不少单位在管控外设时会有一个担心：把 U 盘禁了，会不会连鼠标键盘也用不了？怎么禁 U 盘但不影响鼠标键盘，关键在于把存储设备和键鼠分开看待 ——U 盘属于存储设备，鼠标键盘属于人机接口设备，后台可以只限制存储类设备，键鼠照常使用。
这套分类管控可以在域智盾软件的终端管理后台配置。域智盾由河北中视新研软件开发有限公司自主研发，总部位于石家庄，核心团队深耕终端安全领域 10 余年，采用轻量化本地私有部署，策略和数据都留在单位内部。下面按操作顺序说明。
一、先分清两类设备，才不会一刀切电脑上插的 USB 设备其实分属不同类别，管控时不需要把所有 USB 接口一起封死：
-存储类设备：U 盘、移动硬盘、手机存储、便携数据线等，主要作用是存放和拷贝文件，也是文件带出的主要通道，需要重点限制；
-人机接口设备（HID）：鼠标、键盘、扫码枪等，作用是操作电脑，不存放业务文件，日常办公必须保留；
-其他外设：蓝牙设备、红外、串口、并口、1394、PCMCIA、无线网卡、随身 WiFi、网络共享、对拷线等，按单位需要决定是否禁用。
明白了这个分类，思路就清楚了：在存储这一层把 U 盘拦住，键鼠不在存储管控范围内，天然可以继续使用；如果需要精确到只放行某一只特定键鼠，再到 USB 外设白名单里登记。
实际配置时容易踩的坑，是图省事把整个 USB 接口一刀切封死，结果键鼠、扫码枪等操作设备也一起失灵，影响正常办公。分类管控的意义就在于按设备用途分别处理：管文件带出的通道，保留必要的输入设备，两类互不干扰。
二、第一步：在 U 盘管理层拦住存储设备最省事的做法，是先在 U 盘管理模块限制存储类设备，这一层本来就只管存储，不会碰鼠标键盘。
- 开启 USB 存储控制，默认处理方式按需要选仅读取、禁止使用或仅写入；
- 便携类设备（U 盘、移动存储）纳入限制，手机以存储方式接入时同样按便携设备处理；
- 确需例外使用存储设备的，走 U 盘使用申请，管理员审批后临时放行。
这样配置后，鼠标键盘作为 HID 设备不在存储控制范围内，插上照常使用，不需要额外为键鼠开通权限。
三、第二步：用 USB 外设白名单放行指定键鼠如果单位要求更严格，只允许使用登记过的键鼠，就在外设管理里开启 USB 外设管控，用白名单模式精确放行。
- 开启 USB 外设管控，工作模式选 " 仅允许使用以下设备 "（白名单逻辑：表里登记的设备能用，其余一律拦截）；
- 在选择设备弹窗里，按 VID、PID、设备别名把指定的鼠标、键盘加入名单。后台设备列表会列出最近接入的设备，鼠标、键盘都会按 VID / PID 枚举出来；
- 需要说明的是，鼠标键盘一般都有 VID 和 PID，但通常没有序列号，所以白名单放行键鼠靠 VID / PID 加设备别名就够，不必依赖序列号。
反过来，如果选 " 禁止使用以下设备 "，就是黑名单逻辑：名单里的设备被拦，其余默认放行。两种模式按单位管理严格程度选用。
四、第三步：单独处理蓝牙键鼠如果使用的是无线蓝牙鼠标键盘，蓝牙设备默认禁用时，键鼠会一起被挡住。这时不用把整个蓝牙放开，只需在 " 禁用蓝牙设备 " 下面勾选子项 " 放行蓝牙键盘鼠标 "，蓝牙被限制的同时，蓝牙键鼠仍可正常连接使用。
五、第四步：光驱一并纳入管控除了 U 盘，光盘也是文件进出的渠道，建议一起管住。
- 开启光驱管控，工作模式选 " 仅允许使用以下设备 " 或 " 禁止使用以下设备 "，按设备标识、设备名登记光驱；
- 勾选 " 禁止刻录 "，需要刻录时可配合 " 允许提交刻录申请 "；
- 可设置 " 允许申请使用光驱 "，确需使用光驱的终端走申请审批。
六、其他外设按岗位按需禁用外设管理还提供了一批分类开关，可按车间或部门的实际需要勾选：禁用红外设备、串口设备、并口设备、1394 设备、PCMCIA 设备；禁用无线网卡、USB 无线网卡（含 USB 随身 WiFi）、其他网卡（保留上线使用的网卡），可选择是否包括虚拟网卡；禁用 USB 网络共享、USB 对拷线。无线网络还能按 SSID 和 MAC 地址设置禁止连接或仅允许连接，SSID 和 MAC 都支持通配符。
这些开关对应不同的外接渠道：串口、并口、1394 多见于老设备和工业连接；随身 WiFi、无线网卡、网络共享会绕开内部网络私自外联；对拷线可以直接在两台电脑之间传文件。按岗位风险逐项勾选，不需要的渠道关掉，确实要用的走申请登记。
七、接入记录留痕，事后能核对外设和 U 盘的接入、使用行为都有记录可查。审计中可以看到终端、使用人员、部门、设备类型、操作和时间，管理员按电脑、人员、时间核对哪台终端接过什么外设、有没有申请记录。策略事前限制存储设备，记录事后还原接入情况，两边对得上。
从官网客户名单看，机械制造、装备加工、电子科技、汽车零部件等行业单位较多使用这类终端外设管控。这类车间和办公混合的场景，既需要堵住存储设备带出文件，又要保证键鼠、扫码枪等生产操作设备正常工作，分类管控正好对应这一需求。
常见问题问：禁了 U 盘，键盘鼠标还能用吗？
答：能。U 盘属于存储设备，键鼠属于人机接口设备，存储管控层默认不限制键鼠；还能开启 USB 外设白名单，把键鼠按 VID / PID 登记放行即可。
问：无线蓝牙键鼠会不会被一起禁掉？
答：不会。禁用蓝牙设备后，单独勾选 " 放行蓝牙键盘鼠标 "，蓝牙键鼠照常连接，其他蓝牙设备仍受限制。
问：键鼠登记白名单需要填序列号吗？
答：一般不需要。鼠标键盘通常没有序列号，按 VID / PID 加设备别名登记就能放行；序列号这一列对键鼠基本是空的。
写在最后怎么禁 U 盘但不影响鼠标键盘，思路就是分类管控：先在 U 盘管理层拦住存储类设备，键鼠作为人机接口设备天然保留；需要精确管控时，再用 USB 外设白名单按 VID / PID 放行指定键鼠，蓝牙键鼠走独立放行项；光驱和其他外设按岗位需要逐项禁用，例外使用走申请审批，接入行为留痕可查。这样既堵住了文件经存储设备带出的通道，又不会影响正常的鼠标键盘操作。
编辑：莎莎
