gpmc备份还原gpo最可靠，保留全部元数据；备份生成guid文件夹含gpt.ini、registry.pol等；还原可同域回滚或跨域导入，需映射安全主体、重写unc路径并手动补链接与权限。

直接用组策略管理控制台（gpmc）备份和还原指定 gpo，是最可靠、最完整的方式。它能保留注册表策略、脚本、偏好设置、dacl 和 wmi 筛选器引用等全部元数据，不依赖 sysvol 文件手动操作，也避免权限或路径错位问题。

一、用 GPMC 备份指定 GPO

打开 gpmc.msc → 展开域 → 展开“组策略对象” → 右键目标 GPO（如“Workstation-Security”）→ 选择“备份…” → 指定本地路径（推荐独立磁盘或网络共享，如 D:\GPO_Backup\20260924）→ 填写描述（例如“密码策略+登录脚本，迁移前快照”）。

备份完成后，系统会在指定路径下生成一个以 GUID 命名的子文件夹（如 {a1b2c3d4-...}），内含：
– GPT.INI（版本与标识信息）
– Registry.pol（计算机/用户配置策略）
– Scripts\（登录/注销脚本）
– Preferences\（驱动器映射、快捷方式等）
– Backup.xml（元数据摘要）

二、还原到原域（同域恢复）

适用于误删、误改后回滚。右键目标域 → “所有任务” → “从备份还原…” → 浏览并选中刚才的 GUID 文件夹 → 点击“还原”。此操作会：

• 恢复原始 GPO ID、所有策略设置、ACL 权限和 WMI 筛选器链接
• 不改变 GPO 当前链接状态（即不会自动重连 OU，需手动检查）
• 不修改现有 WMI 筛选器本体（仅恢复其绑定关系）

注意：若提示“进程无法访问文件，因为它正在被另一个进程使用”，说明当前 PDC 正在被其他用户刷新策略。可右键域 → “更改域控制器”，换一台负载低的 DC 执行还原；PowerShell 中则加 -Server ContosoDC02 参数。

Pandas 配置文件报告生成器

使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。

下载

三、导入到其他域（跨域迁移）

这不是“还原”，而是“新建 + 导入配置”。步骤如下：

• 在目标域中右键“组策略对象” → “新建”，命名（如“Workstation-Security-FAB”）
• 右键该新建 GPO → “导入设置…” → 指向源备份中的 GUID 文件夹
• 关键一步：在“映射”页完成三项处理：
   ✓ 安全主体映射（把 CONTOSO\IT-Admins 映射为 FABRIKAM\IT-Admins）
   ✓ UNC 路径重写（勾选“Update links to files and folders”，自动替换 \contoso.com\sysvol → \fabrikam.com\sysvol）
   ✓ WMI 筛选器需提前在目标域手动创建同名筛选器，导入后再进 GPO 属性 → “筛选”页重新绑定

导入后必须手动补全：
– 链接到目标 OU（右键 GPO → “链接到…”）
– 重配委派权限（右键 → “委派”，添加目标域管理员组并赋予编辑/删除权限）
– 检查脚本路径、首选项中的“项目级目标”是否仍匹配当前环境（如 OU 名称、WMI 查询结果）

四、PowerShell 快速备份与还原

适合批量或自动化场景，需确保已安装 RSAT-Grouppolicy 模块：

• 备份单个 GPO：
  Backup-GPO -Name "Workstation-Security" -Path "D:\GPO_Backup"
• 备份全部 GPO：
  Backup-GPO -All -Path "D:\GPO_Backup" -Comment "Full domain backup $(Get-Date -Format 'yyyyMMdd')"
• 还原到原域：
  Restore-GPO -BackupGpoName "Workstation-Security" -Path "D:\GPO_Backup" -TargetName "Workstation-Security"
• 跨域导入（等效 GUI 导入）：
  Import-GPO -BackupGpoName "Workstation-Security" -Path "D:\GPO_Backup" -TargetName "Workstation-Security-FAB" -CreateIfNeeded -Domain fabrikam.com -Server fabrikam-dc01

执行前确认账户属于 Group Policy Creator Owners 或 Domain Admins 组；跨域操作时，-Server 参数务必指向目标域的可用 DC。