gpresult /r 是什么
gpresult /r 用来核对这台机器或这个用户到底应用了哪些组策略：输出里包含生效的 GPO 清单、被拒绝的 GPO 列表及被拒原因，有时还带结果集摘要。做组策略排障时，先看被拒列表往往比翻日志快得多。
基本信息
| 适用平台 | Windows 域环境下的客户端与服务器 |
|---|---|
| 语法 | gpresult /r [/scope user|computer] [/s 主机名] [/u 域\用户] |
| 输出内容 | 已应用的 GPO、被拒绝的 GPO 及原因、计算机与用户信息 |
| 更完整形式 | gpresult /h 生成 HTML 报告，含具体设置值与取胜关系 |
| 前提条件 | 以管理员身份运行才能获得完整结果 |
| 作用范围 | 结果按登录会话生成，用户与计算机作用域要分别查看 |
典型使用场景
- 确认某条策略是否真的应用到了目标机器
- 排查策略缺失：先看被拒绝列表里写的原因
- 远程核对另一台机器的策略应用情况
- 变更前后对比生效清单，确认改动已经生效
- 把报告归档，作为排障过程的证据
常用示例
常用示例
REM 查看完整结果，含用户与计算机两个作用域
gpresult /r
REM 只看计算机作用域
gpresult /r /scope computer
REM 远程查询另一台机器
gpresult /r /s PC-001 /u corp\admin
REM 生成 HTML 报告，信息最完整
gpresult /h D:\gpo.html
REM 结合组策略处理日志确认时间线
powershell -c "Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 20 | Select-Object TimeCreated, Id, LevelDisplayName"输出部分读法
| 部分 | 内容 | 用途 |
|---|---|---|
| 已应用的 GPO | 当前生效的策略清单 | 确认目标策略在不在其中 |
| 被拒绝的 GPO | 被过滤的策略与原因 | 定位安全筛选与 WMI 过滤问题 |
| 计算机与用户信息 | 所在域与组织单位 | 核对策略的作用范围 |
| 安全组成员身份 | 影响策略筛选的组 | 解释为什么策略被过滤 |
| 摘要与版本 | 处理时间与策略版本 | 判断是否需要刷新 |
期望的策略不在生效清单里时，先看被拒绝的 GPO 部分，原因通常直接写在旁边：安全筛选不匹配、WMI 过滤未通过或缺少读取权限。
结果按登录会话生成，计算机作用域与用户作用域要分别查看。只看其中一半，很容易误判为策略没有下发。