通过组策略及注册表如何禁用USB设备
还没有休完假，就接到头的电话，说要在办公室里部分机器上，禁用USB设备，唉，命苦啊，不得
不开始实验过程，还好，我有二台台式的，二台手提，可供做实验，不然，死翘翘了。这些是废话，
可略过不看也！！
1、USB设备是使用USB接口的，在网上找了下，得知它使用如下两个配置文件或是注册表文件，
usbstor.inf和usbstor.png。注册表文件是:
Windows 2000下
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbhub
或是
winxp ,win2k3下
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbstor
2、清楚了USB的配置文件或是注册表中的位置就好说了，下面就分两种方法来完成禁用USB设备的目
的，一是通过组策略使用户禁用这两个配置文件，一是通过注册表。
以下两种实验均在WINDOWS 实验通过
通过组策略，当然，这个要应用在域环境中了，而且要保证，没有使用过USB设备的（注册表文件里
会有变化的）嘿嘿。
如下图，在管理工具――域安全策略――计算机配置――WINDOWS设置――安全设置――文件系统，
单击右键――添加文件或文件夹。找到c:\windows\inf\usbstor.inf 和usbstor.pnf，并添加之
[url=/img/winusb/1.jpg][img]/img/winusb/1.jpg[/img][/url]
[url=/img/winusb/2.jpg][img]/img/winusb/2.jpg[/img][/url]
然后，确定，会弹出一个对话框，这可是重要步骤，通过此，设定不同用户对此的访问级别，当然，
这里选拒绝了，你可以根据实际情况选择不同的用户组对这两个文件的拒绝权限。如下图
[url=/img/winusb/3.jpg][img]/img/winusb/3.jpg[/img][/url]
确定，OK，会弹出以下的窗口，当然，还是确定，不过，如果上一步你没有做的话，可以在此重新设
定不同用户组的访问权限的哟（点编辑安全设置按钮）！确定，便可以了，等域组策略刷新后，就会
生效了。
[url=/img/winusb/4.jpg][img]/img/winusb/4.jpg[/img][/url]
如果，使用过了USB设备了，（或者不是域控怎么办？）呵呵，当然是通过注册表键值来搞定了！
找到键值所在的注册表位置，HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbhub
（2000系统下）或HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\usbstor（XP or 2K3
）
，在对应的usbhub（或USBSTOR）分支右边子窗口中，双击一下“Start”键值，在弹出的数值设置窗
口中，检查一下其中的数字是多少，如果是4，表明该计算机的USB端口使用权限已经被限制起来了;
如果是3，表明该计算机的USB端口使用权限已经被启用起来了，这里确保是4！！！
[url=/img/winusb/5.jpg][img]/img/winusb/5.jpg[/img][/url]
如下：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
"Type"=dword:00000001
"Start"=dword:00000004
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,44,00,\
52,00,49,00,56,00,45,00,52,00,53,00,5c,00,55,00,53,00,42,00,53,00,54,00,4f,\
00,52,00,2e,00,53,00,59,00,53,00,00,00
"DisplayName"="USB 大容量存储驱动程序"
重启机器吧，就可以了。
另注，如果是想省些功夫，可以通过组策略来分发启动脚本的方式来达到禁用的目的！各位去试吧！
如果是几台独立服务器或是PC机，也可以直接设置c:\windows\inf\usbstor.inf 和usbstor.pnf这两
个文件的权限的！！
如果较多独立服务器或是PC机的，干脆就做个注册表文件，提供他们下载，导入就行了！！嘿嘿，要
重启才能生效！
如何禁用 USB 存储设备
察看本文应用于的产品 重要说明：本文包含了有关修改注册表的信息。修改注册表之前，一定要先进行备份，并且一定要知道在发生问题时如何还原注册表。有关如何备份、还原和修改注册表的更多信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章： 256986([url]/kb/256986/[/url])Microsoft Windows 注册表说明本页
概要 禁用 USB 存储设备 如果计算机上尚未安装 USB 存储设备 如果计算机上已经安装了 USB 存储设备概要
本文讨论两种可用于防止用户连接 USB 存储设备的方法。回到顶端
禁用 USB 存储设备
要禁用 USB 存储设备，请根据您的具体情况使用下面的一个或多个步骤：如果计算机上尚未安装 USB 存储设备
如果计算机上尚未安装 USB 存储设备，请向用户或组分配对下列文件的“拒绝”权限：这样，用户将无法在计算机上安装 USB 存储设备。 要向用户或组分配对 Usbstor.pnf 和 Usbstor.inf 文件的“拒绝”权限，请按照下列步骤操作：如果计算机上已经安装了 USB 存储设备
警告：注册表编辑器或其他方法使用不当可能导致严重问题。这些问题可能需要重新安装操作系统。Microsoft 不能保证您可以解决这些问题。修改注册表需要您自担风险。 如果计算机上已经安装了 USB 存储设备，请将以下注册表项中的“Start”值设置为 4： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor 这样，当用户将 USB 存储设备连接到计算机时，该设备将无法运行。要设置“Start”的值，请按照下列步骤操作：回到顶端 请与您的 USB 设备供应商联系，以咨询有关新驱动程序的相关情况。有关如何与 USB 设备供应商联系的信息，请单击下面列表中适当的文章编号，以查看 Microsoft 知识库中相应的文章： 65416([url]/kb/65416/[/url])硬件和软件供应商联系信息，A-K60781([url]/kb/60781/[/url])硬件和软件供应商联系信息，L-P
60782([url]/kb/60782/[/url])硬件和软件供应商联系信息，Q-Z
本文转自 song8575 51CTO博客，原文链接:/song8575/39095
