使用群組原則禁止寫入 USB 磁碟機
限制寫入權限可以阻止檔案複製到 USB 磁碟機。將 抽取式磁碟: 拒絕寫入存取權 原則設為 已啟用 會拒絕寫入卸除式磁碟儲存類別，但不會封鎖讀取或所有 USB 裝置。對應的 Storage Policy CSP 設定適用於裝置範圍，支援 Windows 10 1809 以上的 Pro、Enterprise、Education 和 IoT Enterprise。另一項 BitLocker 原則可拒絕寫入未受 BitLocker 保護的卸除式資料磁碟機。
套用原則後的檢查事項
此原則有助於減少從電腦未經授權複製資料到卸除式 USB 儲存裝置，但無法阻止所有資料外洩途徑。原則生效時，將檔案儲存、修改、刪除或複製到卸除式磁碟可能會失敗。寫入保護也可能由實體開關或網域 GPO 等其他原因造成。如果本機變更被還原，請檢查網域原則並聯絡系統管理員。如果開啟磁碟機時就遭拒存取，也請檢查其他讀取限制、安全性設定和裝置狀態。
步驟
- 開啟
gpedit.msc，在電腦設定下前往電腦設定 › 系統管理範本 › 系統 › 抽取式存放裝置存取權。 - 開啟 抽取式磁碟: 拒絕寫入存取權，選取
已啟用並套用變更。 - 檢查已套用的原則，然後嘗試將檔案複製到卸除式磁碟。網域 GPO 可能覆蓋本機設定，可能需要由系統管理員變更。
- 若要依此原則恢復允許寫入，選取
已停用或尚未設定。其他安全性設定或裝置狀態仍可能限制存取。
使用登錄的替代方法
也可以在登錄中設定電腦原則值；這與 StorageDevicePolicies\WriteProtect 是不同的設定。請參閱登錄值頁面。
HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
Deny_Write (REG_DWORD)
1 = enabled
0 = disabled
在此原則下，Deny_Write DWORD 值為 1 會拒絕寫入，為 0 則允許寫入。
-
以系統管理員權限開啟
regedit。備份現有的目標機碼；若目標不存在，則備份現有的上層機碼。記錄Deny_Write是否存在，以及存在時的原有類型和數值。在登錄編輯程式中選取現有的目標機碼；若目標不存在，請選取現有的上層機碼。選擇 檔案 > 匯出，指定位置與檔名，然後儲存
.reg備份。 -
視需要建立缺少的機碼及 DWORD 值
Deny_Write，並將數值資料設為1。檢查已套用的原則，並測試將檔案複製到卸除式磁碟。 -
若要復原，原本存在時請還原先前的類型和數值；若是新建的，則只刪除
Deny_Write值。保留其他值和機碼。
網域原則可能重新套用並覆蓋手動變更。若設定由 GPO 控制，請使用原則編輯器或聯絡系統管理員。手動設為 0 不等同於群組原則的「未設定」狀態。
基準：Windows 11 版本 26H2 原則範本（2026-11-04 確認）。