GPO创建后必须链接到站点、域或OU并满足作用域筛选、WMI筛选、范围匹配和未被阻止四条件才生效；链接顺序影响优先级，验证需用gpresult、rsop.msc及事件查看器。
组策略对象（gpo）在windows域环境中是集中管理用户和计算机配置的核心机制。创建gpo本身不产生实际效果，必须将其链接到站点、域或组织单位（ou），并确保目标对象有应用权限，策略才会生效。
创建GPO：仅生成策略容器，无实际作用
在“组策略管理控制台”（GPMC）中右键“组策略对象”→“新建”，输入名称后即完成创建。此时GPO处于未配置状态，策略设置为空，不会对任何对象生效。它只是一个空的策略模板，类似一个待填写的表单。
- 新建的GPO默认不启用，也不链接到任何容器
- GPO名称建议体现用途和范围（如“OU-财务部-禁用USB存储”），便于后期识别和维护
- 同一域内GPO名称必须唯一，但可重命名；GUID才是其唯一标识
链接GPO：决定策略作用范围的关键步骤
链接是让GPO“触达”目标对象的必要动作。只有链接到站点、域或OU，GPO才可能影响该容器及其子容器中的用户/计算机（取决于策略类型和继承关系）。
- 链接支持多对多：一个GPO可链接到多个容器，一个容器也可链接多个GPO
- 链接顺序影响处理优先级：越靠下的链接优先级越高（LSDOU原则：站点→域→OU，同级按链接顺序倒序）
- 可设置“已启用”或“已禁用”状态——禁用链接=策略不参与处理，但保留配置和链接关系
策略生效需满足四个基本条件
即使GPO已创建并正确链接，仍需同时满足以下四点，策略设置才能真正应用到目标对象：
- 作用域筛选（Scope Filtering）通过：若启用了安全筛选，默认只对“Authenticated Users”组生效；若移除了该组，需显式添加目标用户/计算机账户，并赋予“读取”和“应用组策略”权限
- WMI筛选器通过（如已配置）：例如限制仅Windows 10 22H2以上版本的计算机应用，不匹配则跳过该GPO
- 目标对象属于链接容器的有效范围：用户策略只影响链接容器内或子容器中的用户登录；计算机策略影响链接容器内或子容器中启动的计算机
- 组策略处理未被阻止：目标对象未启用“阻止继承”（Block Inheritance），且未被“强制”（Enforced）策略覆盖导致冲突
验证与排错要点
策略是否生效不能仅看GPMC中的链接状态，必须从客户端验证：
- 运行gpresult /h report.html生成HTML报告，查看“已应用的GPO”列表及详细设置来源
- 使用rsop.msc（组策略结果集）实时查看当前用户/计算机的实际策略解析结果
- 检查事件查看器 → 应用程序和服务日志 → Microsoft → Windows → GroupPolicy → Operational，定位处理失败的具体原因（如权限拒绝、网络超时、WMI筛选失败）
- 注意刷新周期：域控制器上默认90分钟+随机偏移；强制更新可用gpupdate /force，但需管理员权限且重启策略通常需重新登录或重启计算机
