如何创建禁用外接驱动器AutoRun策略并批量应用至所有设备？

一、Active Directory域环境（组策略） #

• 打开组策略管理控制台（GPMC）：运行gpmc.msc
• 创建或编辑现有组策略对象（GPO）：
  • 右键目标组织单元（OU），选择“创建GPO并在此处链接”，命名为“禁用外接驱动器AutoRun”
  • 右键该GPO，选择“编辑”
• 导航到策略路径：
  • 用户配置 > 管理模板 > Windows组件 > AutoPlay Policies
  • 或者 计算机配置 > 管理模板 > Windows组件 > AutoPlay Policies（按需选择用户/计算机级策略）
• 配置核心策略：
  • 启用**“关闭AutoPlay”**策略，选项里选“所有驱动器”（仅针对外接驱动器就选“可移动驱动器”）
  • 额外启用**“禁用AutoPlay的默认行为”**，确保覆盖所有场景
• 强制刷新组策略：
  • 在域控制器或目标设备上运行gpupdate /force，让策略立即生效

二、Microsoft Intune（云管理设备） #

• 登录Intune管理中心，进入设备配置 > 配置文件
• 创建新的自定义配置文件：
  • 平台选“Windows 10及更高版本”
  • 配置类型选“自定义”
• 添加ADMX策略设置：
  • OMA-URI路径：./Device/Vendor/MSFT/Policy/Config/ADMXInstalled/AutoPlay/DisableAutoPlay
  • 数据类型选“整数”，值设为1（1=禁用所有驱动器AutoPlay；仅外接选2）
• 分配配置文件：
  • 把配置文件分配给目标设备组或所有企业设备组
• 等待设备同步：通常15-30分钟，也可以在设备上手动触发Intune同步

三、脚本批量部署（混合/非域环境） #

PowerShell脚本示例： #

# 禁用所有驱动器的AutoPlay
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" -Name "NoDriveTypeAutoRun" -Value 0xFF -Type DWord

# 禁用AutoPlay默认行为
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" -Name "DisableAutoPlay" -Value 1 -Type DWord

• 部署方式：
  • 用MDM工具（比如SCCM）推送脚本到所有设备
  • 或通过登录脚本、任务计划程序批量执行
• 注意：脚本必须以管理员权限运行

四、验证策略生效 #

• 本地设备验证：
  • 插入外接U盘，检查是否弹出AutoPlay提示
  • 运行reg query "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun，确认值为0xFF（全禁用）
• 组策略验证：
  • 运行gpresult /r，查看目标GPO是否已成功应用
• Intune验证：
  • 在Intune管理中心查看配置文件的“状态”，确认设备已接收策略

内容的提问来源于stack exchange，提问作者AmalSal