保护 USB 设备

本文档将为您说明以下内容：

保护 USB 配置用于用户和计算机，阻止或解除阻止 USB 设备的使用。

使用此配置，您可以阻止或解除阻止以下设备：

鼠标
磁盘驱动器（例如，USB 驱动器和外置硬盘驱动器）
CD ROM
便携设备（例如，手机、数码相机和便携媒体播放器）
软盘
蓝牙设备
图像（例如，USB 摄像头和扫描仪）
打印机
调制解调器
Apple USB 设备（例如：iPhone、iPad 和 iPod touch）

您还可以使用分配给每个设备的供应商 ID 或设备实例 ID 排除设备。

将保护 USB 设置应用于计算机

当您将保护 USB 配置应用于计算机和用户时，计算机的设置将优先于用户的设置应用。例如，假设您进行了以下设置：

为用户配置的设置
1. 管理员：您已解除对磁盘驱动器的阻止
2. 其他用户（不包括管理员）：您未部署任何配置
为计算机配置的设置：您已阻止便携设备和磁盘驱动器的使用

将发生以下操作：

计算机启动：在计算机启动时应用为计算机设置的保护 USB 配置设置。这意味着无法使用便携设备和磁盘驱动器。
管理员登录：应用计算机的保护 USB 配置，但被管理员的设置覆盖。这意味着管理员可使用磁盘驱动器。
其他用户（不包括管理员）登录：应用计算机的保护 USB 配置。

其他用户（不包括管理员）注销：用户注销时将应用为用户设置的注销操作。如果注销操作设置为“不更改设备状态”，则该设置将适用于下一个登录的用户，前提是该用户没有应用于其的设置。

注意: 阻止 USB，表示阻止访问使用任何 USB 设备。
解除阻止 USB，表示重新启用对已阻止 USB 设备的访问。
无更改，表示当前设置未作更改。

添加限制以保护 USB 设备

作为管理员，您可以创建配置以阻止或解除阻止特定 USB 设备。如有需要，还可排除特定设备。

若要为用户创建保护 USB 设备的配置，请按照以下步骤操作：

点击配置选项卡
点击配置
在计算机配置部分点击保护 USB
输入配置的名称和描述
点击添加以应用限制
要添加限制，选择设备，选择阻止或解除阻止设备。阻止设备时，您还可以指定需要被排除.
的设备
定义目标
点击指定所需的执行设置

部署

排除设备

您已创建保护 USB 设备的配置。这些配置将在用户登录计算机时应用。

点击阻止设备时，您可以排除某些设备不被阻止。这可通过设备分配的供应商 ID 或设备实例 ID 实现。仅阻止设备时可排除设备。排除设备，请执行以下步骤：排除设备
链接到设备输入设备的供应商 ID。您也可以选择阻止指定供应商的所有设备。供应商。您需要指定设备实例 ID， Endpoint Central
将获取供应商实例 ID 并排除该供应商的所有设备。您可以选择排除列表中指定设备的所有加密设备/加密设备。使用 bit locker 加密的设备可添加到排除列表。
点击此功能仅适用于磁盘驱动器，且目标计算机支持 bit locker。

关闭

您已排除一个设备不被阻止。

设备实例 ID

每个 USB 设备都有一个唯一 ID。该 ID 由系统分配以便识别。您可以通过以下步骤识别设备的设备实例 ID：右键点击
点击我的电脑
点击属性设备管理器
（参见下图）

从设备列表中，展开您想获取设备实例 ID 的设备类别。
（例如：如果要识别连接到计算机的手机的设备实例 ID，展开便携设备，继续下一步。）我的电脑设备管理器

右键点击特定设备名称，点击

1. 点击图 2：属性详细信息
2. 选项卡在下拉框中选择设备实例 ID

或设备实例路径（参见下图）

图 3：设备实例 ID 在运行 Windows Vista 及更高版本操作系统的计算机中，设备实例 ID 称为设备实例路径

。您可以从设备管理器的属性窗口复制设备实例路径。

在运行旧版本 Windows 操作系统的计算机中，您无法直接从设备管理器的属性窗口复制设备实例 ID。复制设备实例 ID 需打开 dcusbaccess 日志文件。此文件位于 <驱动器>\<Desktopcentral_Agent 文件夹>\logs\dcusbaccess.log。

该文件包含以下信息：
操作时间（插入\移除时间）
操作（插入\移除）
设备友好名称

设备实例 ID

您现在可以查看并复制特定设备的设备实例 ID。

撤销应用于计算机的所有 USB 限制

管理员可以选择撤销应用于计算机的所有 USB 相关限制。

点击配置若要创建撤销用户 USB 相关限制的配置，请执行以下步骤：
点击选项卡。
在计算机配置部分点击配置。
保护 USB。
点击输入配置名称和描述。移除以撤销应用于计算机的所有限制。
的设备
进行所需的执行设置。
点击部署。

部署