通过组策略管理硬件限制

此外，您还可以将“属性”更改为“兼容 ID”。它们同样描述了硬件，但没有“硬件 ID”描述那样具体。您可以选择使用“兼容 ID”中的信息，尝试将更多类似硬件圈入您的禁用列表 — 因为它的定义更为宽泛，可网罗更多结果。当然，不利的一面是可能会限制某些不希望限制的项。

最后，从“属性”下拉列表中选择“设备类别”可获得最宽泛的设备类别。在我的举例中，声卡仅显示为“媒体”。但是，许多东西都可以视为媒体，因此，描述越宽泛，越应当谨慎。

确定要使用的值后，右键单击它并选择“复制”，然后将其粘贴到记事本中妥善保管。直接原样复制是很重要的，因为在接下来的步骤中，必须精确输入该值。值中所有大小写字母必须精确保留。

如果您热衷于使用命令行而不是设备管理器来捕获硬件 ID 或设备类别，请查看 support.microsoft.com/kb/311272 上有关 Devcon 命令行实用工具的论述。另外请注意，Microsoft 为常用类别提供了许多标识符，这在您不能实际获得设备时很有帮助;请参阅 go.microsoft.com/fwlink/?LinkId=52665 上的信息。

通过组策略实现硬件访问控制

虽然我们将说明“计算机配置”|“管理模板”|“系统”|“设备安装”|“设备安装限制”(如图 2 所示)中的所有策略设置，但实际只需要其中一项来完成本例。

首先创建一个组策略对象 (GPO) 并将其链接至一个包含运行要控制的 Windows Vista 的计算机的 OU(或域，等等)。现在编辑该 GPO 并深入到“计算机配置”|“管理模板”|“系统”|“设备安装”|“设备安装限制”|“禁止安装与下列任何设备 ID 相匹配的设备”。在策略设置中选择“启用”，单击“显示”(也在策略设置中)，并在“显示内容”对话框中选择“添加”。然后在“添加项目”对话框中，粘贴您之前保存的设备信息，如图 4 所示。