组策略进阶：映射盘、软件分发与排查

场景

基础组策略会用了，现在要：按部门映射不同盘符、批量装软件、快速定位「为什么没生效」。

前置条件

• 域环境，有创建 GPO 的权限
• 软件是 MSI 格式（EXE 需要额外封装）
• 知道目标 OU 和用户组

配置

按部门映射盘（用户配置 → 首选项）

用户配置 → 首选项 → Windows 设置 → 驱动器映射
  新建 → 映射驱动器
    位置：\\fs01\finance
    驱动器号：F
    勾选「重新连接」
    项目级目标：用户是 GRP-Finance 的成员

项目级目标是关键：同一个 GPO 可以按组映射不同盘符。

软件分发（计算机配置 → 策略 → 软件安装）

计算机配置 → 策略 → 软件设置 → 软件安装
  新建 → 程序包 → 指向 \\fs01\software\app.msi
    部署方式：已分配（自动装）

MSI 放在共享上，必须给「Domain Computers」读权限，否则装不上。

安全基线（计算机配置 → 策略 → Windows 设置 → 安全设置）

常用几项：

• 账户：重命名 Administrator、禁用 Guest
• 本地策略：审核登录事件
• 用户权限：拒绝从网络访问这台计算机（针对 Guest）
• 安全选项：禁用 SMBv1

验证

gpresult /h C:\temp\gpo.html      # 看某台机器实际应用了哪些策略
gpresult /r /scope:user
gpupdate /force

服务器端：

Get-GPO -All | Where-Object { $_.GpoStatus -ne "AllSettingsEnabled" }
Get-GPOReport -Name "映射盘" -ReportType Html -Path C:\temp\gpo.html

回滚

# 禁用而不是删除，方便回退
Set-GPO -Name "映射盘" -GpoStatus UserSettingsDisabled

坑

• 改完不 gpupdate 就断言没生效，客户端默认 90 分钟刷新一次。
• 计算机策略要重启，用户策略重新登录才完全生效。
• 软件分发要求 MSI 在共享上可读，且客户端能访问 \\fs01。
• 项目级目标写错组名，策略静默不生效，gpresult 里看不到。
• 多个 GPO 冲突时按「站点 → 域 → OU」的顺序，后者覆盖前者。
• 组策略处理慢拖慢登录，多半是 \\domain\SYSVOL 访问慢，查 DNS 和网络。