Windows 域控下发组策略（软件部署 / 映射盘） · 修改记录

 @@ -1,3 +1,8 @@
+---
+tags: [域控, 组策略, windows]
+order: 20
+---
+
 # Windows 域控下发组策略（软件部署 / 映射盘）
 ## 场景

 new file mode 100644
 @@ -0,0 +1,91 @@
+# Windows 域控下发组策略（软件部署 / 映射盘）
+
+## 场景
+
+域内所有办公电脑需要：
+
+1. 自动映射 `\\fileserver\share` 为 `Z:` 盘
+2. 统一配置屏幕保护超时
+3. 禁用 USB 存储（保留键鼠）
+
+## 前置条件
+
+- 域控：Windows Server 2019，已装 GPMC
+- 客户端已入域，且能解析 `\\fileserver`
+- 变更对象是 OU，不是整个域
+- 有回滚用的 OU 链接备份（`Get-GPInheritance`）
+
+## 配置
+
+### 1. 映射网络驱动器
+
+```powershell
+# 在域控上开组策略管理
+gpmc.msc
+
+# 新建 GPO：Map-Share-Z
+# 路径：用户配置 -> 首选项 -> Windows 设置 -> 驱动器映射
+# 操作：更新（不是创建，更新是幂等的）
+# 位置：Z:
+# 路径：\\fileserver\share
+# 勾选：重新连接
+```
+
+### 2. 屏幕保护
+
+计算机配置 → 管理模板 → 控制面板 → 个性化：
+
+| 策略 | 值 |
+| --- | --- |
+| 启用屏幕保护程序 | 已启用 |
+| 屏幕保护程序超时 | 600 秒 |
+| 密码保护屏幕保护程序 | 已启用 |
+
+### 3. 禁用 USB 存储
+
+计算机配置 → 管理模板 → 系统 → 可移动存储访问：
+
+```text
+所有可移动存储类：拒绝所有访问        = 已启用
+```
+
+这条**不影响** USB 键盘鼠标（HID 走的是另一条路径）。
+
+### 4. 立即生效
+
+```powershell
+gpupdate /force
+# 客户端上确认
+gpresult /r /scope computer
+gpresult /h C:\temp\gpo.html
+```
+
+## 验证
+
+```powershell
+# 客户端：看 Z 盘在不在
+Get-PSDrive Z
+# 看策略有没有落到本机
+gpresult /r | findstr /i "Map-Share-Z"
+```
+
+## 回滚
+
+```powershell
+# 最快的方式：断开 OU 上的链接，而不是改 GPO 内容
+Set-GPInheritance -Target "OU=Workstations,DC=corp,DC=local" -IsBlocked Yes
+
+# 或者删掉链接
+Remove-GPLink -Name "Map-Share-Z" -Target "OU=Workstations,DC=corp,DC=local"
+```
+
+## 坑
+
+!!! note "驱动器映射是用户配置"
+    放在计算机配置里不会生效。用户登录时才映射，所以定位是「用户配置 → 首选项」。
+
+- 「创建」和「更新」的区别：创建只做一次，策略改了不会覆盖；日常应该用**更新**。
+- 映射盘依赖登录脚本顺序，如果同时有脚本映射同一个盘符，会互相覆盖。
+- 禁用 USB 存储后，某些打印机（本身是 USB 存储类）也会失效，先小范围试。
+- `gpupdate` 不会刷新首选项的驱动器映射，需要用户重新登录。
+- 组策略有**安全筛选**，默认只对「经过身份验证的用户」生效，别把 GPO 链接到 OU 就以为万事大吉。