组策略对象（gpo）是windows域环境中集中管理用户与计算机配置的核心机制，由组策略容器（gpc）和组策略模板（gpt）构成，分别存储于active directory域分区和域控制器sysvol目录；包含计算机配置（开机生效）和用户配置（登录生效）两大节点，须链接至站点、域或ou并通过lsdou顺序处理才能生效。
组策略对象（gpo）是 windows 域环境中集中管理用户与计算机配置的核心机制，不是“工具”本身，而是一套可部署、可链接、可继承的策略设置集合。它真正发挥作用，靠的是与 active directory 容器（站点、域、ou）的链接，以及在计算机启动或用户登录时按顺序生效的处理逻辑。
GPO 的组成与存储位置
GPO 实际由两个物理部分构成：
- 组策略容器（GPC）：存于 Active Directory 域分区中，包含 GPO 的元数据（如名称、GUID、链接状态、版本号）；
- 组策略模板（GPT）：存于域控制器的 SYSVOLsysvol\Policies{GUID} 目录下，存放实际的策略文件（如 Registry.pol、ADMX/ADML 模板、脚本、首选项 XML 等）。
二者缺一不可——缺少 GPC，GPMC 无法识别该 GPO；缺少 GPT，策略内容无法下发到客户端。
两类核心配置节点
所有 GPO 编辑均围绕以下两个主干展开：
- 计算机配置：影响整台设备，如系统启动时加载的驱动、安全策略（密码复杂度、账户锁定）、软件安装、事件日志设置等。这类策略在开机阶段应用，不依赖用户登录；
- 用户配置：影响登录用户的桌面行为，如开始菜单布局、文件夹重定向、映射网络驱动器、IE 设置、应用限制等。这类策略在用户登录后加载，且仅对目标用户生效。
注意：某些策略（如“禁止访问注册表编辑器”）在两个节点下都存在，但作用对象不同——计算机配置节点下禁用的是所有用户对该计算机上 regedit.exe 的执行权限；用户配置节点下则按用户 SID 控制，同一台机器上不同用户可能有不同效果。
策略范围与应用顺序
GPO 不会自动生效，必须明确链接到某个作用范围，并遵循严格的处理优先级：
- 本地 GPO（每台机自带）→ 站点 GPO → 域 GPO → OU GPO（从父 OU 到子 OU 逐层向下）；
- 同级多个 GPO 链接时，链接顺序数值越小，优先级越高（即列表顶部的 GPO 最后应用，能覆盖下方设置）；
- 可通过“阻止继承”中断上级策略传递，用“强制”（Enforced）确保某 GPO 不被下级“阻止继承”所跳过；
- 还可结合“安全筛选”（只对特定安全组生效）和“WMI 筛选”（按硬件/系统属性动态判断）进一步缩小作用范围。
常用管理方式与注意事项
日常操作主要通过两类界面完成：
- 本地环境：运行 gpedit.msc，只能编辑本机本地 GPO，适用于工作组或单机管理；
- 域环境：使用 组策略管理控制台（GPMC）（需安装 RSAT 工具），支持创建、链接、备份、还原、建模分析（GPO Modeling）、结果集查看（GPResult / RSOP.msc）等完整生命周期管理；
- 修改 ADMX 模板（如自定义隐藏驱动器选项）应新建 .admx 文件并导入，避免直接改写系统默认模板，否则 Windows 更新可能将其覆盖；
- GPP（组策略首选项）虽灵活，但早期版本因加密密钥硬编码曾引发严重安全风险，建议启用“仅在安全连接下处理”并定期审计 SYSVOL 权限。
