# Windows 域控下发组策略（软件部署 / 映射盘）

## 场景

域内所有办公电脑需要：

1. 自动映射 `\\fileserver\share` 为 `Z:` 盘
2. 统一配置屏幕保护超时
3. 禁用 USB 存储（保留键鼠）

## 前置条件

- 域控：Windows Server 2019，已装 GPMC
- 客户端已入域，且能解析 `\\fileserver`
- 变更对象是 OU，不是整个域
- 有回滚用的 OU 链接备份（`Get-GPInheritance`）

## 配置

### 1. 映射网络驱动器

```powershell
# 在域控上开组策略管理
gpmc.msc

# 新建 GPO：Map-Share-Z
# 路径：用户配置 -> 首选项 -> Windows 设置 -> 驱动器映射
# 操作：更新（不是创建，更新是幂等的）
# 位置：Z:
# 路径：\\fileserver\share
# 勾选：重新连接
```

### 2. 屏幕保护

计算机配置 → 管理模板 → 控制面板 → 个性化：

| 策略 | 值 |
| --- | --- |
| 启用屏幕保护程序 | 已启用 |
| 屏幕保护程序超时 | 600 秒 |
| 密码保护屏幕保护程序 | 已启用 |

### 3. 禁用 USB 存储

计算机配置 → 管理模板 → 系统 → 可移动存储访问：

```text
所有可移动存储类：拒绝所有访问        = 已启用
```

这条**不影响** USB 键盘鼠标（HID 走的是另一条路径）。

### 4. 立即生效

```powershell
gpupdate /force
# 客户端上确认
gpresult /r /scope computer
gpresult /h C:\temp\gpo.html
```

## 验证

```powershell
# 客户端：看 Z 盘在不在
Get-PSDrive Z
# 看策略有没有落到本机
gpresult /r | findstr /i "Map-Share-Z"
```

## 回滚

```powershell
# 最快的方式：断开 OU 上的链接，而不是改 GPO 内容
Set-GPInheritance -Target "OU=Workstations,DC=corp,DC=local" -IsBlocked Yes

# 或者删掉链接
Remove-GPLink -Name "Map-Share-Z" -Target "OU=Workstations,DC=corp,DC=local"
```

## 坑

!!! note "驱动器映射是用户配置"
    放在计算机配置里不会生效。用户登录时才映射，所以定位是「用户配置 → 首选项」。

- 「创建」和「更新」的区别：创建只做一次，策略改了不会覆盖；日常应该用**更新**。
- 映射盘依赖登录脚本顺序，如果同时有脚本映射同一个盘符，会互相覆盖。
- 禁用 USB 存储后，某些打印机（本身是 USB 存储类）也会失效，先小范围试。
- `gpupdate` 不会刷新首选项的驱动器映射，需要用户重新登录。
- 组策略有**安全筛选**，默认只对「经过身份验证的用户」生效，别把 GPO 链接到 OU 就以为万事大吉。