Wyszukiwarka zasad grupyWyszukiwarka zasad grupy
Polski

Jak zablokować zapis na dyskach USB w Windows za pomocą zasad grupy

Można ograniczyć kopiowanie plików na dysk USB przez zablokowanie zapisu. Zasada Dyski wymienne: odmowa prawa do zapisu w stanie Włączone odmawia zapisu dla klasy magazynu dysków wymiennych; nie blokuje odczytu ani wszystkich urządzeń USB. Odpowiednie ustawienie Storage Policy CSP ma zakres urządzenia i obsługuje system Windows 10 1809 lub nowszy w edycjach Pro, Enterprise, Education i IoT Enterprise. Osobna zasada funkcji BitLocker może odmawiać zapisu na wymiennych dyskach danych, które nie są chronione funkcją BitLocker.

Co sprawdzić po zastosowaniu zasady

Ta zasada pomaga ograniczyć nieautoryzowane kopiowanie danych z komputera na wymienny nośnik USB, ale nie blokuje każdej drogi wyprowadzenia danych. Po jej zastosowaniu zapisywanie, modyfikowanie, usuwanie lub kopiowanie plików na dysk wymienny może się nie powieść. Ochrona przed zapisem może też wynikać z fizycznego przełącznika lub obiektu GPO domeny. Jeśli zmiany lokalne są cofane, sprawdź zasady domeny i skontaktuj się z administratorem. Jeśli dostęp jest odrzucany przy otwieraniu dysku, sprawdź także osobne ograniczenia odczytu, inne ustawienia zabezpieczeń i stan urządzenia.

Kroki

  1. Otwórz gpedit.msc i przejdź do Konfiguracja komputera › Szablony administracyjne › System › Dostęp do magazynu wymiennego w konfiguracji komputera.
  2. Otwórz Dyski wymienne: odmowa prawa do zapisu, wybierz Włączone i zastosuj zmianę.
  3. Sprawdź zastosowaną zasadę i spróbuj skopiować plik na dysk wymienny. Obiekt GPO domeny może zastąpić ustawienie lokalne i wymagać zmiany przez administratora.
  4. Aby ponownie zezwolić na zapis w ramach tej zasady, wybierz Wyłączone lub Nie skonfigurowano. Inne ustawienia zabezpieczeń lub stan urządzenia nadal mogą ograniczać dostęp.

Alternatywa w rejestrze

Wartość zasady komputera można też ustawić w rejestrze. Jest ona oddzielna od StorageDevicePolicies\WriteProtect. Zobacz stronę wartości rejestru.

HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
Deny_Write (REG_DWORD)
1 = enabled
0 = disabled

W ramach tej zasady wartość DWORD Deny_Write ustawiona na 1 blokuje zapis, a ustawiona na 0 zezwala na zapis.

  1. Otwórz regedit z uprawnieniami administratora. Utwórz kopię zapasową istniejącego klucza docelowego lub, jeśli go nie ma, istniejącego klucza nadrzędnego. Zanotuj, czy Deny_Write istnieje, a jeśli tak, jego obecny typ i wartość.

    W Edytorze rejestru wybierz istniejący klucz docelowy lub, jeśli go nie ma, istniejący klucz nadrzędny. Wybierz Plik > Eksportuj, wskaż lokalizację i nazwę pliku, a następnie zapisz kopię .reg.

  2. W razie potrzeby utwórz brakujące klucze i wartość DWORD Deny_Write, a następnie ustaw jej dane na 1. Sprawdź zastosowaną zasadę i przetestuj kopiowanie pliku na dysk wymienny.

  3. Aby cofnąć zmianę, przywróć poprzednią wartość i typ, jeśli istniała; w przeciwnym razie usuń tylko nowo utworzoną wartość Deny_Write. Pozostaw pozostałe wartości i klucze bez zmian.

Zasada domeny może zostać ponownie zastosowana i zastąpić zmiany ręczne. Jeśli ustawieniem zarządza GPO, użyj edytora zasad lub skontaktuj się z administratorem. Ręczne ustawienie 0 nie jest równoważne stanowi „Nie skonfigurowano” w zasadach grupy.

Podstawa: szablony zasad Windows 11 wersja 26H2 (sprawdzone 2026-11-04).

Źródła