在域环境中利用组策略禁止使用USB.docVIP

刚接触域环境的时候在坛子上提过一个在域环境中利用组策略禁止使用USB接口的帖子.当时是求助,后来自己解决了.而后就有好多人就加我的QQ,问我是怎么解决的.所以把自己的经验发表一下.供大家分享.有不明白的请发贴提问.这个方法已经经过测试完全好用.另外我也有几个域的问题想问一下.希望知道的朋友不吝赐教.1.如何在域服务器上做限制,使域用户不能访问INTERNET,而却能访问LAN.2.如何使域中的电脑一部分要输入用户密码才能登陆,而一部分不需要输入密码直接能登陆.下面是屏蔽USB的方法:现在在公司数据保密问题越来越受到领导的重视,U盘自然成为各位领导的一块心病.因为其简便的操作特性让人觉的电脑里没有一样东西是安全的.如何防范---在BIOS中屏蔽USB端口,这个办法是“宁可错杀一千，不能放过一个”的笨办法,U盘是不可以使用了,但所有的USB相关设备也都不能使用了.如果是在WINDOWS 2003域环境中,可以利用组策略妥善的来解决这个问题.即可以使用除U盘以外的任何USB设备,如打印机,USB键盘,鼠标.....思路：当计算机插入Ｕ盘后，系统会自动增加一个盘符，如果我们想办法禁止系统增加新的盘符,那么不就可以把U盘禁止了吗。打開Active Directory用户和计算机，建立一个名为NOＵＳＢ的组织单位，也就是OU，如图:右键--属性－组策略，新建一个名为nousb的策略.如图:点编辑后出现组策略，我们来设置。定位到用户配置—Windwos组件--Windows资源管理器我们要配置的是“隐藏我的电脑中的这些指定的驱动器”和“防止从我的电脑访问驱动器”这两个选项。而现在这两个选项的启用菜单中没有我们要去禁止访问的盘符，这就需要手动的为组策略来添加我们需要的选项。我们重新回到nousb属性对话框，选择nousb组策略，点下面的属性，记下弹出的又一个nousb属性对话框中的常规选项卡—摘要---唯一的名称（{C04ED8BO。。。。}）中的内容这时来到c:\windows\sysvol\sysvol\test.test\policies（其中test.test为你所建域名）目录下，找到和唯一的名称所对应的文件夹中的adm文件夹，用记事本打开其下的system.adm文件找到POLICY !!NoDrives#if version = 4SUPPORTED !!SUPPORTED_Win2k#endifEXPLAIN !!NoDrives_HelpPART !!NoDrivesDropdownDROPDOWNLIST NOSORT REQUIREDVALUENAME NoDrivesITEMLISTNAME !!ABOnlyVALUE NUMERIC3NAME !!COnlyVALUE NUMERIC4NAME !!DOnlyVALUE NUMERIC 8NAME !!ABConlyVALUE NUMERIC 7NAME !!ABCDOnlyVALUE NUMERIC15NAME !!ALLDrivesVALUE NUMERICDEFAULT; low 26 bits on (1 bit per drive)NAME !!RestNoDrivesVALUE NUMERIC0END ITEMLISTEND PARTEND POLICYPOLICY !!NoViewOnDrive#if version = 4SUPPORTED !!SUPPORTED_Win2k#endifEXPLAIN !!NoViewOnDrive_HelpPART !!NoDrivesDropdownDROPDOWNLIST NOSORT REQUIREDVALUENAME NoViewOnDriveITEMLISTNAME !!ABOnlyVALUE NUMERIC3NAME !!COnlyVALUE NUMERIC4NAME !!DOnlyVALUE NUMERIC 8NAME !!ABConlyVALUE NUMERIC 7NAME !!ABCDOnlyVALUE NUMERIC15NAME !!ALLDrivesVALUE NUMERICDEFAULT; low 26 bits on (1 bit per drive)NAME !!RestNoDrivesVALUE NUMERIC0END ITEMLISTEND PARTEND POLIC