域内信息一致性靠统一策略而非推数据，gpo通过强制ntp客户端指向内网时间源、禁用域同步、配置轮询间隔实现时间一致；通过指定wsus地址和安装计划统一更新；通过gpo设内网dns替代hosts实现域名解析统一；通过设定日志大小与覆盖策略并绑定时间同步保障审计可信。
域内信息一致性维护不是靠“推数据”，而是靠“统一行为规则”。gpo 不同步文件、不复制注册表值、不下发补丁包，它只下发策略——告诉每台计算机“该怎么做”“从哪获取”“何时执行”。真正实现时间、更新、dns、安全日志等关键信息的一致性，核心在于把分散配置变成可继承、可审计、可验证的策略链。
统一时间源：强制终端只认内部NTP
时间偏差超过5分钟会导致 Kerberos 认证失败、日志无法关联、审计失效。不能依赖默认域同步机制：
- 在 GPO 中启用“启用 Windows NTP 客户端”，并填写内部 NTP 地址（如 192.168.10.5,0x1）
- 必须禁用“启用域 NTP 客户端”，否则终端仍会尝试从 DC 自动发现时间源
- 配置轮询间隔（如 3600 秒），避免高频请求压垮 NTP 服务
- 验证命令：w32tm /query /configuration，确认 Type 为 NTP、NtpServer 字段正确
统一更新行为：管住“怎么打”，再对接“打什么”
GPO 不提供补丁，只定义更新动作。要让全网按同一节奏打补丁，需三者协同：
- 用 GPO 指定 WSUS 地址（http://wsus.internal.corp:8530），启用“自动下载并计划安装”，设每周三凌晨 3 点安装
- 通过安全组（如 Win10-Stable、Win11-Preview）控制策略范围，避免测试更新误推生产机
- 启用“延迟质量更新”（建议 14 天），给 IT 团队留出验证窗口
- 补丁内容由 WSUS 同步并审批，GPO 只确保客户端连得上、认得准、装得稳
统一域名解析：优先走内网 DNS，而非改 Hosts
逐台改 Hosts 易出错、难维护、不支持动态 IP。更规范的做法是统一 DNS 出口：
- 用 GPO 配置“网络连接”策略，将所有终端主 DNS 设为内网 DNS 服务器（如 10.1.1.10）
- 在该 DNS 上为 gitlab.intra、app.intra.corp 等内网域名配 A 记录或条件转发
- 若确需 Hosts 补充（如开发调试），可用启动脚本自动写入，但仅作为辅助，不替代 DNS 架构
- 脚本应以 SYSTEM 权限运行，清除重复行、保留注释、用 UTF-8 编码防中文乱码
统一日志基线：大小、覆盖、时间三者绑定
日志不一致 = 审计不可信。系统日志必须统一规格，且与时间策略联动：
- 在 GPO 中设置“系统”日志最大大小为 32768 KB（32 MB），必须是 1024 的整数倍
- 选择“按需要覆盖事件”，避免日志满后停止记录
- 配套启用时间同步策略，确保所有机器偏差 ≤5 分钟，否则跨主机日志无法对齐
- 验证方式：运行 eventvwr.msc → 右键“系统”→ 属性，确认数值已生效；再查事件 ID 11（日志大小变更）是否出现
