LGPO 工具是干什么的
LGPO.exe 是微软 Security Compliance Toolkit 里的本地策略工具，能把 GPO 备份导入到工作组机器的本地策略，适合没有域控还要批量落地安全基线的场景。它既能导入整份 GPO 备份，也能把 registry.pol 解析成文本核对，和 secedit 配合基本覆盖注册表策略与本地安全策略两类加固面。
基本信息
| 加固项 | 本地策略半自动化落地 |
|---|---|
| 适用平台 | Windows Server / Windows 10 及以上（含工作组环境） |
| 工具 | LGPO.exe（Microsoft Security Compliance Toolkit 组件） |
| 常见配套 | GPO 备份目录、secedit、基线包文档 |
| 版本要求 | 基线包与操作系统版本匹配 |
| 风险等级 | 中 |
典型使用场景
- 工作组服务器批量加固：没有域控仍要落地微软安全基线
- 隔离网与离线环境：导入预先准备好的基线包
- 差异核对：解析 registry.pol 看清基线到底改了哪些设置
- 应急回滚：导入前备份本地策略，出问题可以还原
- 审计留痕：把导入的内容文本化归档，供评审核对
备份到导入的三步
备份到导入的三步
# 第一步：备份当前本地策略，务必先做
LGPO.exe /b C:\sec-baseline\BackupCurrent
# 第二步：导入基线 GPO 备份目录（目录内需保留原始层级结构）
LGPO.exe /g "C:\Baseline\GPOs\{GUID}"
# 第三步：解析 registry.pol 成文本，核对实际包含的设置
LGPO.exe /parse /m "C:\Baseline\GPOs\{GUID}\DomainSysvol\GPO\Machine\registry.pol" > policy.txt
# 旁证：导出本地安全策略做前后对比
secedit /export /cfg C:\sec-baseline\secpol-before.inf /quiet常见动作与注意点
| 动作 | 命令要点 | 注意事项 |
|---|---|---|
| 备份 | /b 指定输出目录 | 回滚的唯一依据，必须先执行 |
| 导入 | /g 指向 GPO 备份目录 | 目录层级必须完整，手工拼目录常失败 |
| 解析 | /parse 输出为文本 | 用于核对与评审留痕 |
| 安全策略 | secedit /export | 覆盖账户与审核类设置，与注册表策略互补 |
GPO 备份目录的层级结构要原样保留（含 {GUID} 与 DomainSysvol 子目录），只复制内容文件往往导致导入失败。
域内机器上域策略优先级更高，LGPO 落地的效果可能被覆盖，验收要看实际生效结果而不是导入成功提示。
导入前必须备份：误导入会覆盖现有本地策略，没有备份就只能逐项手工还原。