Windows Server组策略配置入门：从打开管理工具到验证生效

知识分享

2026-10-13 09:00

10 阅读

在Windows Server里做组策略配置，核心流程是打开组策略管理控制台、在域或OU上创建并链接GPO、编辑具体策略项，最后让客户端刷新策略并验证结果。
下面按这个顺序讲清楚每一步在哪里操作、填什么、怎么确认生效。

开始前的条件确认

组策略依赖域环境，单独一台工作组服务器能打开管理工具，但策略无法正常下发。
先确认下面几点：

Install-WindowsFeature GPMC

组策略配置的入口是 组策略管理（gpmc.msc），不要只在“本地组策略编辑器”里改，本地策略只影响单机。

按 Win + R，输入 gpmc.msc 回车。
展开 林 → 域 → 你的域名，能看到默认的 Default Domain Policy 和 Default Domain Controllers Policy。
右键某个 OU（组织单位），选择 在这个域中创建 GPO 并在此处链接。
给新GPO起一个能看懂用途的名字，例如 OU-市场部-桌面限制，确定后GPO会出现在OU下方。

建议不要直接改默认策略，新建独立GPO便于回滚和排查。

右键新建的GPO，选择编辑，会打开组策略管理编辑器。
左侧按“计算机配置”和“用户配置”分开，计算机配置在开机时生效，用户配置在登录时生效。

几个零基础阶段最常用的路径：

密码策略：计算机配置 → 策略 → Windows 设置 → 安全设置 → 账户策略 → 密码策略。可设置密码长度最小值、密码最长使用期限。注意密码策略建议放在域级别，OU级别可能不生效。
禁止访问控制面板：用户配置 → 策略 → 管理模板 → 控制面板，启用“禁止访问控制面板和PC设置”。
映射网络驱动器：用户配置 → 首选项 → Windows 设置 → 驱动器映射，新建映射并填写盘符和共享路径。
桌面壁纸统一：用户配置 → 策略 → 管理模板 → 桌面 → 桌面，启用“桌面壁纸”并填写图片的UNC路径。

修改完关闭编辑器，策略会自动保存在GPO里，不需要单独“保存”按钮。

客户端默认每隔一段时间自动刷新，想立即验证可在客户端执行：

gpupdate /force

然后查看当前应用了哪些策略：

gpresult /scope user /v > C:\gpo_user.txt
gpresult /scope computer /v > C:\gpo_computer.txt

打开生成的文本文件，重点看“应用的组策略对象”列表和“已应用的组策略对象”里有没有你创建的GPO名。
如果没出现，继续往下看排查部分。

策略没生效，先查链接和继承。
在gpmc.msc里点击OU，右侧“组策略继承”能看到生效顺序。链接顺序数字越小优先级越高，后应用的会覆盖先应用的。
如果OU设置了“阻止继承”，上级策略不会下发。

安全筛选把用户排除了。
选中GPO，在“作用域”选项卡里能看到安全筛选。
默认是 Authenticated Users，如果你手动加了其他组，未在列表里的账号不会应用该策略。

WMI筛选误拦。
如果GPO配置了WMI筛选器但条件写错，客户端会跳过整个GPO。
排查时先临时移除筛选器测试。

计算机策略和用户策略混淆。
改在计算机配置里的策略，用户登录后不会立即变，需要重启或执行 gpupdate /force /boot。

域控之间复制延迟。
多台域控环境下，新建GPO后可能还没复制到客户端连接的DC，可等待复制或手动触发 repadmin /syncall。

组策略改错了不容易逐项还原，建议在修改前右键GPO选择备份，把备份文件放到非系统盘。
需要恢复时右键域或OU选择“从备份还原GPO”。
如果只是临时测试，也可以直接禁用GPO链接，而不是删除。

本地组策略和域组策略有什么区别？
本地策略只作用于单台机器，通过 gpedit.msc 编辑；
域组策略由域控统一下发，客户端加入域后会以域策略为主，两者冲突时域策略优先级更高。

为什么在OU上设置了密码策略却不生效？
域级别的密码策略通常优先于OU级别，如果要在细粒度层面控制，需要使用“细粒度密码策略”功能，而不是普通GPO。

组策略多久自动刷新一次？
计算机策略默认约90分钟刷新一次，并带有0到30分钟的随机偏移；
用户策略类似。
执行 gpupdate /force 可以手动立即刷新，但部分策略仍需重启或重新登录才完全生效。