RDVDenyWriteAccess/FDVDenyWriteAccess被DeviceEnroller.exe篡改致驱动器读写受限求助

1. 检查并退出MDM设备注册 #

DeviceEnroller.exe是Windows设备注册服务的进程，通常和企业MDM（移动设备管理）绑定，比如Intune或域管理。

• 打开设置-账户-访问工作或学校，查看是否有已连接的企业账户，点击断开连接按提示完成操作，重启电脑后观察问题是否复发。

2. 限制DeviceEnroller.exe的运行权限 #

如果无法退出MDM，直接限制该进程的权限：

• 按Ctrl+Shift+Esc打开任务管理器，切换到详细信息标签，找到DeviceEnroller.exe，右键选择打开文件位置（一般路径为C:\Windows\System32\DeviceEnroller.exe）。
• 右键该文件选择属性-安全-编辑，选中你的用户账户，勾选完全控制和读取&执行的拒绝权限，点击确定。（注：此操作会影响MDM相关功能，仅适合不需要企业管理的场景）

3. 锁定注册表项防止被修改 #

通过权限设置，禁止进程随意修改目标注册表值：

• 按Win+R输入regedit打开注册表编辑器，导航到：
  HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices
  （若路径不存在，手动创建即可）
• 找到RDVDenyWriteAccess和FDVDenyWriteAccess项，右键选择权限-高级。
• 点击添加，输入SYSTEM并点击检查名称，选中该账户后仅勾选读取权限，取消写入权限；对Administrators账户执行同样的权限设置。
• 勾选替换子容器和对象的权限，点击确定保存设置。

4. 用组策略永久禁用写入限制（仅专业版/企业版可用） #

• 按Win+R输入gpedit.msc打开组策略编辑器。
• 导航到计算机配置-管理模板-系统-可移动存储访问。
• 将所有可移动存储类：拒绝所有写入权限设置为已禁用；同时检查可移动磁盘：拒绝写入权限和固定磁盘：拒绝写入权限，均设置为已禁用。
• 打开管理员命令提示符，运行gpupdate /force刷新组策略。

5. 排查BitLocker相关设置 #

虽然omadmclient.exe仅查询值，但关联的BitlockerCsp.dll可能存在潜在影响：

• 打开管理员命令提示符，输入manage-bde -status查看所有驱动器的BitLocker状态，确认无异常强制保护策略。
• 若无需使用BitLocker，执行manage-bde -off C:（将C:替换为对应驱动器盘符）关闭BitLocker，重启后观察问题。

内容的提问来源于stack exchange，提问作者JULIANG