In the example above, we squashed j

In the example above, we squashed just one device. If you wanted to, you could go the opposite route, restricting all hardware by default and then allowing some. Again, you can see a list of these policy settings in Figure 2, which shows the Computer Configuration | Administrative Templates | Device Installation | Device Installation Restrictions branch of Group Policy. You can choose from several available settings.
First, there’s "Allow administrators to override Device Installation Restrictions." By default, local administrators on Windows Vista must honor the restrictions that are put in place. If you enable this setting, local administrators can override the restriction and install whatever hardware they want.
Next is "Allow installation of devices using drivers that match these setup classes." By entering device descriptions in this policy setting, you’re expressly allowing those hardware devices to be installed on the system. Note that this policy setting honors only setup classes, not device IDs (like those used in the example).
To achieve the opposite effect, you can set "Prevent installation of devices using drivers that match these device setup classes."
The two settings "Display a custom message when installation is prevented by policy (balloon text) and (balloon title)" help you customize the message, as in Figure 5.
As mentioned earlier, the least-specific way to describe hardware is based on hardware class. It should be noted that the policy setting "Allow installation of devices that match any of these device IDs" does not honor Class ID descriptions. To use Class ID descriptions, use either "Allow installation of devices using drivers that match these device setup classes" or "Prevent installation of devices using drivers that match these device setup classes." This latter policy is best used with the setting "Prevent installation of devices not described by other policy settings." By preventing everything (by default) and then using this setting you can specify precisely which devices you want to allow.
In the example, I used the policy "Prevent installation of devices that match any of these device IDs" to restrict a specific type of hardware based on device IDs. If you wanted to implement restrictions using Device Classes, you would have to leverage other specific policy settings such as "Allow installation of devices using drivers that match these device setup classes" or "Prevent installation of devices using drivers that match these device setup classes."
"Prevent installation of removable devices" is a quick, generic way to restrict any hardware device that describes itself as removable, including USB devices. This setting is rather general, so it’s best not to use it too often. Instead, use the techniques described earlier to get moderately restrictive Device IDs and lock them down specifically.
Finally, "Prevent installation of devices not described by other policy settings" is the catchall policy setting that basically restricts all hardware unless you’ve specifically dictated that something can install. This policy in conjunction with the various "Allow" policies (such as "Allow installation of devices that match any of these device IDs") makes a really powerful tool for allowing only the hardware you want in your environment.

Kết quả (Việt) 2:

Trong ví dụ trên, chúng ta đè bẹp chỉ là một thiết bị. Nếu bạn muốn, bạn có thể đi đường ngược lại, hạn chế tất cả các phần cứng theo mặc định và sau đó cho phép một số. Một lần nữa, bạn có thể thấy một danh sách các thiết lập chính sách trong hình 2, trong đó cho thấy các Computer Configuration | Administrative Templates | Device Installation | Device Installation Restrictions chi nhánh của Group Policy. Bạn có thể chọn từ một số các thiết lập sẵn.
Đầu tiên, đó là "Cho phép các quản trị viên để ghi đè Device Installation Restrictions." Theo mặc định, các quản trị viên địa phương trên Windows Vista phải tôn trọng những giới hạn đó được đưa ra. Nếu bạn kích hoạt thiết lập này, các quản trị viên địa phương có thể ghi đè lên các hạn chế và cài đặt bất cứ phần cứng mà họ muốn.
Tiếp theo là "Cho phép lắp đặt các thiết bị sử dụng các trình điều khiển phù hợp với các lớp này thiết lập." Bằng cách nhập mô tả thiết bị trong thiết lập chính sách này, bạn rõ ràng cho phép các thiết bị phần cứng được cài đặt trên hệ thống. Lưu ý rằng chính sách này thiết lập danh chỉ các lớp học thiết lập, không ID thiết bị (như những người sử dụng trong ví dụ).
Để đạt được tác dụng ngược lại, bạn có thể thiết lập "Ngăn chặn cài đặt các thiết bị sử dụng các trình điều khiển phù hợp với các lớp cài đặt thiết bị."
Hai thiết lập " Hiển thị một thông báo tùy chỉnh khi cài đặt bị ngăn chặn bởi chính sách (văn bản bóng) và (balloon tiêu đề) "giúp bạn tùy chỉnh các thông báo, như trong hình 5.
Như đã đề cập trước đó, cách ít nhất cụ thể để mô tả phần cứng dựa trên lớp phần cứng. Cần lưu ý rằng chính sách thiết lập "Cho phép lắp đặt các thiết bị phù hợp với bất kỳ của các ID thiết bị" không tôn vinh Class ID thiệu. Để sử dụng Class ID thiệu, sử dụng hoặc "Cho phép lắp đặt các thiết bị sử dụng các trình điều khiển phù hợp với các lớp cài đặt thiết bị" hoặc "Ngăn chặn cài đặt các thiết bị sử dụng các trình điều khiển phù hợp với các lớp cài đặt thiết bị." Chính sách sau này được sử dụng tốt nhất với các thiết lập "ngăn chặn cài đặt các thiết bị không được mô tả bởi các thiết lập chính sách khác." Bằng cách ngăn chặn tất cả mọi thứ (mặc định) và sau đó sử dụng thiết lập này, bạn có thể xác định chính xác mà các thiết bị bạn muốn cho phép.
Trong ví dụ này, tôi đã sử dụng chính sách "ngăn chặn cài đặt các thiết bị phù hợp với bất kỳ của các ID thiết bị" để hạn chế một loại hình cụ thể của phần cứng dựa trên ID thiết bị. Nếu bạn muốn thực hiện hạn chế sử dụng các thiết bị lớp học, bạn sẽ phải tận dụng các thiết lập chính sách cụ thể khác như "Cho phép lắp đặt các thiết bị sử dụng các trình điều khiển phù hợp với các lớp cài đặt thiết bị" hoặc "ngăn chặn cài đặt các thiết bị sử dụng các trình điều khiển phù hợp với các lớp cài đặt thiết bị. "
"ngăn chặn cài đặt các thiết bị di động" là một cách chung chung nhanh chóng để hạn chế bất kỳ thiết bị phần cứng được miêu tả như di động, bao gồm cả các thiết bị USB. Thiết lập này là khá chung, vì vậy tốt nhất là không sử dụng nó quá thường. Thay vào đó, sử dụng các kỹ thuật được mô tả trước đó để có được ID thiết bị vừa phải hạn chế và khóa chúng lại đặc biệt.
Cuối cùng, "Ngăn chặn cài đặt các thiết bị không được mô tả bởi các thiết lập chính sách khác" là các thiết lập chính sách catchall rằng về cơ bản hạn chế tất cả các phần cứng, trừ khi bạn đã quyết cụ thể mà một cái gì đó có thể cài đặt. Chính sách này kết hợp với nhau "Cho phép" chính sách (như "Cho phép lắp đặt các thiết bị phù hợp với bất kỳ của các ID thiết bị") làm cho một công cụ thực sự mạnh mẽ cho phép chỉ có phần cứng mà bạn muốn trong môi trường của bạn.