gpmc是企业级组策略编辑与部署的核心工具，需通过gpmc.msc启动，编辑gpo须用“组策略管理编辑器”，新建gpo并链接到ou更安全，更改关闭即保存，客户端需gpupdate /force刷新或等待90分钟自动更新。
组策略管理控制台（gpmc）是编辑和部署组策略的核心工具，不是靠“本地组策略编辑器”（gpedit.msc）完成企业级配置。真正要批量、安全、可追溯地编辑策略，必须用 gpmc 创建或打开 gpo，再通过“组策略管理编辑器”修改具体设置。
启动并连接到 GPMC
确保已安装组策略管理功能（Windows Server 自带；Windows 10/11 需先安装 RSAT 中的“组策略管理工具”）。启动方式：按 Win + R，输入 gpmc.msc，回车。GPMC 打开后，默认显示林、域、组织单位（OU）、GPO 列表。若看不到你的域，请检查网络连接与域控制器可达性。
Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。
编辑一个现有 GPO
在控制台树中，展开你的域 → “组策略对象”，找到目标 GPO（例如“Default Domain Policy”或你自建的策略），右键单击它，选择“编辑”。这会打开“组策略管理编辑器”窗口，界面分左右两栏：
- 左侧是导航树，含计算机配置和用户配置两大分支；
- 右侧是策略设置列表，双击某项即可启用/禁用/配置参数。
常见路径示例：
• Windows 更新策略：计算机配置 → 管理模板 → Windows 组件 → Windows 更新
• Defender 防病毒设置：计算机配置 → 管理模板 → Windows 组件 → Microsoft Defender 防病毒
• 应用控制策略：计算机配置 → 管理模板 → 系统 → Device Guard
创建并链接新 GPO（推荐用于生产环境）
避免直接修改默认策略。建议新建 GPO 并链接到特定 OU 或安全组：
• 在域节点上右键 → “在此域中创建 GPO 并将其链接到此处”
• 输入名称（如“Win11 安全基线 - 生产组”）
• 新 GPO 创建后，右键它 → “编辑”，进入设置界面
• 设置完成后，右键该 GPO → “链接”可将其关联到其他 OU；也可用“安全筛选”或“WMI 筛选”精准控制生效范围
保存、测试与验证
GPMC 本身不自动保存“编辑中的更改”——关闭编辑器即保存。但策略不会立即生效，需注意：
• 客户端默认每 90 分钟刷新一次组策略（可手动运行 gpupdate /force）
• 用“组策略结果”（右键域或计算机 → “所有任务” → “组策略结果”）查看实际应用了哪些策略
• 用“组策略建模”模拟不同用户/计算机应用后的效果，避免冲突或意外覆盖
