组策略合规性自检是围绕“改了没、对不对、起没起效”持续运行的闭环机制，依赖可配置、可验证、可回溯的自动化检查点，需启用gpo修改审计与系统级策略变更日志，聚焦高风险项定向扫描，验证终端实际生效状态，并叠加属地合规校验逻辑。

组策略合规性自检不是一次性检查，而是围绕“改了没、对不对、起没起效”三个核心问题持续运行的闭环机制。它依赖可配置、可验证、可回溯的自动化检查点，而非人工翻查界面。

启用并固化 GPO 变更审计

默认状态下 Windows 不记录谁改了哪条策略。必须主动开启两层日志：一是 GPO 层级的修改审计，二是域控制器上的系统级策略变更事件。

• 在 GPMC 中右键目标 GPO → “属性” → “详细信息”页 → 勾选“审核此GPO的更改”
• 在域控制器上配置计算机策略：计算机配置 → 安全设置 → 高级审核策略配置 → 系统审核策略 → 策略变更 → 启用“审核GPO更改”（对应事件ID 4739）
• 确保“安全”日志保留≥180天，且单独挂载日志卷避免空间满导致日志截断
• 用 PowerShell 快速确认是否生效：Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4739} -MaxEvents 3

聚焦高风险项做定向扫描

全量检查效率低、噪音大。应优先识别直接影响身份、权限和通信安全的策略项，按固定周期自动扫描。

• 组策略首选项（GPP）中的凭据：用 Get-GPPPassword 扫描 Groups.xml、Services.xml 等文件，排除明文或弱加密密码字段
• 远程桌面策略：检查是否启用网络级别身份验证（NLA）、禁用旧版RDP协议、强制 TLS 1.2+、关闭 CredSSP（除非明确启用 FIPS 模式）
• 认证协议强度：确认“网络安全性：LAN Manager身份验证级别”设为“发送NTLMv2响应，拒绝LM & NTLM”，“域控制器：LDAP服务器签名要求”为“要求签名”

验证终端实际生效状态

策略推送到 OU 不等于终端已应用。必须从客户端角度验证真实策略效果，避免“配置了却没生效”的盲区。

• 在目标 OU 下部署测试机，运行 gpresult /h report.html，比对“应用的GPO”列表与预期是否一致
• 对关键策略（如密码复杂度、账户锁定阈值），用 secedit /export /cfg baseline.inf 导出当前本地安全策略，再与基线文件做 diff 对比
• 对启用对象访问审核的策略（如文件共享SACL），在客户端执行一次受控访问操作，立即检查事件查看器中是否生成 ID 4662 事件

叠加属地合规校验逻辑

通用策略不等于合规策略。需根据所在地区法规（如GDPR、等保2.0、金融行业监管要求）补充校验规则，例如日志保留时长、审计范围、凭证加密标准等。

• 将合规条款映射为具体技术指标（如“日志留存不少于180天”→ 检查Event Log服务配置）
• 用 PowerShell 脚本封装校验逻辑，定期在域内抽检终端并生成合规报告
• 对跨地域部署的OU，通过不同GPO链接附加差异化合规策略，并启用独立审计通道