Oamc

Windows 域控下发组策略（软件部署 / 映射盘）

修改记录 原文
#域控 #组策略 #windows
本页目录

场景

域内所有办公电脑需要：

  1. 自动映射 \\fileserver\share 为 Z: 盘
  2. 统一配置屏幕保护超时
  3. 禁用 USB 存储（保留键鼠）

前置条件

  • 域控：Windows Server 2019，已装 GPMC
  • 客户端已入域，且能解析 \\fileserver
  • 变更对象是 OU，不是整个域
  • 有回滚用的 OU 链接备份（Get-GPInheritance）

配置

1. 映射网络驱动器

# 在域控上开组策略管理
gpmc.msc

# 新建 GPO：Map-Share-Z
# 路径：用户配置 -> 首选项 -> Windows 设置 -> 驱动器映射
# 操作：更新（不是创建，更新是幂等的）
# 位置：Z:
# 路径：\\fileserver\share
# 勾选：重新连接

2. 屏幕保护

计算机配置 → 管理模板 → 控制面板 → 个性化：

策略 值
启用屏幕保护程序 已启用
屏幕保护程序超时 600 秒
密码保护屏幕保护程序 已启用

3. 禁用 USB 存储

计算机配置 → 管理模板 → 系统 → 可移动存储访问：

所有可移动存储类：拒绝所有访问        = 已启用

这条不影响 USB 键盘鼠标（HID 走的是另一条路径）。

4. 立即生效

gpupdate /force
# 客户端上确认
gpresult /r /scope computer
gpresult /h C:\temp\gpo.html

验证

# 客户端：看 Z 盘在不在
Get-PSDrive Z
# 看策略有没有落到本机
gpresult /r | findstr /i "Map-Share-Z"

回滚

# 最快的方式：断开 OU 上的链接，而不是改 GPO 内容
Set-GPInheritance -Target "OU=Workstations,DC=corp,DC=local" -IsBlocked Yes

# 或者删掉链接
Remove-GPLink -Name "Map-Share-Z" -Target "OU=Workstations,DC=corp,DC=local"

坑

驱动器映射是用户配置

放在计算机配置里不会生效。用户登录时才映射，所以定位是「用户配置 → 首选项」。

  • 「创建」和「更新」的区别：创建只做一次，策略改了不会覆盖；日常应该用更新。
  • 映射盘依赖登录脚本顺序，如果同时有脚本映射同一个盘符，会互相覆盖。
  • 禁用 USB 存储后，某些打印机（本身是 USB 存储类）也会失效，先小范围试。
  • gpupdate 不会刷新首选项的驱动器映射，需要用户重新登录。
  • 组策略有安全筛选，默认只对「经过身份验证的用户」生效，别把 GPO 链接到 OU 就以为万事大吉。