如何解决才能使被禁止的USB用户在特定计算机上不被禁止？

Question

我有 2 个组策略，USB_Disable（此处包含所有经过身份验证的用户）和一个 USB_Enabled（包含一组用户）。我的目标是必须在某些机器上启用 USB。我该如何解决这个问题？

我创建了一个组，将机器放入其中。

1. 我把它放在USB_Disable GPO中，并在其属性中设置它，使其无法读取或运行。
2. 我把它放在USB_Enable GPO中
3. 我制定了单独的策略，但 USB 禁用具有更高的顺序

我的所有尝试都没有成功。有解决办法

谢谢 约翰尼989

Answer 1

如果您已在“用户配置”部分中准备好阻止 USB 驱动器的组策略对象，则

• 创建一个包含在“合并”模式下启用的“配置用户环回策略处理”的 GPO（此设置位于计算机配置中）。在用户配置中将 USB 启用设置添加到此 GPO 部分。修改此 GPO 上的安全筛选以仅读取并将其应用到特定计算机以及将在这些计算机上使用 USB 驱动器的用户。

• 将您想要为有限用户启用 USB 驱动器的部门特定计算机移动到部门 OU 下的子 OU，并将您在上面创建的 GPO 链接到该子 OU。

• 因此，当特定用户从这些特定 PC 登录到域时，他们将应用应用于这些特定计算机的组策略对象的用户设置部分。由于用户设置将包含启用 USB 驱动器的设置，以及从用户 OU 继承的其他用户设置； USB 启用设置将应用于该用户。其他普通用户即使从特定计算机登录到域也不会看到 USB 驱动器，因为安全过滤不允许他们在这些特定计算机上应用 Loopback&USB 启用策略

• 由于环回组策略处理处于合并模式，所有用户都将在特定计算机上看到他们的配置文件/设置。

详情您可以查看：

参考：https://techcommunity.microsoft.com/t5/ask-the-directory-services-team/back-to-the-loopback-troubleshooting-group-policy-loopback/ba-p/400218