组策略不创建或管理用户/组，仅约束其行为；用户与组由sam数据库管理（如net user/net localgroup），组策略通过gpedit.msc在“账户策略”“用户权利分配”“安全选项”中配置密码、登录、权限等规则。
组策略本身不直接存储或管理本地用户与组账户信息，它不负责创建、删除或修改用户/组本身。它的作用是控制这些已存在账户的行为、权限和系统访问规则。用户和组仍由sam数据库（通过“本地用户和组”或net user/net localgroup）管理；组策略则在它们基础上叠加策略约束。
本地组策略能配置哪些与用户/组相关的设置
打开gpedit.msc后，重点关注以下路径中的策略项：
- 计算机配置 → Windows 设置 → 安全设置 → 账户策略：统一管理密码复杂度、最短长度、最长使用期限、密码历史记录、账户锁定阈值等——这些策略对所有本地用户生效（除内置Administrator可被单独豁免）。
- 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权利分配：例如“从网络访问此计算机”“允许本地登录”“关闭系统”等权限，可精确指定哪些用户或组拥有某项系统级操作权。
- 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项：如“账户：管理员账户状态”（启用/禁用内置Administrator）、“交互式登录：不显示最后的用户名”“网络访问：不允许SAM账户和共享的匿名枚举”等，直接影响用户登录与可见性行为。
为什么不能用组策略“新建用户”或“添加组成员”
因为组策略编辑器（gpedit.msc）不是账户管理工具。它没有“新建用户”界面，也不提供向组中添加成员的功能。这类操作必须通过：
- 图形界面：计算机管理 → 本地用户和组 → 用户/组节点右键操作
- 命令行：
net user 用户名 密码 /add、net localgroup 组名 用户名 /add - PowerShell：
New-LocalUser、Add-LocalGroupMember
组策略只在账户创建完成后才起效——比如你刚用net user建好一个用户，立刻通过组策略限制其密码必须每60天更换一次，该策略会立即应用。
验证策略是否真正生效的方法
仅靠编辑策略不等于执行成功。建议用以下方式确认：
- 运行
gpupdate /force强制刷新策略（需管理员权限） - 用
rsop.msc（结果集策略）查看当前实际生效的所有设置，避免被上级策略覆盖 - 用
gpresult /Scope User /v或/Scope Computer /v输出详细日志，检查目标策略是否列在“已应用的GPO”中 - 切换到对应用户登录，测试具体行为（如尝试用弱密码修改、检查登录界面是否隐藏用户名等）
常见误区提醒
很多人误以为设置了“密码必须符合复杂性要求”，新用户就自动获得强密码——其实不会。组策略只约束后续密码修改行为，初始密码仍由创建者设定（如net user命令中指定）。同样，“账户锁定策略”只在登录失败达到阈值后触发，它不阻止用户首次创建时设简单密码。
