グループポリシーでUSBドライブへの書き込みを禁止
USBドライブへのファイルの書き込みは、グループポリシーで制限できます。リムーバブル ディスク: 書き込みアクセス権の拒否 ポリシーを 有効 にすると、リムーバブルディスクのストレージクラスへの書き込みが拒否されます。読み取りやすべてのUSBデバイスを禁止する設定ではありません。対応するStorage Policy CSP設定はデバイス単位で適用され、Windows 10 1809以降のPro、Enterprise、Education、IoT Enterpriseに対応します。別のBitLockerポリシーでは、BitLockerで保護されていないリムーバブルデータドライブへの書き込みを拒否できます。
適用後に確認すること
このポリシーは、コンピューターからリムーバブルUSBストレージへの無許可のデータコピーを減らすためのもので、あらゆるデータ持ち出し経路を防ぐものではありません。適用中は、リムーバブルディスクへのファイルの保存、変更、削除、コピーが失敗することがあります。書き込み保護には物理スイッチやドメインGPOなど、他の原因もあります。ローカルの変更が元に戻る場合は、ドメインポリシーを確認し、管理者に連絡してください。ドライブを開くときにアクセスが拒否される場合は、別の読み取り制限やセキュリティ設定、デバイスの状態も確認してください。
手順
gpedit.mscを開き、コンピューターの構成のコンピューターの構成 › 管理用テンプレート › システム › リムーバブル記憶域へのアクセスに移動します。- リムーバブル ディスク: 書き込みアクセス権の拒否 を開き、
有効を選んで適用します。 - 適用されたポリシーを確認し、リムーバブルディスクへのファイルコピーを試します。ドメインGPOがローカル設定を上書きする場合があり、管理者による変更が必要になることがあります。
- このポリシーによる書き込み許可に戻すには
無効または未構成を選びます。他のセキュリティ設定やデバイスの状態によってはアクセスが制限されます。
レジストリを使う方法
コンピューターポリシーの値はレジストリでも設定できます。これは StorageDevicePolicies\WriteProtect とは別の設定です。レジストリ値のページ も参照してください。
HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
Deny_Write (REG_DWORD)
1 = enabled
0 = disabled
このポリシーでは、Deny_Write のDWORD値が 1 の場合は書き込みを拒否し、0 の場合は書き込みを許可します。
-
管理者権限で
regeditを開きます。対象キーが存在すればそのキーを、存在しなければ既存の親キーをバックアップします。Deny_Writeの有無と、存在する場合は元の種類と値を記録します。レジストリ エディターで既存の対象キーを選択します。対象がない場合は既存の親キーを選択し、ファイル > エクスポートを選んで、保存先とファイル名を指定して
.regバックアップを保存します。 -
不足しているキーとDWORD値
Deny_Writeを必要に応じて作成し、値のデータを1に設定します。適用されたポリシーを確認し、リムーバブルディスクへのファイルコピーを試します。 -
元に戻すには、値が存在していた場合は元の種類と値を復元し、新規作成した場合は
Deny_Write値だけを削除します。他の値やキーはそのまま残します。
ドメインポリシーが再適用され、手動の変更を上書きする場合があります。GPOで管理されている場合は、ポリシーエディターを使うか管理者に連絡してください。手動で設定した 0 は、グループポリシーの「未構成」と同じではありません。
基準: Windows 11 バージョン 26H2 のポリシーテンプレート（2026-11-04確認）。