https://baijiahao.baidu.com/s?id=1719721698091493572&wfr=spider&for=pc

将新的USB设备连接到计算机时，Windows会自动检测该设备并安装适当的驱动程序，这意味着用户几乎可以立即使用连接的USB驱动器或设备。在某些组织中，出于安全原因，禁止使用USB设备（闪存驱动器，USB硬盘，SD卡等），以防止机密数据的安全泄漏和病毒渗透到公司内部网络。本文介绍如何使用组策略（GPO）禁用外部可移动USB驱动器，这些驱动器无法进行数据写入或运行可执行文件。

内容：

配置GPO以阻止USB驱动器和其他外部存储设备

Windows防火墙允许限制特定应用程序，协议或TCP / IP端口的入站/出站网络流量。这是一种限制与用户工作站或服务器之间的网络访问的简便方法。您可以在每台计算机上分别配置Windows防火墙规则，或者，如果用户计算机已加入Active Directory域，则管理员可以使用GPO管理Windows Defender防火墙设置和规则。

在大型企业中，端口过滤规则通常在路由器，L3交换机或专用防火墙设备级别设置。但是，没有什么可以阻止您将Windows防火墙网络访问限制规则部署到工作站或Windows服务器。

设定了组策略，强制用户强密码，设定密码过期以及锁定账户策略后，发现实际终端策略没有生效。以下为排查思路:

1  在终端上执行 gpupdate /force，强制更新组策略。

2 在终端上执行gpresult /z 或者gpresult /v 或者 gpresult /H xxxx.html (保存输出结果到html文件，可带绝对路径)查看终端应用的组策略情况。

3 如果步骤2看不到创建的组策略在终端中应用，则排查域控服务器的问题。

命令参数

/r

显示 RSoP 策略摘要信息。

/v

显示详细的策略信息。包括应用优先级为 1 的详细设置。

/z

显示有关组策略的所有信息。包括优先级为 1 或更高的详细设置。

/s system

远程计算机的计算机名（Hostname）或 IP 地址。禁止使用反斜杠。默认：当前计算机。例如：/s 192.168.1.1；/s shanks-pc。