Az USB-tárolóeszközök blokkolása egy 2016/2012-es tartományon csoportházirenddel

Ez az útmutató lépésről lépésre tartalmazza az USB-tárolóeszközök letiltását a teljes tartományon vagy bizonyos tartományfelhasználókon a csoportházirend használatával egy 2016-os vagy 2012-es AD-tartományban. Pontosabban, miután elolvasta az útmutatóban található utasításokat, megtudhatja, hogyan megakadályozza a hozzáférést olyan USB-tárolóeszközökhöz (flash meghajtók, külső merevlemezek, okostelefonok, táblagépek stb.), amelyek csatlakozhatnak a domain bármely számítógépéhez, vagy megtagadják az USB-tárhoz csak bizonyos tartományfelhasználók férhetnek hozzá.

Manapság sokan használunk USB-tárolóeszközt adatátvitelre. Egy szervezet számára azonban az, hogy az alkalmazottak külső tárolóeszközöket használhatnak, biztonsági kockázatokat rejthet magában, például rosszindulatú programok terjesztését vagy érzékeny adatok elfogását. E kockázatok elkerülése érdekében olvassa el az alábbi utasításokat, amelyekkel a csoportházirend használatával letilthatja az USB-tárolóeszközökhöz való hozzáférést a domain minden felhasználója és számítógépe számára, vagy csak bizonyos tartományfelhasználók számára. span style="color: #333333;">. *

* Megjegyzések:
1. Ebben a bejegyzésben az USB-meghajtók csoportházirenden keresztüli blokkolásához Active Directory 2016 tartományvezérlőt használtunk az új csoportházirend létrehozásához, illetve Windows 10 Pro és Windows 7 Pro munkaállomások alkalmazásához.

2. Az "USB-hozzáférés blokkolása" házirend nem érinti a tartományadminisztrátorokat vagy más csatlakoztatott USB-eszközöket, például USB-billentyűzeteket, egereket, nyomtatókat stb.
3. A csoportházirend alkalmazása után a felhasználók nem férhetnek hozzá semmilyen típusú USB-tárolóeszközhöz, és az alábbi hibaüzenetek egyikét fogja kapni, amikor megpróbál hozzáférni egy USB-tárolóeszközhöz a számítógépén.

Csoportházirend használata az USB-tárolóeszközökhöz való hozzáférés megakadályozására (2012/2012R2/2016 szerver)

Part 1. Block USB Read/Write Access on All Domain Users.
Part 2. Block USB Read/Write Access for Certain Domain Users.

1. rész: Az USB-tárolóeszközökhöz való hozzáférés blokkolása a teljes tartományon 2016.

A tartomány bármely számítógépének (felhasználójának) a csatlakoztatott USB-tárolóeszközhöz való hozzáférés letiltása:

1. A Server 2016 AD Domain Controller alkalmazásban nyissa meg a Kiszolgálókezelőt, majd az Eszközök menüből nyissa meg a Csoportházirend-kezelést. *

* Ezenkívül navigáljon a Vezérlőpult -> Felügyeleti eszközök -> Csoportházirend-kezelés elemre.

2. A Domainek alatt válassza ki a domainjét, majd jobb gombbal kattintson az Alapértelmezett domainházirend elemre, és válassza a Szerkesztés lehetőséget. .

3. A "Csoportházirend-kezelő szerkesztőben" lépjen a következő helyre:

User Configuration > Policies > Administrative Templates > System > Removable Storage Access

4. A jobb oldali ablaktáblában kattintson duplán a következőre: Cserélhető lemezek: olvasási hozzáférés megtagadása. *

* Megjegyzések:
1. Ezen a ponton számos oktatóanyag azt javasolja, hogy engedélyezze a „Minden eltávolítható tárhelyosztály: Minden hozzáférés megtagadása szabályzattal, de tesztjeink során azt tapasztaltuk, hogy ez az irányelv nem vonatkozik (munkahely) okostelefonokra vagy táblagépekre.

2. Ha le szeretné tiltani az USB írási hozzáférést, válassza a Cserélhető lemezek: írási hozzáférés megtagadása lehetőséget.

5. Jelölje be az Engedélyezve lehetőséget, majd kattintson az OK gombra.

6. Zárja be a Csoportházirend-szerkesztőt.

7. Indítsa újra a kiszolgálót és az ügyfélgépeket, vagy futtassa a gpupdate /force parancsot az új csoportházirend-beállítások alkalmazásához (újraindítás nélkül) mind a kiszolgálón, mind az ügyfeleken.

2. rész: Az USB-tárolóeszközökhöz való hozzáférés megakadályozása meghatározott tartományfelhasználóknál.

Ha csak bizonyos felhasználók számára szeretné letiltani az USB-tárolóeszközök elérését egy csoportházirend használatával, létre kell hoznia egy csoportot azokkal a felhasználókkal, akik nem akarnak hozzáférni az USB-tárolóeszközökhöz, majd alkalmaznia kell az új házirendet erre a csoportra. Ehhez:

1. lépés: Hozzon létre egy csoportot a letiltott USB-felhasználókkal. *

* Megjegyzés: Ha már létrehozott egy csoportot letiltott USB-felhasználókkal, folytassa a 2. lépéssel.

1. Nyissa meg az Active Directory Users and Computers elemet.

2. Kattintson jobb gombbal a "Felhasználók" objektumra a bal oldali panelen, és válassza az Új > Csoport lehetőséget.

3. Írjon be egy nevet az új csoportnak (pl. „USB letiltott felhasználók”), majd kattintson az OK gombra. *

* Megjegyzés: Hagyja bejelölve a „Globális” és a „Biztonság” opciót.

4. Nyissa meg az újonnan létrehozott csoportot, válassza a Tagok lapot, és kattintson a Hozzáadás lehetőségre.

5. Most válassza ki, hogy mely domain felhasználó(k)ban szeretné letiltani az USB-tárolóeszközöket, majd kattintson az OK gombra.

6. Kattintson az OK gombra a csoporttulajdonságok bezárásához.

2. lépés: Hozzon létre egy új csoportházirend-objektumot az USB-tárolóeszközök letiltásához.

1. Nyissa meg a Csoportházirend-kezelést.

2. A "Domains" objektum alatt kattintson a jobb gombbal a domainjére, és válassza a GPO létrehozása ebben a tartományban, és csatolja ide lehetőséget.

3. Írjon be egy nevet az új csoportházirend-objektumnak (pl. "USB letiltva"), majd kattintson az OK gombra.

4. Kattintson a jobb gombbal az új csoportházirend-objektumra, majd kattintson a Szerkesztés lehetőségre

5. A "Csoportházirend-kezelési szerkesztőben" lépjen a következő helyre:

User Configuration > Policies > Administrative Templates > System > Removable Storage Access

4. A jobb oldali ablaktáblában kattintson duplán a következőre: Cserélhető lemezek: olvasási hozzáférés megtagadása. *

* Megjegyzés:
1. Ezen a ponton számos oktatóanyag azt javasolja, hogy engedélyezze a „Minden eltávolítható tárhelyosztály: Minden hozzáférés megtagadása szabályzattal, de tesztjeink során azt tapasztaltuk, hogy ez az irányelv nem vonatkozik (munkahely) okostelefonokra vagy táblagépekre.

2. Ha le szeretné tiltani az USB írási hozzáférést, válassza a Cserélhető lemezek: írási hozzáférés megtagadása lehetőséget.

5. Jelölje be az Engedélyezve lehetőséget, majd kattintson az OK gombra.

6. Zárja be a Csoportházirend-kezelési szerkesztő ablakot.

7. Vissza a "Csoportházirend-kezeléshez", válassza ki az "USB letiltva" csoportházirend-objektumot, és a "Hatókör" lapon kattintson a Hozzáadás gombra (a "Biztonsági szűrés" beállításai alatt ).

8. Írja be az "USB letiltott felhasználók" csoport nevét (például "USB letiltott felhasználók" ebben a bejegyzésben), majd kattintson az OK gombra.

9. Ha végzett, válassza a Delegálás lapot.

10. A "Delegation" lapon válassza ki a Hitelesített felhasználók elemet, majd kattintson a Speciális lehetőségre.

11. A Biztonsági beállításoknál jelölje be a Hitelesített felhasználók lehetőséget, és törölje a jelet a Csoportházirend alkalmazása jelölőnégyzetből. Ha végzett, kattintson az OK gombra