组策略不能运行服务，只能设置启动类型为自动、手动或禁用；必须通过「计算机配置→策略→Windows设置→安全设置→系统服务」节点配置内部服务名，执行gpupdate /force并重启生效，且域控制器核心服务受AD角色保护，组策略无法干预。

组策略不能“运行”服务，只能统一设置其启动类型。真正让服务运行起来，靠的是系统服务控制管理器（scm）在启动时按策略值拉起服务——所以关键是配对、配准、配生效。

必须用「系统服务」策略节点，不能改注册表

Windows 启动时，SCM 会强制覆盖 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{svcname}\Start 的注册表值，只认组策略里定义的启动类型。手动改注册表看似有效，重启后一定失效。

正确路径是：
计算机配置 → 策略 → Windows 设置 → 安全设置 → 系统服务

• 这里只能设三种状态：自动、手动、禁用（不支持“自动(延迟启动)”或触发器启动）
• 务必填服务的内部名称（如 Spooler），不是显示名（如“Print Spooler”）
• 策略生效后，需执行 gpupdate /force 并重启计算机（部分服务如 Netlogon、DNS 只有重启才真正应用）

确保策略真正推送到目标计算机

常见“配了但没反应”，多数是作用域没对齐：

• GPO 必须链接到包含目标计算机的 OU，不能只链到用户 OU 或域根
• 检查安全筛选：默认 Domain Computers 组要有读取 + 应用组策略权限
• 确认没有被父级 OU 的“阻止继承”或更高优先级 GPO 覆盖
• 本地验证：在客户端运行 rsop.msc 或 gpresult /h report.html 查看该策略是否出现在“已应用的组策略对象”中

避开关键服务的策略盲区

AD 域控制器上的核心服务（如 Netlogon、KDC、NTDS、DNS）受 AD DS 角色保护，组策略无法修改其启动类型。

• 这类服务的启停必须通过角色安装/卸载流程控制
• 强行用策略设为“禁用”会失败，且可能引发域功能异常
• 若需调整，应先评估角色依赖关系，必要时在维护窗口内操作

批量配置建议用 PowerShell 模板化

手动在 GUI 配 10+ 个服务容易漏项、难复用、无法审计。

• 先在一个测试 GPO 中完成全部服务配置
• 导出策略模板：Get-GPOReport -Guid "xxx-xxx" -ReportType Xml -Path "C:\svc-policy.xml"
• 后续部署直接导入：Import-GPO -Path "C:\svc-policy.xml" -TargetName "Prod-Services-Config"
• 配合 New-GPLink 自动链接到目标 OU，实现一键分发