屏蔽继承阻止ou从上级继承gpo，但不阻断强制执行的gpo；强制执行使gpo穿透屏蔽继承向下应用，优先级高于屏蔽继承；gpo实际生效顺序为本地→站点→域→ou（自顶向下），同级按链接顺序处理。

在windows域环境中，gpo（组策略对象）的继承与优先级控制是运维中容易出错的关键环节。理解“屏蔽继承”和“强制执行”的作用机制及它们之间的优先关系，是确保策略按预期生效的基础。

屏蔽继承（Block Inheritance）的作用与限制

屏蔽继承是在某个OU（组织单位）上启用的设置，用于阻止该OU从上级容器（如父OU或域名）继承GPO。启用后，该OU仅应用直接链接到它的GPO，上级GPO不再自动生效。

• 屏蔽继承只影响“继承路径”，不阻止手动链接的GPO，也不影响“强制执行”的GPO
• 它不能跨域生效，仅对当前域内的上级OU/域起作用
• 若某OU启用了屏蔽继承，但管理员又在该OU手动链接了原本来自上级的GPO，策略仍会应用
• 注意：林根域或顶级域无法被屏蔽继承——因为没有更上级容器

强制执行（Enforced）的本质是“继承豁免权”

强制执行（原称No Override）是为单个GPO链接设置的属性，表示该GPO的配置将“穿透”所有下级的屏蔽继承设置，强制向下应用。

• 只要GPO链接被标记为“已启用强制执行”，即使子OU启用了屏蔽继承，该GPO仍会应用到该OU下的用户和计算机
• 多个强制执行GPO之间按链接顺序（Link Order）决定最终生效值，数字越小优先级越高
• 强制执行不能绕过“安全筛选”或“WMI筛选”；如果目标对象不在安全组内，或未通过WMI条件，策略依然不生效

GPO优先级的实际判定顺序

当多个GPO可能影响同一对象时，系统按固定顺序逐层处理，最终以“后写入者胜出”（Last Applied Wins）原则合并策略设置。完整顺序为：

• 本地组策略（Local GPO）→ 仅限本机，无继承概念
• 站点（Site）→ 最粗粒度，通常不建议在此层级部署用户策略
• 域（Domain）→ 全局基础策略，如密码策略必须在此层级设置
• OU（自顶向下）→ 父OU → 子OU → 孙OU……每层可链接多个GPO

在同层级（如同一个OU）内，GPO按“链接顺序（Link Order）”由小到大处理；而“强制执行”GPO会在其所在层级“插入一次”，但不会跳过其他层级——它只是确保自己不被下级的屏蔽继承阻断。

排查GPO不生效的典型思路

遇到策略未按预期应用时，不要急于重链GPO，先验证以下三点：

• 运行 gpresult /h report.html 查看实际应用的GPO列表及“继承状态”列，确认是否被屏蔽或未强制
• 检查目标用户/计算机是否满足该GPO的安全筛选组成员身份（默认Authenticated Users不算自动满足，需显式加入）
• 确认GPO中相关策略设置未被“已禁用”或处于“未配置”状态——很多问题源于策略项本身未启用，而非继承逻辑错误