组策略首选项（gpp）是非强制性配置工具，用于初始化或同步设置，支持创建、更新、替换、删除操作及基于条件的项目级筛选。
在 Active Directory 中，组策略首选项（Group Policy Preferences，GPP）是实现自动化管理的关键工具。它不强制覆盖用户或计算机的本地设置，而是以“配置即生效、允许后续修改”为原则，适合部署环境统一但需保留一定灵活性的场景，比如文件复制、驱动器映射、快捷方式创建、注册表项写入等。
首选项与策略设置的核心区别
理解这个前提很重要：首选项不是策略设置。策略设置（Policy）具有强制性，客户端无法绕过；而首选项（Preference）是非强制性的，仅用于“初始化”或“同步”状态，用户或脚本仍可手动更改。例如，用首选项部署一个开机启动项，用户删掉后下次组策略刷新不会自动恢复；但用策略设置禁用控制面板，用户就打不开。
- 首选项只存在于域级 GPO 中，本地组策略编辑器（gpedit.msc）没有“首选项”节点
- 首选项支持“项目级操作”：创建、更新、替换、删除——这意味着你可以精确控制某个注册表键是否存在、某文件是否被复制、某计划任务是否启用
- 支持条件逻辑：可基于操作系统版本、安全组成员身份、已安装软件、架构（x64/x86）等进行过滤，让配置真正“按需下发”
常用首选项类型及典型自动化场景
在组策略管理控制台（GPMC）中编辑 GPO 后，展开“用户配置”或“计算机配置” → “首选项”，即可看到多个功能模块：
- 文件/文件夹首选项：批量部署内部工具包、统一替换旧版配置文件、自动清理临时目录（如设置“删除 C:Temp*.tmp”并启用“运行时删除”）
- 驱动器映射首选项：按用户所属安全组自动挂载不同网络共享（如财务组映射 \server inance，IT 组映射 \serverit）
- 快捷方式首选项：在所有用户桌面创建标准办公软件快捷方式，并设置图标和起始位置
- 注册表首选项：静默配置 IE 安全区域、禁用 Edge 自动更新、设置 Windows Defender 实时保护排除路径
- 计划任务首选项：部署每日磁盘清理脚本、每周备份注册表、或定时执行 PowerShell 日志归档任务
确保首选项生效的关键细节
首选项虽灵活，但默认行为容易被忽略，导致“配置了却没效果”：
- 首选项默认仅在首次应用时创建，不会覆盖已有值。若要强制同步（比如确保某注册表项始终等于指定值），必须勾选“更新”操作类型，并启用“替换现有值”选项
- 用户配置的首选项，在用户登录时触发；计算机配置的首选项，在开机时触发。两者均支持后台刷新（默认 90–120 分钟），但部分操作（如驱动器映射）仅在登录/开机时执行一次
- 使用“项目级筛选”比单纯靠 OU 链接更精准。例如：给“研发部”OU 下所有 Windows 10 设备部署 WSL 开关，可添加 WMI 筛选器
SELECT * FROM Win32_OperatingSystem WHERE Version LIKE "10.%" - 涉及密码或敏感信息的操作（如映射带凭据的网络驱动器），需启用“运行时加密”并确保客户端系统支持 CNG 加密（Windows 7 SP1+ 或 Windows Server 2008 R2+）
验证与排错建议
首选项不报错、不弹窗，出问题常无声无息：
- 检查事件查看器 → 应用程序日志，筛选来源为 GroupPolicy 或 Microsoft-Windows-GroupPolicy/Operational，查找 ID 4016（首选项处理成功）或 4015（失败）
- 在目标计算机上运行
gpresult /h report.html，打开 HTML 报告查看“首选项”部分是否被成功应用，以及是否有权限或路径错误提示 - 对注册表或文件类首选项，建议先用“创建”测试，再改用“更新”并勾选“如果不存在则创建”，避免因路径缺失导致跳过
