USB-Sticks sperren - gpedit.msc <-> C#

[M92 (Gast)]

Hallo,

ich möchte USB-Sticks am PC sperren. Das soll programmgesteuert 
an-/abgeschaltet werden können.

Unter Windows gibt es ja die gpedit.msc mit der man Lokale 
Sicherheitsrichtlinien ändern kann. Dort gibt es die Option 
Computerkonfiguration->Administrative 
Vorlagen->System->Wechselmedienzugriff->Alle Wechselmedianklassen: 
Jeglichen Zugriff verweigern.
Die Option kann genau dass was ich will und wir auch sofort angewendet. 
Nur wie kann ich die in meinem C#-Programm modifizieren?

Wenn man etwas weiter forscht, dann findet man die entsprechenen 
Registry-Keys für die Optionen in der 
"C:\Windows\PolicyDefinitions\RemovableStorage.admx"-Datei. Allerdings - 
wenn ich die entsprechenden Keys anlege/modifiziere, dann funktioniert 
das erst nach Rechnerneustart. Wie bekomme ich Windows dazu, dass diese 
wie in der gpedit.msc direkt angewendet werden?

Viele Grüße
Michael

[Peter II (Gast)]

M92 schrieb:
> Wie bekomme ich Windows dazu, dass diese
> wie in der gpedit.msc direkt angewendet werden?

nach der Änderung muss man ein Event verschicken, damit die Prozesse die 
Änderung mitbekommen. Wüsste jetzt aber nicht wie das Event heißt, 
einfach mal googlen.

[Peter II (Gast)]

Nachtrag:

könnte aber auch sein, das es überhaupt nicht geht, weil das nur einmal 
bei starten angelesen wird.

[Sven L. (sven_rvbg)]

eventuell ein gpupdate /force ausführen...

[M92 (Gast)]

Danke für die Antwort.


Habe vorhin nochmals das halbe Internet durchforstet und habe es nun 
hinbekommen.

Für die, die es nachbauen möchten:
Es gibt Librarys, welche die GPOs bearbeiten können, z.B.: siehe 
Quelltext-Kommentar
Dann wird nur noch eine Funktion benötigt:

        //http://tech.labs.oliverwyman.com/blog/2013/03/25/programmatically-updating-local-policy-in-windows/
        //https://bitbucket.org/MartinEden/local-policy/overview
        private static void usb_en_diable(bool enable)
        {
            ComputerGroupPolicyObject gpo = new ComputerGroupPolicyObject();

            //  C:\Windows\PolicyDefinitions\RemovableStorage.admx
            const string keyPath = @"Software\Policies\Microsoft\Windows\RemovableStorageDevices";

            using (var machine = gpo.GetRootRegistryKey(GroupPolicySection.Machine))
            {
                if (enable)
                {
                    machine.DeleteSubKey(keyPath);
                } else { 
                    using (var terminalServicesKey = machine.CreateSubKey(keyPath))
                    {
                        terminalServicesKey.SetValue("Deny_All", 00000001, RegistryValueKind.DWord);
                    }
                }
            }
            gpo.Save();
        }

Das ganze funktioniert logischerweise nur mit Admin-Rechten.