可通过组策略结合启动/登录脚本、wmi筛选与变量替换实现终端命名与描述自动标准化：启动脚本用rename-computer设名并重启，登录脚本用set-adcomputer或wmic设描述，辅以安全组和wmi筛选控制范围，并注意权限、时机及bitlocker兼容性。
可以通过组策略（gpo）结合启动脚本或登录脚本，配合 wmi 筛选和变量替换，实现终端主机命名与描述的自动标准化。核心在于绕过 gpo 本身不支持直接设置计算机名的限制，转而用脚本驱动，并通过策略控制执行时机与权限。
使用启动脚本统一设置计算机名
计算机名必须在系统启动早期、网络服务加载前完成重命名，因此推荐使用“计算机配置 → 策略 → Windows 设置 → 启动脚本”部署 PowerShell 脚本。脚本需满足：
- 检查当前主机名是否符合预设规则（如：BU-DEPT-XXXX，其中 BU 为业务单元，DEPT 为部门缩写，XXXX 为序列号或 MAC 后四位）
- 若不符合，调用 Rename-Computer 并指定 -Restart 参数（需管理员权限）
- 使用 Get-WmiObject Win32_NetworkAdapterConfiguration | Where-Object {$_.IPEnabled} 获取主网卡 MAC 地址，提取后四位作为唯一标识段
- 将新名称写入注册表 HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters 的 Hostname 和 NV Hostname 值（辅助 NetBIOS 识别）
通过登录脚本设置系统描述（Description）
计算机描述属于系统属性，可随时修改，适合在用户登录时由“用户配置 → 策略 → Windows 设置 → 登录脚本”执行：
- 使用 Set-ADComputer（需域控制器 RSAT 模块与足够权限）更新 AD 中该计算机对象的 Description 属性
- 或本地方式：调用 WMIC ComputerSystem where Name='%COMPUTERNAME%' set Description="研发部-Windows 10-2024标准镜像"
- 描述内容建议结构化，例如：部门/角色/操作系统/部署年份/责任人（可选），便于后续 CMDB 同步或审计查询
用 WMI 筛选 + 安全组限制策略作用范围
避免“一刀切”，应按实际组织结构分批实施：
- 为不同部门创建对应的安全组（如 SG-IT-Workstations、SG-FIN-Laptops），将目标计算机加入
- 在 GPO 链接处启用“安全筛选”，仅对上述组应用策略
- 配合 WMI 筛选器进一步细化，例如：SELECT * FROM Win32_OperatingSystem WHERE ProductType = "1"（仅限工作站），或 Win32_ComputerSystem WHERE Manufacturer LIKE "%Lenovo%"
- 测试阶段可在 GPO 中启用“已禁用”标志，或设置 gpupdate /force /boot 后观察首次重启行为
补充：确保策略生效的关键细节
很多失败源于权限或时机问题，注意以下几点：
- 启动脚本以 SYSTEM 身份运行，无需额外凭据，但 Rename-Computer 要求机器已加入域且有域控制器可达性
- 首次重命名后必须重启，建议脚本中加入 Restart-Computer -Force -Delay 10，避免与其他启动任务冲突
- 若启用 BitLocker，重命名可能触发 TPM 策略校验；提前在 GPO 中配置 计算机配置 → 管理模板 → Windows 组件 → BitLocker 驱动器加密 → 操作系统驱动器 → “配置 TPM 平台验证程序” 并勾选“允许平台验证程序失败”
- 所有脚本建议添加日志输出，例如 "$(Get-Date): Renamed to $NewName" | Out-File C:\Windows\Logs\hostname.log -Append，便于排错
不复杂但容易忽略。关键是把命名逻辑前置、描述更新解耦、作用范围收口，再配上可追溯的日志和分阶段 rollout 计划。
