组策略（gpo）是域环境中最统一可控的windows自动运维触发方式，适用于专业版/企业版/教育版终端，通过固化winrm服务、部署开机启动脚本、配置防火墙规则为自动化提供基础，但不替代任务计划程序的精细调度。
组策略（gpo）是域环境中实现 windows 自动运维任务触发最统一、最可控的方式，适用于专业版/企业版/教育版终端。它不依赖用户登录，能确保系统级执行，但需注意：gpo 本身不直接“调度”任务，而是通过服务配置、启动脚本、防火墙规则等组合手段，为自动化提供运行基础和触发条件。
启用并固化 WinRM 服务状态
WinRM 是 PowerShell 远程管理、Ansible、DSC 等自动化的通信通道。仅靠手动开启不可靠，必须用 GPO 强制固化：
- 路径：计算机配置 → 策略 → Windows 设置 → 安全设置 → 系统服务
- 找到 Windows Remote Management (WS-Management)，双击编辑
- 勾选“已启用”，启动类型设为“自动”，务必勾选“对服务的更改立即生效”
- 该设置确保每次重启后服务都处于自动启动状态，是后续远程调用的前提
部署开机级自动执行程序（无需用户登录）
适用于公告推送、健康检查代理、日志初始化等系统级任务：
- 路径：计算机配置 → Windows 设置 → 脚本（启动/关机）→ 启动
- 点击“添加”，填入程序完整路径（如 "C:\Program Files\CorpTools\healthcheck.exe"）
- 若需参数，写在“脚本参数”栏（如 /silent /auto）
- 注意：该脚本运行在 Session 0（系统会话），无法显示图形界面；如需弹窗，应改用“用户配置 → 脚本（登录）”或任务计划程序
配合防火墙与监听器构建安全通信链路
单纯启用服务或运行程序，不代表能被远程调用或响应外部指令。GPO 必须同步完成网络层准备：
- 用 GPO 首选项或启动脚本执行 winrm set winrm/config @{AllowUnencrypted="false"; MaxTimeoutms="1800000"}
- 新建入站防火墙规则（计算机配置 → Windows 设置 → 安全设置 → Windows 防火墙与高级安全）
- 规则类型选“端口”，TCP，本地端口填 5985,5986
- 关键一步：在“作用域”中限定“哪些 IP 地址可连接此计算机？”，只填运维网段（如 192.168.10.0/24），禁用“任何 IP”
补充说明：GPO 不适合替代任务计划程序的精细调度
组策略不具备时间精度控制（如“每天 2:17 执行”）、失败重试、空闲/电源条件判断等功能。这些属于任务计划程序的专长：
- 若需按具体时间、事件（如登录、网络连通）、或系统状态（空闲、AC 电源）触发，应使用 taskschd.msc 创建任务
- GPO 可配合下发任务计划定义（通过 GPO 首选项 → 控制面板设置 → 任务计划程序），实现批量部署任务模板
- 例如：用 GPO 推送一个“每天凌晨2点清理临时文件”的计划任务，比逐台手动配置更可靠
