Windows Server 2008 R2控制站點隱藏並限制訪問任意盤符的組策略配制方法

 

域控隱藏盤符的設置項

在組策略管理編輯器中，依次打開的用戶配置→策略→管理模板→Windows組件→Windows資源管理器，其中有兩項：

1. 隱藏“我的電腦”中的這些指定的驅動器
2. 防止從“我的電腦”訪問驅動器

只設置* 第一項 能讓盤符在資源管理器窗口中消失，但是仍然可以通過快捷方式的打開文件位置等方式進入到磁盤；同時設置 第二項 *既能夠隱藏盤符，也能避免用戶通過其他方式直接在資源管理器中訪問磁盤。

系統默認的配置方案

在上述兩項的編輯窗口選擇啟用，發現系統默認都只提供了下面幾種方案：

• 僅限制A和B
• 僅限制C
• 僅限制D
• 僅限制ABC
• 僅限制ABCD
• 限制所有磁盤
• 不限制

如果需要限制的盤符組合恰好存在，那么啟用選擇即可；但一般是不能滿足要求的。

添加限制任意磁盤選項的方法

以限制除了E盤之外的所有磁盤為例：

1.復制模板文件

將** C:\Windows\ 路徑下面的PolicyDefinitions文件夾拷貝到 C:\Windows\SYSVOL\sysvol\xxx.com\Policies **路徑下面(xxx.com是所設置的域網絡名稱；假設系統盤為C盤)；

2.修改模板文件

在** C:\Windows\SYSVOL\sysvol\xxx.com\Policies\PolicyDefinitions 中找到WindowsExplorer.admx文件，用記事本打開，查找 “NoDrives” 和“NoViewOnDriver”**，找到如下代碼段：

1. <policyname="NoDrives"class="User"displayName="$(string.NoDrives)"explainText="$(string.NoDrives_Help)"presentation="$(presentation.NoDrives)"key="Software\Microsoft\Windows\CurrentVersion\Policies\Explorer">
2. <parentCategoryref="windows:WindowsExplorer"/>
3. <supportedOnref="windows:SUPPORTED_Win2k"/>
4. <elements>
5. <enumid="NoDrivesDropdown"valueName="NoDrives"required="true">
6. <itemdisplayName="$(string.ABOnly)">
7. <value>
8. <decimalvalue="3"/>
9. </value>
10. </item>
11. <itemdisplayName="$(string.COnly)">
12. <value>
13. <decimalvalue="4"/>
14. </value>
15. </item>
16. <itemdisplayName="$(string.DOnly)">
17. <value>
18. <decimalvalue="8"/>
19. </value>
20. </item>
21. <itemdisplayName="$(string.ABConly)">
22. <value>
23. <decimalvalue="7"/>
24. </value>
25. </item>
26. <itemdisplayName="$(string.ABCDOnly)">
27. <value>
28. <decimalvalue="15"/>
29. </value>
30. </item>
31. <itemdisplayName="$(string.ALLDrives)">
32. <value>
33. <decimalvalue="67108863"/>
34. </value>
35. </item>
36. <itemdisplayName="$(string.RestNoDrives)">
37. <value>
38. <decimalvalue="0"/>
39. </value>
40. </item>
41. </enum>
42. </elements>
43. </policy>

在其中添加一段，displayName設為NotE：

1. <itemdisplayName="$(string.NotE)">
2. <value>
3. <decimalvalue="67108847"/>
4. </value>
5. </item>

value的計算：

low 26 bits on (1 bit per drive)

可以看出：

value	value（二進制）	代表所限制的盤符
3	11	AB
4	100	C
8	1000	D
7	111	ABC
67108863	1..1(26個)	ALLDrives

即，用26位二進制數字代表26個盤符的組合：

• 最低位代表A，最高位代表Z；
• 每一位代表一個盤符，為1代表限制這個盤符，為0代表不限制

所以，要設置僅允許訪問E盤，也就是限制除了E之外的所有盤符，二進制數應該是：

ZYXWVUTSRQPONMLKJIHGFEDCBA
11 1111 1111 1111 1111 1110 1111

換算為十進制，得到value值應為：67108847

3.最后一步

對於使用中文的系統，在** C:\Windows\SYSVOL\sysvol\xxx.com\Policies\PolicyDefinitions\zh-CN **中找到WindowsExplorer.adml文件，同樣用記事本打開，找到如下stringtable代碼段：

1. <stringTable>
2. <stringid="ABCDOnly">僅限制驅動器 A、B、C 和 D</string>
3. <stringid="ABConly">僅限制驅動器 A、B 和 C</string>
4. <stringid="ABOnly">僅限制驅動器 A 和 B</string>
5. <stringid="ALLDrives">限制所有驅動器</string>
6. <stringid="ClassicShell">啟用經典外觀</string>
7. <stringid="ClassicShell_Help">此設置允許管理員將特定的 Windows Shell 行為還原到經典外觀行為。

在其中添加一句：

1. <stringid="NotE">限制除E外所有驅動器</string>

最后，去隱藏“我的電腦”中的這些指定的驅動器和防止從“我的電腦”訪問驅動器中選擇啟用剛剛增加的** 限制除E外所有驅動器 **即可。

來自為知筆記(Wiz)