排查组策略冲突必须用日志模式RSoP（非规划模式），通过gpresult /h导出HTML报告或gpresult /v获取详细文本，重点检查安全筛选、WMI筛选、继承阻断三类失败原因，并分别分析计算机与用户策略的独立应用效果。
直接用 rsop.msc 查策略冲突往往看不到根源，因为它只显示最终合并结果，不揭示哪个 gpo 贡献了哪条设置、谁被筛选掉、谁被拒绝覆盖。真正能定位冲突的，是结合日志模式与命令行导出的完整 rsop 报告。
必须启用日志模式（Logging Mode）
RSoP 有建模模式（Planning）和日志模式（Logging）两种。排查真实生效问题，只能用日志模式——它采集的是系统实际执行组策略时写入 WMI 的原始记录。
- 在 MMC 中添加“组策略结果集”管理单元后，运行“生成 RSOP 数据”向导，务必选择「日志记录模式」，不能选「规划模式」
- 命令行等效操作：以管理员身份运行 gpresult /h rsop.html /scope computer 或 gpresult /h rsop.html /scope user，该命令默认使用日志模式
- 避免用 gpresult /z，它不区分“已应用”和“被筛选”，容易误判 GPO 是否起效
重点检查三类策略失败线索
RSoP 报告中出现未应用、灰色项或“×”标记的地方，不是配置错了，而是策略中途被拦截。盯紧以下三处：
- 安全筛选器不匹配：报告中某 GPO 显示 “Applied: No”，且下方注明 “Security filtering prevented application”，说明该 GPO 的安全筛选列表里没有当前用户/计算机，或账户虽在但缺少“读取”和“应用组策略”权限
- WMI 筛选器返回 False：若提示 “WMI filter evaluated to False”，需在目标机上手动验证，例如运行 wmic os get caption 看是否匹配筛选语句中的操作系统名
- 继承被阻断：报告顶部的“GPO 应用顺序”区域会列出所有候选 GPO，并标注 “Inheritance blocked by parent” 或 “Enforced by higher-level GPO”，说明策略被上级 OU 的“阻止继承”或“强制”设置跳过
逐项追踪权限类设置的来源
用户权限分配（如 SeBackupPrivilege、SeDenyInteractiveLogonRight）最容易因叠加或拒绝导致冲突。rsop.msc 图形界面默认折叠这些项，且不显示冲突细节。
- 打开 gpresult /v > rsop_verbose.txt 输出的文本报告，搜索关键词如 User Rights Assignment 或具体权限名（如 SeRemoteInteractiveLogonRight）
- 找到对应条目后，向下查看每条“GPO Name”后的状态：Applied: Yes 表示生效，Applied: Denied 表示被拒绝权限覆盖，Applied: Filtered 表示安全或 WMI 筛选未通过
- 特别注意带 Deny 前缀的权限（如 SeDenyLogonAsServiceRight），它会无条件覆盖同名的 Allow 权限，而图形界面常将其隐藏在子节点下
对比计算机与用户策略的独立影响
很多冲突源于计算机配置和用户配置相互干扰。例如：某 GPO 在“计算机配置”中禁用控制面板，另一 GPO 在“用户配置”中又启用——最终效果取决于应用时机与覆盖逻辑。
- 分别导出两份报告：gpresult /h comp_rsop.html /scope computer 和 gpresult /h user_rsop.html /scope user
- 检查关键设置是否只出现在其中一方。比如登录脚本只在用户策略中定义，而防火墙规则只在计算机策略中生效
- 注意刷新时机差异：计算机策略在启动时加载，用户策略在登录时加载；若用户已登录但计算机未重启，新计算机策略可能尚未生效，RSoP 却已显示“已应用”
