通过组策略管理硬件限制档

《通过组策略管理硬件限制档》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、通过组策略管理硬件限制通过组策略管理硬件限制　　事实的确如此：这些拇指U盘和各种可爱的可移动媒体能为您的个人生活带来方便，但会给工作环境带来隐患。您需要一种方式来控制。哪些硬件设备可以安装，哪些不可以安装。幸运的是，使用WindowsVista™以及下一版WindowsServer®(代号为“Longhorn”)中的组策略，您可以选择……　事实的确如此：这些拇指U盘和各种可爱的可移动媒体能为您的个人生活带来方便，但会给工作环境带来隐患。您需要一种方式来控制。哪些硬件设备可以安装，哪些不可以安装。幸运的是，使用WindowsVista™以及下一版WindowsServer

2、®(代号为“Longhorn”)中的组策略，您可以选择允许安装USB鼠标，但不允许安装U盘;允许安装CD-ROM读取器，但不允许安装DVD写入器，或者允许安装蓝牙，但不允许安装PCMCIA卡。　　组策略中有两个部分可帮助您保护硬件安全：“计算机配置”

3、“管理模板”

4、“系统”

5、“可移动存储访问”(请参阅图1)和“计算机配置”

6、“管理模板”

7、“系统”

8、“设备安装”

9、“设备安装限制”(请参阅图2)。     　　图1组策略中的预定义硬件限制(单击该图像获得较大视图)7/7通过组策略管理硬件限制     　　图2自定义要限制的硬件种类(单击该图像获得较大视图)　第一组(可移动存

10、储访问)很容易理解：如果为该类可移动存储设备(CD/DVD、软盘等)启用某一策略设置，则可以在需要时限制对所有这种类型设备的读取和/或写入。但是，它的限制功能没有“设备安装限制”强大。　　在“可移动存储访问”中，包含名为“自定义类别：拒绝读取权限”和“自定义类别：拒绝写入权限”的策略设置组。这听起来不错，但可移动存储访问策略实际上并不禁止安装驱动程序—当检测到硬件时，表示已经安装了该类硬件的驱动程序。该策略只能禁止对设备的读取或写入。在下一部分中说明“设备安装限制”策略设置时，我将彻底禁止驱动程序本身的使用。　　掌握类别和ID　　我们首先要明确的是：希望进行哪些限制。您

11、可以考虑得较为宽泛，也可以较为具体。也就是说，可以限制特定的某“类”设备，也可以具体到单一硬件类型。或者，您还可以反过来，只允许使用特定设备类别，如USB鼠标。不过，棘手的是以下部分：要切实起到限制作用，您需要圈定要限制的硬件。　　因此，如果希望“不允许安装游戏杆驱动程序”而“只允许安装USB鼠标”，则需要获取游戏杆和鼠标的信息。有一种方法是使用Internet搜寻硬件ID、兼容ID7/7通过组策略管理硬件限制或设备类别。不过，如果手头有这样一件设备，则会更简单。这时，可以将该设备接入计算机并查看其硬件ID、兼容ID或设备类别。了解这些信息后，也就清楚该如何禁用它(或使

12、之可用)。　　在下面的示例中，我将禁用特定的声卡系列：CreativeAutoPCIES1371/ES1373。如果您希望禁用其他设备(如特定USB设备、USB端口等)，只需遵循下面的步骤并替换为相应设备。　　在已经安装相应硬件项的计算机上启动“设备管理器”。找到设备后，右键单击并选择“属性”，然后选择“详细信息”选项卡。默认情况下，您会看到一个“设备描述”。尽管这会令人感兴趣，却没有多大用处。选择“属性”下拉列表，并选择“硬件ID”，如图3所示。　　　　图3设备的“详细信息”选项卡(单击该图像获得较大视图)　　“硬件ID”页从上到下显示了从最特定到最宽泛的设备ID。如

13、果仔细查看“硬件ID”值列表中的第一项，您会发现此声卡为第2版的ES1371声卡。这是一个非常具体的ID。沿列表向下，设备描述逐渐变得宽泛，一直到包含整个系列。7/7通过组策略管理硬件限制　　此外，您还可以将“属性”更改为“兼容ID”。它们同样描述了硬件，但没有“硬件ID”描述那样具体。您可以选择使用“兼容ID”中的信息，尝试将更多类似硬件圈入您的禁用列表—因为它的定义更为宽泛，可网罗更多结果。当然，不利的一面是可能会限制某些不希望限制的项。　　最后，从“属性”下拉列表中选择“设备类别”可获得最宽泛的设备类别。在我的举例中，声卡仅显示为“媒体”。但是，许多东西都可以视为

14、媒体，因此，描述越宽泛，越应当谨慎。　　确定要使用的值后，右键单击它并选择“复制”，然后将其粘贴到记事本中妥善保管。直接原样复制是很重要的，因为在接下来的步骤中，必须精确输入该值。值中所有大小写字母必须精确保留。　　如果您热衷于使用命令行而不是设备管理器来捕获硬件ID或设备类别，请查看support.microsoft.com/kb/311272上有关Devcon命令行实用工具的论述。另外请注意，Microsoft为常用类别提供了许多标识符，这在您不能实际获得设备时很有帮助;请参阅go.microsoft.com/fwlink/?Link