Ta priročnik vsebuje navodila po korakih, kako blokirati pomnilniške naprave USB v celotni domeni ali pri določenih uporabnikih domene z uporabo pravilnika skupine v domeni AD 2016 ali 2012. Natančneje, ko boste prebrali navodila v tem priročniku, se boste naučili, kako preprečiti dostop do katere koli pomnilniške naprave USB (pomnilniški pogoni, zunanji trdi diski, pametni telefoni, tablice itd.), ki se lahko povežejo s katerim koli računalnikom v domeni ali onemogočijo dostop do pomnilnika USB samo določenim uporabnikom domene.
Danes mnogi od nas za prenos podatkov uporabljajo pomnilniško napravo USB. Vendar pa lahko za organizacijo sposobnost njenih zaposlenih, da uporabljajo zunanje naprave za shranjevanje, vsebuje varnostna tveganja, kot je širjenje zlonamerne programske opreme ali prestrezanje občutljivih podatkov. Da bi se izognili tem tveganjem, lahko preberete naslednja navodila za blokiranje dostopa do pomnilniških naprav USB vsem uporabnikom in računalnikom v vaši domeni ali samo določenim uporabnikom domene z uporabo pravilnika skupine. *
* Opombe:
1.V tej objavi, če želite blokirati pogone USB s pravilnikom skupine, uporabili smo krmilnik domene Active Directory 2016 za ustvarjanje novega pravilnika skupine in delovne postaje Windows 10 Pro in Windows 7 Pro za njegovo uporabo.
2. Politika "Blokiraj dostop do USB" ne bo vplivala na skrbnike domene ali katero koli drugo povezano napravo USB, kot so tipkovnice USB, miška, tiskalnik itd.
3.Po uporabi pravilnika skupine uporabniki ne bodo imeli dostopa do nobene vrste pomnilniške naprave USB in bo prejel eno od naslednjih sporočil o napaki, ko bo poskušal dostopati do pomnilniške naprave USB na svoji napravi osebni računalnik.
Kako uporabiti pravilnik skupine za preprečevanje dostopa do pomnilniških naprav USB (strežnik 2012/2012R2/2016)
- 1. del. Blokiraj dostop za branje/pisanje USB za vse uporabnike domene.
- 2. del. Blokiraj dostop USB za branje/pisanje za določene uporabnike domene.
1. del. Kako blokirati dostop do pomnilniških naprav USB na celotni domeni 2016.
Če želite onemogočiti dostop do katere koli povezane pomnilniške naprave USB do katerega koli računalnika (uporabnika) v domeni:
1. V krmilniku domene AD Server 2016 odprite Upravitelj strežnikov in nato od Orodja meni, odprite Upravljanje politik skupine. *
* Poleg tega se pomaknite do Nadzorna plošča -> Administrativna orodja -> Upravljanje politik skupine.
2. Spodaj domene, izberite svojo domeno in nato desni klik pri Privzeta politika domene in izberite Uredi.
3. V "Urejevalniku za upravljanje pravilnikov skupine" se pomaknite do:
- Uporabniška konfiguracija > Politike > Skrbniške predloge > Sistem > Dostop do odstranljivega pomnilnika
4. V desnem podoknu dvokliknite na: Odstranljivi diski: zavrnite dostop za branje. *
* Opombe:
1. Številne vadnice na tej točki predlagajo Omogoči 'Vsi razredi izmenljivih pomnilnikov: zavrni vsak dostop' pravilnik, vendar smo med našimi testi ugotovili, da ta pravilnik ne velja (deluje) za pametne telefone ali tablice.
2. Če želite blokirati dostop do zapisa USB, izberite Odstranljivi diski: zavrni dostop za pisanje.
5. Preverite Omogočeno in kliknite V REDU.
6. Zapri urejevalnik pravilnika skupine.
7. Ponovni zagon strežnika in odjemalskih strojev ali zaženite gpupdate /force ukaz za uporabo novih nastavitev pravilnika skupine (brez ponovnega zagona) tako za strežnik kot za odjemalce.
2. del. Kako preprečiti dostop do pomnilniških naprav USB za določene uporabnike domene.
Če želite onemogočiti dostop do pomnilniških naprav USB samo določenim uporabnikom s pravilnikom skupine, morate ustvariti a skupine z uporabniki, ki ne želijo dostopati do pomnilniških naprav USB, in nato za to uporabiti novo politiko skupina. Če želite to narediti:
Korak 1. Ustvarite skupino z onemogočenimi uporabniki USB. *
* Opomba: Če ste že ustvarili skupino z onemogočenimi uporabniki USB, nadaljujte korak-2.
1. Odprto Uporabniki in računalniki Active Directory.
2. Z desno tipko miške kliknite na "Uporabniki" v levem podoknu in izberite Novo > Skupina
3. Vnesite ime za novo skupino (npr. »Uporabniki, ki so onemogočeni USB«) in kliknite v redu. *
* Opomba: Pustite potrjeni možnosti »Globalno« in »Varnost«.
4. Odprite novo ustvarjeno skupino, izberite člani zavihek in kliknite Dodaj
5. Zdaj izberite uporabnike domene, v katerih želite blokirati pomnilniške naprave USB, in kliknite V REDU.
6. Kliknite v redu za zapiranje lastnosti skupine.
2. korak. Ustvarite nov predmet pravilnika skupine, da onemogočite naprave za shranjevanje USB.
1. Odprite Upravljanje politik skupine.
2. Pod predmetom »Domene« z desno tipko miške kliknite svojo domeno in izberite Ustvarite GPO v tej domeni in ga povežite tukaj.
3. Vnesite ime za nov GPO (npr. »USB onemogočen«) in kliknite V REDU.
4. Z desno tipko miške kliknite nov GPO in kliknite Uredi.
5. V "Urejevalniku za upravljanje pravilnikov skupine" se pomaknite do:
- Uporabniška konfiguracija > Politike > Skrbniške predloge > Sistem > Dostop do odstranljivega pomnilnika
4. V desnem podoknu dvokliknite na: Odstranljivi diski: zavrnite dostop za branje. *
* Opomba:
1. Številne vadnice na tej točki predlagajo Omogoči 'Vsi razredi izmenljivih pomnilnikov: zavrni vsak dostop' pravilnik, vendar smo med našimi testi ugotovili, da ta pravilnik ne velja (deluje) za pametne telefone ali tablice.
2. Če želite blokirati dostop do zapisa USB, izberite Odstranljivi diski: zavrni dostop za pisanje.
5. Preverite Omogočeno in kliknite V REDU.
6. Zapri the Urednik za upravljanje pravilnika skupine okno.
7. Nazaj na 'Upravljanje pravilnikov skupine', izberite GPO "USB onemogočen" in na zavihku "Obseg" kliknite gumb Dodaj gumb (pod nastavitvami »Varnostno filtriranje«).
8. Vnesite ime skupine "USB onemogočeni uporabniki" (npr. "Uporabniki, ki so onemogočeni USB" v tej objavi) in kliknite v redu.
9. Ko končate, izberite Delegacija zavihek.
10. Na zavihku »Delegacija« izberite the Preverjeni uporabniki in kliknite Napredno.
11. V Varnostnih možnostih, izberite the Preverjeni uporabniki in počistite potrditveno polje the Uporabite pravilnik skupine potrditveno polje. Ko končate, kliknite V REDU.
6. Zapri urejevalnik pravilnika skupine.
7. Ponovni zagon strežnik in odjemalske stroje ali zaženite "gpupdate /force" (kot skrbnik), da uporabite nove nastavitve pravilnika skupine (brez ponovnega zagona) tako za strežnik kot za odjemalce.
To je to! Sporočite mi, ali vam je ta vodnik pomagal, tako da pustite komentar o svoji izkušnji. Všečkajte in delite ta vodnik, da pomagate drugim.