RSOP 是什么
RSOP（策略结果集）回答的是「这台机器、这个用户最终被套用了哪些策略」。组策略不是单条生效，而是按本地、站点、域、各级 OU 的顺序层层叠加，同一设置可能被多个 GPO 反复改写。RSOP 就是把这套叠加结果算出来给你看。GPMC 里还提供「组策略建模」，可以在不触碰生产环境的前提下推演「把对象移到某个 OU 后会得到什么策略」。
基本信息
| 适用平台 | Windows 客户端与服务器；报告工具为 GPMC（RSAT 或服务器管理器） |
|---|---|
| 命令行结果 | gpresult /r（概览）、gpresult /h 报告.html（完整报告）、/scope computer|user、/v |
| 图形工具 | GPMC → 组策略结果向导、组策略建模向导；rsop.msc 为较老工具 |
| 应用顺序 | 本地策略 → 站点 → 域 → 各级 OU 由外到内；同 OU 内按链接顺序，链接顺序靠后的优先 |
| 干预项 | 阻断继承（Block Inheritance）、强制（Enforced）、安全筛选、WMI 筛选器 |
| 权限要求 | 读取策略需域账户；生成远程结果向导需对目标机与域的相应权限 |
典型使用场景
- 策略不生效排查：确认目标 GPO 是否被安全筛选或 WMI 筛选挡掉
- 变更前推演：改组结构或迁移 OU 前先做建模，评估影响范围
- 策略冲突定位：同一设置被多个 GPO 改写时，判断最终是谁生效
- 合规取证：定期生成策略报告作为基线证据
- 排障留档：把「生效报告」附在处理单里，避免重复追溯
常用示例
常用示例
gpresult /r # 命令行概览：已应用与被拒的 GPO
gpresult /r /scope computer # 只看计算机策略
gpresult /h D:\report\gpo.html /f # 生成完整 HTML 报告并强制覆盖
gpresult /h D:\report\gpo.html /scope user /v # 详细模式，含组策略设置明细
REM 旧式结果查看工具（部分新系统上已被弱化）
REM rsop.msc
REM GPMC 图形入口：gpmc.msc -> 组策略结果 / 组策略建模（需 RSAT 或服务器管理器）三种方式对照
| 方式 | 数据来源 | 适用场合 |
|---|---|---|
| gpresult | 目标机实际应用结果 | 现场排障与留档，最快也最可靠 |
| 组策略结果向导 | 目标机实际状态并生成报告 | 需要规范报告与多机对比时 |
| 组策略建模向导 | 基于假设条件在域侧推演 | 变更前评估，不接触生产环境 |
| rsop.msc | 旧式 MMC 视图 | 老系统上可用，新系统上能力受限 |
| 事件日志 | 策略处理记录 | 判断处理失败与耗时问题 |
gpresult 报告里「被拒绝的 GPO」分区最有价值：它会直接写出拒绝原因，例如安全筛选未包含当前账户、WMI 筛选未通过、GPO 为空等，比逐条猜策略快得多。
建模的准确度取决于你填写的假设条件是否完整：目标 OU、所属组、站点、WMI 筛选、是否计算机或用户对象都要如实设置，否则结论会误导决策。
结果与推演结合的做法
结果与推演结合的做法
# 1. 改前推演：在 GPMC 中做组策略建模，导出报告存档
# 2. 实施变更：移动对象或修改 GPO 链接
# 3. 目标机刷新并留存实际结果（gpupdate /force 只是触发，不等于全部立即生效）
gpupdate /force
gpresult /h D:\report\gpo_after.html /f
# 4. 关键项实测验证：例如驱动器映射、锁屏策略等直接观察是否生效
# 5. 报告与基线对比，确认只有预期变化
Get-ChildItem D:\report\gpo*.html | Sort-Object LastWriteTime | Select-Object Name, Length, LastWriteTimersop.msc 在较新系统上不再是首选，且部分类别显示不全。以它的结论为准可能漏掉实际问题，重要判断请以 gpresult 报告或组策略结果向导为准。