GPO生效核心是“建得准、链得对、筛得细、刷得稳”：先建空策略并命名清晰，再手动链接至目标OU；之后必须同时满足作用域筛选、WMI筛选、范围匹配和继承未被阻止四条件，策略才真正落地。
创建并链接gpo实现全网配置同步，核心不是“建完就生效”，而是“建得准、链得对、筛得细、刷得稳”。关键动作只有两步：先创建空策略容器，再把它明确挂到目标组织单位（ou）上；之后必须满足四个隐性条件，策略才会真正落地。
创建GPO：命名清晰，不配内容也行
在域控制器或装有RSAT的管理机上打开“组策略管理”（gpme.msc），展开域节点 → 右键“组策略对象” → “新建”。输入有意义的名称，比如“全网-禁用Guest账户”或“Win10-统一锁屏超时”。此时GPO仅生成一个带GUID的空壳，状态显示“未链接”，不产生任何配置效果，也不影响任何对象。
编辑策略：按需配置计算机或用户分支
右键刚创建的GPO → “编辑”，进入组策略管理编辑器：
- 若要控制所有加入域的电脑行为（如禁用USB存储、统一电源计划），在计算机配置 → 策略 → 管理模板中设置
- 若要统一用户登录后的体验（如桌面背景、启动项、OneDrive同步开关），在用户配置 → 策略 → 管理模板中设置
- 注意：计算机策略在开机时应用，用户策略需用户重新登录才生效；仅运行gpupdate /force不能触发用户策略刷新
链接GPO：挂到OU才算“上岗”
链接决定策略管谁，必须手动操作：
- 在GPMC左侧树中定位目标OU（如“全公司计算机”或“全体正式员工”）
- 右键该OU → “链接现有GPO” → 勾选你的GPO → 确定
- 确认链接成功：OU下的“链接的GPO”列表中出现该GPO，且“链接”列为实心图标（非灰色箭头或红色叉号）
- 一个GPO可链接多个OU，但同一OU内不可重复链接同一个GPO
确保生效：四道关卡缺一不可
即使已链接，GPO仍可能静默失效。务必检查以下四点是否全部满足：
- 作用域筛选通过：默认对“Authenticated Users”生效；若清空了该组，需手动添加目标用户/计算机所属的安全组，并赋予“读取”和“应用组策略”权限
- WMI筛选器匹配：如设置了“仅Win10 22H2+”筛选，目标设备不满足则整条GPO跳过
- 范围匹配正确：计算机策略只对链接OU及其子OU中启动的设备生效；用户策略只对从这些OU中登录的用户生效
- 继承未被阻止：上级OU或域启用了“阻止继承”，或本级被“强制”策略覆盖，都可能导致GPO不参与处理
验证是否真生效，不要只看链接图标。在目标计算机上以实际用户身份运行：gpresult /h report.html，重点查看“已应用的GPO”列表、安全筛选委派情况及具体策略项状态。客户端策略刷新有延迟，重启或重登录才是最可靠的方式。
