组策略“强制”功能本质是穿透继承屏蔽，而非覆盖；启用后可绕过子ou的“阻止继承”设置，其生效优先级由链接顺序决定，且需通过安全筛选、wmi筛选等方式控制应用范围。
组策略的“强制”功能（enforced）本质是赋予某个 gpo “穿透继承屏蔽”的能力，不是覆盖，而是设计上就绕过下级 ou 的“阻止继承”设置。只要上级 gpo 启用了强制，无论子 ou 是否勾选“阻止继承”，该策略仍会生效。
强制执行如何穿透阻止继承
阻止继承（Block Inheritance）仅对未启用强制的 GPO 生效。它像一道门，但强制 GPO 拥有“免检通行证”——直接穿过这道门，进入子 OU 作用域。
- 强制是 GPO 链接级别的属性，在 GPMC 中右键 GPO → “属性” → “常规”选项卡 → 勾选“此 GPO 的设置为强制执行”
- 启用后，GPO 链接图标变为向下的锁形，直观提示其穿透能力
- 多个强制 GPO 在同一层级按链接顺序（Link Order）处理，数字小者优先
确认和排查关键步骤
实际运维中，常因漏查强制状态导致误判。不能只看子 OU 是否启用了阻止继承，必须向上追溯所有可能影响目标 OU 的 GPO。
- 在 GPMC 中逐个检查父 OU、域、站点层级的 GPO 属性，确认“强制执行”是否勾选
- 用 PowerShell 快速筛查：Get-GPO -All | Where-Object {$_.IsEnforced -eq $true} | Select DisplayName, Path
- 运行 gpresult /h report.html，查看报告中“Applied GPOs”列表及每项的“GPO Status”列，标有“Enforced”的即为穿透生效项
让特定 OU 不受强制 GPO 影响的可行方法
试图在子 OU 上启用阻止继承来屏蔽强制 GPO 是无效的。真正起效的方式是控制策略“是否应用到该 OU 的对象”，而非阻断继承路径。
- 安全筛选：编辑强制 GPO → “安全性”选项卡 → 移除目标 OU 下的用户/计算机所属的安全组；或显式添加一个“拒绝应用组策略”权限给对应组
- WMI 筛选：创建 WMI 筛选器（如 SELECT * FROM Win32_OperatingSystem WHERE Version LIKE "10.%"），再将该筛选器绑定到 GPO 链接，使策略仅匹配特定条件的对象
- 禁用相关设置：若只需停用某几项策略，可在强制 GPO 内部将对应策略设为“未配置”，而非删除整个 GPO
AppLocker 场景中的强制设置注意点
AppLocker 的“强制执行规则”“仅审核”等属于规则集合级强制模式，遵循“最后一次写入胜出”原则，与 GPO 链接强制不同。
- 它不决定 GPO 是否继承，而是决定该规则集合是否真正生效（如“仅审核”则不拦截，只记录日志）
- 若域级 GPO 设为“强制执行规则”，而子 OU 级 GPO 设为“仅审核”，则最终生效的是“仅审核”
- 规则本身仍会合并叠加（12 条 + 50 条 = 62 条），但强制模式以最近链接的 GPO 设置为准
