[Dan Swano]

Пока что решил проблему так, как описано в http://support.microsoft.com/kb/823732/ru

Если USB-устройство хранения данных еще не установлено в компьютер Если USB-устройство хранения данных еще не установлено в компьютер, назначьте пользователю или группе запрещающие разрешения на следующие файлы: • %SystemRoot%\Inf\Usbstor.pnf • %SystemRoot%\Inf\Usbstor.inf После этого пользователи не смогут установить USB-устройство хранения данных в компьютер. Чтобы назначить пользователю или группе запрещающие разрешения на файлы Usbstor.pnf и Usbstor.inf, выполните следующие действия. 1. Запустите проводник Windows и найдите папку %SystemRoot%\Inf. 2. Щелкните правой кнопкой мыши по файлу Usbstor.pnf и выберите пункт Свойства. 3. Перейдите на вкладку Безопасность. 4. В списке Группы или пользователи выберите пользователя или группу, для которых необходимо установить запрещающие разрешения. 5. В списке Разрешения для имя_пользователя или имя_группы установите флажок Запретить напротив элемента Полный доступ и нажмите кнопку OK. Примечание. Кроме того, добавьте в список Запретить учетную запись System. 6. Щелкните правой кнопкой мыши по файлу Usbstor.inf и выберите пункт Свойства. 7. Перейдите на вкладку Безопасность. 8. В списке Группы или пользователи выберите пользователя или группу, для которых необходимо установить запрещающие разрешения. 9. В списке Разрешения для имя_пользователя или имя_группы установите флажок Запретить напротив элемента Полный доступ и нажмите кнопку OK.

Оказывается, надо не просто удалить группу SYSTEM из списка пользователей, а запретить ей доступ. Однако, это придется делать на каждой рабочей станции, что неудобно. Я думаю, можно соответсвующий logon-скрипт написать, да вот только выполняется он с правами пользователя, входящего в домен...

[exo]

Применил политику, не работает. »

я где то читал, что это рабоатет если стоят только майкрасофтовские драва...

[Delirium]

Оказывается, надо не просто удалить группу SYSTEM из списка пользователей, а запретить ей доступ. Однако, это придется делать на каждой рабочей станции, что неудобно. Я думаю, можно соответсвующий logon-скрипт написать, да вот только выполняется он с правами пользователя, входящего в домен... »

надо положить скрипт на сервере, дать пользователям право на запуск (не чтение), в нем прописать скрипт, меняющий политику для SYSTEM (через cacls). А чтобы выполнилось под правами админа - достаточно использовать runas в том же скрипте

[Ctrl-Alt-Del]

Применил политику, не работает. »

У меня тоже самое.
На одном из форумов нашел другой код, с ним всё ОК.

Вот этот код

;Removable media/serial ports/parallel ports access policy settings

CLASS MACHINE
CATEGORY !!CATDESCR
KEYNAME !!REGKEY
POLICY !!FDDDESCR
KEYNAME !!FDDREGKEY
#if VERSION >= 3
EXPLAIN !!FDDEXPLAIN
#endif
VALUENAME "Start"
VALUEON NUMERIC 4
VALUEOFF NUMERIC 3
END POLICY; Block FDD

POLICY !!USBDESCR
KEYNAME !!USBREGKEY
#if VERSION >= 3
EXPLAIN !!USBEXPLAIN
#endif
VALUENAME "Start"
VALUEON NUMERIC 4
VALUEOFF NUMERIC 3
END POLICY; Block USB

POLICY !!CDROMDESCR
KEYNAME !!CDROMREGKEY
#if VERSION >= 3
EXPLAIN !!CDROMEXPLAIN
#endif
VALUENAME "Start"
VALUEON NUMERIC 4
VALUEOFF NUMERIC 1
END POLICY; Block CD-ROM

POLICY !!LPTDESCR
KEYNAME !!LPTREGKEY
#if VERSION >= 3
EXPLAIN !!LPTEXPLAIN
#endif
VALUENAME "Start"
VALUEON NUMERIC 4
VALUEOFF NUMERIC 1
END POLICY; Block LPT port

POLICY !!SERDESCR
KEYNAME !!SERREGKEY
#if VERSION >= 3
EXPLAIN !!SEREXPLAIN
#endif
VALUENAME "Start"
VALUEON NUMERIC 4
VALUEOFF NUMERIC 1
END POLICY; Block Serial ports
END CATEGORY; Block devices

[STRINGS]
CATDESCR="Block removable storage/ports"
REGKEY="system\currentcontrolset\services"

FDDDESCR="Block Floppy drives"
FDDREGKEY="system\currentcontrolset\services\flpydisk"
FDDEXPLAIN="This policy removes the ability of user to access floppy drives."

USBDESCR="Block USB Storage"
USBREGKEY="system\currentcontrolset\services\usbstor"
USBEXPLAIN="This policy removes the ability of user to access USB Storage drives."

CDROMDESCR="Block CD-ROM drives"
CDROMREGKEY="system\currentcontrolset\services\cdrom"
CDROMEXPLAIN="This policy removes the ability of user to access CD-ROM drives."

LPTDESCR="Block LPT ports"
LPTREGKEY="system\currentcontrolset\services\parport"
LPTEXPLAIN = "This policy removes the ability of user to access LPT ports or any devices connected to LPT ports."

SERDESCR="Block Serial ports"
SERREGKEY="system\currentcontrolset\services\serial"
SEREXPLAIN="This policy removes the ability of user to access Serial ports or any devices connected to Serial ports."