ドライブの制御は難しそうです。
Diskpartコマンドをスクリプトなどに組み込んでReadOnlyにするというアイデアが紹介されていましたが、ディスク番号を特定することが難しいとのことで詳細は見送られていました。
"USBメモリーやUSB HDDへの書き込みを禁止する(diskpartコマンド編)"
http://news.mynavi.jp/column/win81tips/098/
こちらはマイコンピューターから非表示にする方法です。
これで使用するドライブレター以外すべて非表示にすることである程度の制限はできるかもしれません。
ただ、エクスプローラー以外からのアクセスについては防ぐことはできません。
グループ ポリシー オブジェクトで指定ドライブを非表示にする
https://support.microsoft.com/ja-jp/kb/231289
特定のデバイスドライバがわかっているなら、それを禁止することはできるそうです。
ただこれもすべてを列挙するのは現実的ではなさそうです。
グループ ポリシーを使用してハードウェア制約を管理する
https://technet.microsoft.com/ja-jp/magazine/2007.06.grouppolicy.aspx
