在 windows server 中创建新 gpo 需先启用 gpmc 并确保域管理员权限，再通过 gpmc.msc 打开控制台、定位到“组策略对象”节点右键新建并命名，最后链接到站点/域/ou 才能生效。

在 windows server 中打开组策略管理控制台（gpmc）并创建新的 gpo，核心是两步：先确保环境就绪，再通过图形界面新建对象。整个过程不需命令行或脚本，纯操作导向。

确认系统与权限前提

不是所有 Windows Server 都默认带 GPMC——它需要手动启用或已预装：

• Windows Server 2008 及更高版本（如 2012/2016/2019/2022）默认包含 GPMC，可直接使用；
• 若为精简安装或 Core 版本，需通过“服务器管理器 → 添加角色和功能 → 管理工具 → 组策略管理”启用；
• 当前登录账户必须属于“域管理员”“企业管理员”或“组策略创建者所有者”组，否则无法新建或链接 GPO；
• 确保 DNS 正常、能访问域控制器，否则 GPMC 打开后可能显示为空或报错“无法连接到域”。

打开 GPMC 并定位到目标域

按标准方式启动控制台，并导航到正确位置：

Windows-Android_SSH_Remote_Control

通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。

下载

• 按 Win + R，输入 gpmc.msc，回车；
• 或在“开始菜单”搜索栏中输入“组策略管理”，点击对应结果；
• 左侧树形结构中，依次展开“林 → 域 → 你的域名”，找到下方的“组策略对象”节点；
• 注意：不要点错成“组策略建模”或“组策略结果”，那是分析工具，不是创建入口。

新建未链接的 GPO

新建 GPO 默认处于“未链接”状态，适合先配置再部署，避免误影响生产环境：

• 在“组策略对象”节点上右键 → 选择“新建”；
• 在弹出窗口中输入有意义的名称（例如“禁止USB存储设备-测试版”），点击“确定”；
• 新 GPO 会立即出现在列表中，“链接”列显示为空，状态为“未链接”；
• 此时可右键该 GPO → “编辑”，进入组策略管理编辑器配置具体策略（如计算机配置/用户配置下的各项设置）。

后续关键动作（非创建但必须做）

新建只是第一步，真正生效还需完成链接与范围控制：

• 右键新建的 GPO → “链接到”，然后选择目标：站点、域或某个 OU（推荐链接到 OU，粒度更细）；
• 链接后可在“链接顺序”中拖动调整优先级，数字越小越靠前；
• 如需阻止上级策略继承，可在目标 OU 上右键 → “阻止继承”；如需强制覆盖，可在链接上右键 → “强制”；
• 策略不会立即生效，客户端通常需运行 gpupdate /force 或等待刷新周期（默认 90 分钟+随机偏移）。