修改系统模板文件，使组策略模板具有屏蔽U盘的策略。其实按照它的原理，对注册表进行任何修改都是可以的。在域中使用组策略基本可以达到效果。如何实现1、在域控制器上打开Active Directory Users and Computers，找到你要屏蔽的磁盘的组织单位（OrganizationalUnit 缩写为OU），右键查看这个组织单位的属性，点击组策略页面，新建组策略，命名并保存为“屏蔽盘”。创建后双击“屏蔽U盘”（必须打开一次，否则系统不会复制那些模板文件）。在打开的“组策略”窗口左侧，依次找到“用户配置-管理模板-Windows组件-Windows资源管理器”，选择Windows资源管理器，右侧窗口如图1所示.

我们可以看到有“在我的电脑中隐藏这些指定的驱动器”和“阻止从我的电脑访问驱动器”。双击打开其中一项策略，选择“启用”，下面的下拉框会变亮，点击下拉框，如图2，你会发现系统提供了7种限制访问的组合驱动器号，包括“不受限制的驱动器”。显然，这些组合不能满足我们的要求（因为U盘的盘符通常是最后一个，而现在硬盘比较大，至少有三四个分区）。 2、在域控制器上打开Active Directory Users and Computers，右击新创建的“Shield U Disk”策略，选择“查看属性”，在图3所示位置找到“Shield Disk”组策略。的唯一名称，此名称由一长串数字和字母组成，在本例中为{82F86A8E-B345-4DDC-A304-E448F6E900A9}，请记下此字符串。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/sanxing/article-380336-1.html