Цей посібник містить покрокові інструкції щодо блокування пристроїв зберігання даних USB на всьому домені або на окремих користувачів домену за допомогою групової політики в домені AD 2016 або 2012 року. Точніше, прочитавши інструкції в цьому посібнику, ви дізнаєтеся, як запобігти доступу до будь-якого USB-накопичувача (флеш-накопичувачі, зовнішні жорсткі диски, смартфони, планшети тощо), які можуть підключатися до будь-якого комп’ютера в домені або забороняти доступ до USB-накопичувача лише певним користувачам домену.
Сьогодні багато з нас використовують USB-накопичувач для передачі даних. Однак для організації здатність її співробітників використовувати зовнішні пристрої зберігання даних може містити ризики для безпеки, такі як поширення зловмисного програмного забезпечення або перехоплення конфіденційних даних. Щоб уникнути цих ризиків, ви можете прочитати наведені нижче інструкції, щоб заблокувати доступ до USB-накопичувачів для всіх користувачів і комп’ютерів у вашому домені або лише для певних користувачів домену за допомогою групової політики. *
* Примітки:
1.У цій публікації, щоб заблокувати USB-накопичувачі за допомогою групової політики, ми використали контролер домену Active Directory 2016 для створення нової групової політики та робочі станції Windows 10 Pro та Windows 7 Pro для її застосування.
2. Політика «Блокувати доступ до USB» не вплине на адміністраторів домену чи будь-який інший підключений USB-пристрій, наприклад USB-клавіатуру, мишу, принтер тощо.
3.Після застосування групової політики користувачі не матимуть доступу до будь-якого типу USB-накопичувачів отримає одне з наведених нижче повідомлень про помилку під час спроби отримати доступ до USB-накопичувача на своєму пристрої ПК.
![зображення зображення](/f/5393b1cd0df4ae3712491668e7e603e0.png)
![зображення зображення](/f/978c24ec0063fe787ce5192b4cdb14a8.png)
Як використовувати групову політику для запобігання доступу до USB-накопичувача (сервер 2012/2012R2/2016)
- Частина 1. Блокувати доступ для читання/запису через USB для всіх користувачів домену.
- Частина 2. Блокувати доступ для читання/запису через USB для певних користувачів домену.
Частина 1. Як заблокувати доступ до USB-накопичувачів на всьому домені 2016.
Щоб вимкнути доступ до будь-якого підключеного USB-накопичувача до будь-якого комп’ютера (користувача) у домені:
1. У контролері домену AD Server 2016 відкрийте файл Менеджер сервера а потім від Інструменти меню, відкрийте Управління груповою політикою. *
* Крім того, перейдіть до Панель управління -> Адміністративні інструменти -> Управління груповою політикою.
![Відкрите керування груповою політикою Управління груповою політикою - Server 2016](/f/9237f44cbb461009ac17d608b067c5dc.png)
2. Під Домени, виберіть свій домен, а потім клацніть правою кнопкою миші на Політика домену за замовчуванням і вибрати Редагувати.
![Політика домену за замовчуванням Редагувати політику домену за замовчуванням](/f/e9fcd55d8f714c296581717257d9c478.png)
3. У «Редакторі керування груповою політикою» перейдіть до:
- Конфігурація користувача > Політики > Адміністративні шаблони > Система > Доступ до знімного сховища
4. На правій панелі двічі клацніть на: Знімні диски: заборонити доступ для читання. *
* Примітки:
1. Багато підручників на цьому етапі пропонують до Увімкнути 'Усі класи знімних накопичувачів: заборонити будь-який доступ» політики, але під час наших тестів ми виявили, що ця політика не застосовується (працює) для смартфонів або планшетів.
2. Якщо ви хочете заблокувати доступ до USB-запису, виберіть Знімні диски: заборонити доступ на запис.
![Як заблокувати доступ до USB на комп’ютерах домену. Як заблокувати USB-накопичувачі в домені за допомогою групової політики](/f/16eade94de088234c77d31d0be6d5cbb.png)
5. Перевірте Увімкнено і натисніть ДОБРЕ.
![Блокувати USB за допомогою групової політики в Windows Server 2016 Як заблокувати USB через групову політику в Windows Server 2016](/f/8544bac917df4e5ad5f03cb45b6a9930.png)
6. Закрити редактор групової політики.
7. Перезапустіть сервер і клієнтські машини, або запустіть файл gpupdate /force команду, щоб застосувати нові параметри групової політики (без перезапуску) як до сервера, так і до клієнтів.
Частина 2. Як запобігти доступу до USB-накопичувача для певних користувачів домену.
Щоб вимкнути доступ до USB-накопичувачів лише для певних користувачів за допомогою групової політики, необхідно створити файл a групу з користувачами, які не хочуть отримати доступ до USB-накопичувачів, а потім застосувати до цього нову політику група. Щоб зробити це:
Крок 1. Створіть групу з відключеними користувачами USB. *
* Примітка: Якщо ви вже створили групу з відключеними користувачами USB, продовжуйте крок-2.
1. відчинено Користувачі та комп’ютери Active Directory.
2. Клацніть правою кнопкою миші на «Користувачі" на лівій панелі та виберіть Новий > Група
![Active Directory - Створити групу Active Directory - Створити групу](/f/d219c54d040602555b09e58803a4ff95.png)
3. Введіть назву для нової групи (наприклад, «Користувачі з відключенням USB») і натисніть добре. *
* Примітка: Залиште прапорцями параметри «Глобальна» та «Безпека».
![зображення зображення](/f/1991a4b8c9deee80fe9e5fbb335152a6.png)
4. Відкрийте новостворену групу, виберіть Члени вкладку та клацніть Додати
![зображення зображення](/f/a142e5141fec97368d1e82cec7337199.png)
5. Тепер виберіть користувача(-ів) домену, у якому ви хочете заблокувати USB-накопичувачі, а потім клацніть ДОБРЕ.
![зображення зображення](/f/a0008e95b58604f760e24ac4ca30c1d4.png)
6. Натисніть добре щоб закрити властивості групи.
![зображення зображення](/f/feb78b8a9073c35ba72a473e71c493ec.png)
Крок 2. Створіть новий об’єкт групової політики, щоб вимкнути USB-накопичувачі.
1. Відкрийте Управління груповою політикою.
2. Під об’єктом «Домени» клацніть правою кнопкою миші свій домен і виберіть Створіть GPO в цьому домені та зв’яжіть його тут.
![зображення зображення](/f/9861fe21878c93a828b437e790b6aabf.png)
3. Введіть назву для нового GPO (наприклад, "USB Disabled") і натисніть ДОБРЕ.
![зображення зображення](/f/b26b28685c123df9ad420fbb5f833932.png)
4. Клацніть правою кнопкою миші на новому GPO та клацніть Редагувати.
![Групова політика для вимкнення доступу до USB для певних користувачів Вимкніть доступ до USB для певних користувачів за допомогою групової політики](/f/a21b31a01fc1aa81f8b9ea207536978f.png)
5. У «Редакторі керування груповою політикою» перейдіть до:
- Конфігурація користувача > Політики > Адміністративні шаблони > Система > Доступ до знімного сховища
4. На правій панелі двічі клацніть на: Знімні диски: заборонити доступ для читання. *
* Примітка:
1. Багато підручників на цьому етапі пропонують до Увімкнути 'Усі класи знімних накопичувачів: заборонити будь-який доступ» політики, але під час наших тестів ми виявили, що ця політика не застосовується (працює) для смартфонів або планшетів.
2. Якщо ви хочете заблокувати доступ до USB-запису, виберіть Знімні диски: заборонити доступ на запис.
![Вимкніть доступ до USB-накопичувача для певних користувачів Блокувати доступ до USB-накопичувача для певних користувачів](/f/214290b60e657c64797dd028c3e62cb8.png)
5. Перевірте Увімкнено і натисніть ДОБРЕ.
![Знімні диски – заборонити доступ Знімні диски – заборонити доступ](/f/e846fd8aa40740e574b339de602d1db3.png)
6. Закрити в Редактор керування груповою політикою вікно.
7. Поверніться до «Керування груповою політикою», виберіть «USB Disabled» GPO та на вкладці «Обсяг» натисніть кнопку Додати (у налаштуваннях «Фільтрування безпеки»).
![Блокувати USB для певних користувачів у AD Server 2016 Блокувати USB для певних користувачів у AD Server 2016](/f/8f31024564f1d91c4ad10734d626239b.png)
8. Введіть назву групи «Користувачі з відключенням USB» (наприклад, «Користувачі з відключенням USB» у цій публікації) та натисніть добре.
![зображення зображення](/f/ba1a568cd927ea0ae8d645cae529882d.png)
9. Після завершення виберіть Делегування табл.
![зображення зображення](/f/5a63ff5372f66c4819edab35b2765aab.png)
10. На вкладці "Делегування" виберіть в Авторизовані користувачі і натисніть Розширений.
![зображення зображення](/f/c111e894d6b2a0dc1d42079a78c9f6a5.png)
11. У параметрах безпеки, виберіть в Авторизовані користувачі і зніміть прапорець в Застосовувати групову політику прапорець. Після завершення натисніть ДОБРЕ.
6. Закрити редактор групової політики.
7. Перезапустіть сервер і клієнтські машини, або запустіть "gpupdate /force" (як адміністратор), щоб застосувати нові параметри групової політики (без перезапуску) як до сервера, так і до клієнтів.
Це воно! Дайте мені знати, чи допоміг вам цей посібник, залишивши свій коментар про свій досвід. Будь ласка, поставте лайк і поділіться цим посібником, щоб допомогти іншим.