Можно ли ограничить доступ usb-носителей с исключениями штатными средствами?
поройтесь в сторону udev, например
https://wiki.gentoo.org/wiki/Allow_only_known_usb_...
https://unix.stackexchange.com/q/63199

Конечно, это не имеет смысла если у пользователя есть рутовые права либо возможность их получить.
Запрети всем доступ к usb и запили скриптик, который к примеру по крону будет проверять список устройств, например с помощью lsblk (там можно настроить подробный вывод) и смотри там uuid или метку или идентификатор устройства и монтируй

а для размонтирования разрешай запуск своего sudo unmount, пусть ярлыком запускают пользователи