gpo自动映射共享文件夹必须使用“用户配置→首选项→windows设置→驱动器映射”，确保unc路径有效、盘符按部门统一分配（f:/m:/r:/z:）、共享与ntfs权限匹配，并通过项目级目标按安全组精准投放。
用 gpo 实现终端自动化管理，核心不是堆功能，而是把路径、上下文、作用域这三点对准。路径写错、执行上下文不对、投放范围不准，再好的策略也白搭。
驱动器映射：必须走“首选项”，不能用“策略”分支
用户登录时自动挂载共享文件夹，唯一推荐路径是：
用户配置 → 首选项 → Windows 设置 → 驱动器映射。
原因很实在：
- 它异步执行，某台文件服务器临时宕机，不会卡住登录界面
- 自带重连、冲突覆盖、失败静默等容错机制
- 传统“策略→脚本”走的是同步 net use，超时就报 Event ID 4098，登录卡顿几秒很常见
UNC 路径必须规范，且能被终端真实访问
路径不是写出来就行，得终端能打开才算数。常见错误和应对：
- 用 IP 替代主机名？除非 DNS 不可靠且已配 hosts，否则一律用 \fs01.corp.local\shared$dept 这类 FQDN 格式
- 隐藏共享（带 $）更安全，也避免被普通用户浏览发现
- 路径中尽量不用空格或中文；若必须用，确保共享名与 NTFS 文件夹名完全一致，并在运行框里手动输 UNC 测试能否打开
盘符与权限要兼顾统一性和最小化原则
盘符不是随便选，权限也不能只设一遍就完事：
- 按部门统一分配：F:→财务、M:→市场、R:→研发、Z:→Web 公共区，避免混用和记忆混乱
- 用户必须同时拥有共享权限（Share Permission）和 NTFS 权限，二者取交集——映射成功 ≠ 能访问
- 测试时别只看盘符出现没，要点进去新建个文件、删个文件，验证读写是否真正生效
精准投放靠项目级目标，不是靠 OU 绑定
把 GPO 链接到 OU 是基础，但真正决定谁生效的，是“项目级目标”里的安全组过滤：
- 在驱动器映射属性页勾选“项目级目标”，点“目标”→ 新建 → “安全组”，填入 Marketing_Users 或 Finance_Users
- 不要依赖“安全筛选”只留 Domain Users，那样所有用户都映射，违背按需原则
- 确认目标组是安全组（而非通讯组），且成员已正确加入
