gpresult 是 windows server 中诊断组策略实际生效情况的权威命令行工具，生成当前已应用策略的快照（rsop），支持本地/远程、计算机/用户上下文及指定账户的 html 报告，并需结合 gpupdate 和事件日志排查 not applied 等问题。
在 windows server 中，gpresult 是诊断组策略是否真正生效的权威命令行工具。它不显示“应该”应用什么策略，而是呈现系统当前实际加载并执行的策略快照（rsop）。生成详细报告的关键是用对参数、选对上下文、并确保运行权限和路径合理。
生成本地完整 HTML 报告（推荐首选）
这是最实用、信息最全的方式，报告含计算机配置、用户配置、安全设置、脚本、首选项、软件安装等全部已应用项，并标注每个设置来源的 GPO 名称。
- 以管理员身份打开命令提示符或 PowerShell
- 执行命令：gpresult /h C:\rsop.html
- 等待命令返回（无提示即成功），打开 C:\rsop.html 查看
- 在浏览器中使用 Ctrl+F 搜索关键词，如：Denied、Not Applied、Loopback、Filtered，快速定位失败项
按上下文分别导出：只看计算机或只看用户策略
很多问题源于混淆了“计算机配置”与“用户配置”的作用时机和生效条件。例如：登录脚本属于用户策略，需重新登录才刷新；而启动脚本属于计算机策略，需重启或强制刷新计算机部分。
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 仅导出计算机策略（排除用户干扰）：gpresult /scope computer /h C:\comp_rsop.html
- 仅导出当前用户策略（适合排查登录行为）：gpresult /scope user /h C:\user_rsop.html
- 若要查看其他域用户（如服务账户）的策略效果：gpresult /user CONTOSO\svc-account /h C:\svc_rsop.html
远程服务器诊断：查看域内其他 Windows Server 的策略状态
适用于运维人员集中排查多台域成员服务器的策略一致性，需具备目标服务器的管理员凭据及网络连通性（TCP 445 开放，防火墙允许 WMI/DCOM）。
- 命令格式：gpresult /s SERVER01 /u CONTOSO\admin /p P@ssw0rd /h C:\server01_rsop.html
- 执行前建议先测试连通性：ping SERVER01 和 test-netconnection SERVER01 -port 445
- 若提示访问被拒，请确认：目标服务器启用了远程管理、当前用户在目标本地 Administrators 组中、域时间偏差未超 5 分钟
配合 gpupdate 和事件日志交叉验证
gpresult 显示的是“结果”，不是“过程”。若报告中策略显示为 Not Applied，需进一步查原因：
- 先运行 gpupdate /force /log:gp.log 强制刷新并生成日志（日志位于 %windir%\debug\）
- 打开事件查看器 → 应用程序和服务日志 → Microsoft → Windows → GroupPolicy → Operational，筛选事件 ID 1006（处理失败）、5312（WMI 筛选器不匹配）、1054（找不到域控制器）
- 结合 gpresult 报告中的 “Applied Group Policy Objects” 列，回到 GPMC 检查对应 GPO 的链接状态、WMI 筛选器逻辑、安全筛选是否包含该计算机或用户
