跨域迁移gpo需先映射再导入，核心是处理域引用、unc路径、安全组sid等不兼容项；须满足信任关系与权限前提，通过gpmc“import settings…”执行映射导入，并验证脚本、软件路径及首选项对象更新后方可上线。
跨域迁移组策略对象（gpo）时，不能直接导入备份文件，必须处理域引用、unc路径、安全组sid、wmi筛选器、启动脚本路径等跨域不兼容项。核心是先映射再导入，而非简单复制粘贴。
明确GPO迁移前提条件
确保目标域已建立与源域的可信关系（如林信任或外部信任），且你拥有源域的GPO备份权限和目标域的“Group Policy Creator Owners”或“Domain Admins”权限。备份需包含完整GPO GUID文件夹（含gpreport.xml、gpt.ini、Machine/User子目录），不能仅导出设置报表。
使用GPMC执行带映射的导入操作
在目标域的GPMC中右键“Group Policy Objects” → “Import Settings…” → 选择源GPO备份路径。关键步骤在“Mapping”页：
- 安全主体映射：将源域中的用户/组（如DOMAINAIT-Admins）映射为目标域对应组（如DOMAINBIT-Admins），未映射的SID会变为“Unknown Account”，导致权限失效
- UNC路径重写：勾选“Update links to files and folders”，将\domaina.comsysvol… 替换为 \domainb.comsysvol…；若脚本调用网络共享，需同步更新脚本内容中的硬编码路径
- WMI筛选器迁移：WMI筛选器本身不随GPO导入，需在目标域手动重建，并在导入后重新绑定到GPO
手动修正常见遗漏项
导入后务必验证以下易忽略点：
- 登录/启动脚本路径：检查GPO中“计算机配置/策略/Windows设置/脚本（启动/关机）”和“用户配置/策略/Windows设置/脚本（登录/注销）”里的脚本路径是否已更新为域B的UNC地址，否则脚本静默失败
- 软件安装包路径：通过“软件设置”部署的MSI路径若指向源域SYSVOL或共享，需重新指向目标域有效路径，并重新签名或调整部署方式
- 首选项中的目标对象：如“驱动器映射”“本地用户创建”“计划任务”中引用的域用户、组或计算机名，需批量替换为域B的等效标识
验证与上线前检查
导入后不要立即链接到OU。先用gpresult /h report.html /s DC01在测试计算机上生成结果报告，确认策略已应用且无“Access Denied”或“Failed to apply”条目。重点核对：Applied GPOs列表是否含新GPO、Security Filtering是否显示目标域组、Scripts和Preferences路径是否可访问。确认无误后再链接到生产OU并启用继承。
