怎么针对不同OU下发差异化的软件部署策略教程-windows运维-PHP中文网

active directory 中无法在单个gpo内对ou实现差异化软件部署，因组策略软件安装仅支持绑定单一msi及固定参数；可行方案包括：1. 启动脚本结合ou判断；2. 多gpo配wmi过滤器；3. 迁移至intune或sccm。

active directory 中不能直接对 ou 下发“差异化软件部署策略”——组策略的软件安装功能本身不支持按 ou 动态选择不同 msi 或不同安装参数，必须靠设计规避限制。

为什么 `Software Installation` 策略在 OU 层级天然不支持差异化部署

AD 组策略的“软件安装”（Computer Configuration → Policies → Software Settings → Software Installation）只允许为每个 GPO 绑定一个 MSI 包，且该包一旦部署，所有应用该 GPO 的计算机都收到完全相同的安装命令（含相同 TRANSFORMS、ALLUSERS、命令行参数）。它没有条件分支能力，也不读取 OU 名称、计算机属性或自定义 WMI 查询结果来切换包路径或参数。

常见误操作是：在同一个 GPO 里反复“添加新程序”，结果发现 AD 只保留最后一个；或试图用安全筛选让不同 OU 计算机读取不同 GPO——这可行，但本质是“多 GPO + 多 OU 映射”，不是“单 GPO 内差异化”，管理成本陡增。

真正可用的三种实操路径

绕过原生限制，靠组合技术达成效果。优先级按维护成本从低到高排列：

用启动脚本 + 环境变量判断 OU：在 GPO 的 Computer Configuration → Policies → Windows Settings → Scripts → Startup 里放 PowerShell 脚本，用 Get-ADComputer -Identity $env:COMPUTERNAME 查当前计算机所在 DistinguishedName，匹配 OU=Finance,... 或 OU=Dev,... 后，调用 msiexec /i \servershareinance-app.msi /qn 或 \serversharedev-app.msi /qn。注意：需提前在 DC 上启用 RemoteSigned 执行策略，且脚本要处理重复执行（加注册表标记）。
用 WMI 过滤器区分硬件/角色，再配多个 GPO：比如 Finance OU 里的电脑都打上自定义 WMI 类（如 Win32_ComputerSystem.Manufacturer = "Dell"），Dev OU 里的电脑满足 Win32_OperatingSystem.Version LIKE "10.0.22621%"，然后为每个条件建独立 GPO，绑定对应 MSI。缺点是 WMI 过滤器不支持 OU 属性，只能间接映射。
弃用组策略软件安装，改用 Intune 或 SCCM：Intune 支持基于 Azure AD Group（可同步自 OU）做动态设备组，再分配不同 Win32 app；SCCM 支持集合（Collection）按查询规则（如 System.OUName = "Finance"）自动纳管，再部署不同应用程序。这是唯一能真正解耦“组织结构”和“部署逻辑”的方案，但需要额外许可和基础设施。

容易被忽略的坑：权限、缓存与静默失败

无论选哪种路径，以下三点不处理，90% 的部署会卡在“看似成功、实际没装”：

msiexec 在系统上下文运行时，默认无网络访问权——若 MSI 路径是 UNC（如 \fileserverppspp.msi），必须给计算机账户（DOMAINCOMPUTERNAME$）授予共享+NTFS 读取权限，不能只靠用户权限。
GPO 软件策略有 90 分钟默认刷新周期，且首次应用可能延迟到下次重启；而启动脚本每次开机都跑，但若 MSI 安装耗时超 5 分钟，Windows 可能强行终止脚本（需在脚本开头加 timeout /t 300 /nobreak >nul 预留时间）。
静默安装失败时，msiexec /qn 不报错也不写日志——务必加 /l*v %windir% empinstall.log，并在脚本末尾检查 $LASTEXITCODE，非 0 时写事件日志（Write-EventLog -LogName Application -Source "Deployment" -EntryType Error -Message "Install failed with code $LASTEXITCODE"）。