# 组策略进阶：映射盘、软件分发与排查

## 场景

基础组策略会用了，现在要：按部门映射不同盘符、批量装软件、快速定位「为什么没生效」。

## 前置条件

- 域环境，有创建 GPO 的权限
- 软件是 MSI 格式（EXE 需要额外封装）
- 知道目标 OU 和用户组

## 配置

### 按部门映射盘（用户配置 → 首选项）

```text
用户配置 → 首选项 → Windows 设置 → 驱动器映射
  新建 → 映射驱动器
    位置：\\fs01\finance
    驱动器号：F
    勾选「重新连接」
    项目级目标：用户是 GRP-Finance 的成员
```

项目级目标是关键：**同一个 GPO 可以按组映射不同盘符**。

### 软件分发（计算机配置 → 策略 → 软件安装）

```text
计算机配置 → 策略 → 软件设置 → 软件安装
  新建 → 程序包 → 指向 \\fs01\software\app.msi
    部署方式：已分配（自动装）
```

MSI 放在共享上，**必须给「Domain Computers」读权限**，否则装不上。

### 安全基线（计算机配置 → 策略 → Windows 设置 → 安全设置）

常用几项：

- 账户：重命名 Administrator、禁用 Guest
- 本地策略：审核登录事件
- 用户权限：拒绝从网络访问这台计算机（针对 Guest）
- 安全选项：禁用 SMBv1

## 验证

```powershell
gpresult /h C:\temp\gpo.html      # 看某台机器实际应用了哪些策略
gpresult /r /scope:user
gpupdate /force
```

服务器端：

```powershell
Get-GPO -All | Where-Object { $_.GpoStatus -ne "AllSettingsEnabled" }
Get-GPOReport -Name "映射盘" -ReportType Html -Path C:\temp\gpo.html
```

## 回滚

```powershell
# 禁用而不是删除，方便回退
Set-GPO -Name "映射盘" -GpoStatus UserSettingsDisabled
```

## 坑

- **改完不 `gpupdate` 就断言没生效**，客户端默认 90 分钟刷新一次。
- 计算机策略要重启，用户策略重新登录才完全生效。
- 软件分发要求 MSI 在共享上可读，且客户端能访问 `\\fs01`。
- 项目级目标写错组名，策略静默不生效，`gpresult` 里看不到。
- 多个 GPO 冲突时按「站点 → 域 → OU」的顺序，后者覆盖前者。
- 组策略处理慢拖慢登录，多半是 `\\domain\SYSVOL` 访问慢，查 DNS 和网络。