GPO 不生效怎么查
组策略不生效，用固定几个问题就能覆盖绝大多数原因：目标对象在不在作用域里、安全筛选过了没有、WMI 过滤器是否命中、是否被强制或阻止继承压制、客户端到底刷新过没有。先拿到结果报告，再按这几条逐项排除，比翻日志快得多。
基本信息
| 适用平台 | Windows Server 域环境与加入域的 Windows 客户端 |
|---|---|
| 诊断命令 | gpresult /r 摘要、gpresult /h 生成完整报告、gpupdate /force 强制刷新 |
| 关键概念 | 链接范围（站点、域、OU）、安全筛选、WMI 过滤、强制、阻止继承、环回处理 |
| 日志通道 | Microsoft-Windows-GroupPolicy/Operational |
| 客户端扩展 | 驱动与软件安装类设置需要重启，部分设置依赖特定 CSE |
排查步骤
- 1. 生成结果报告，先看被拒绝的 GPO 列表与最终生效清单
- 2. 核对对象所在 OU 是否在 GPO 的链接范围内，别漏掉站点链接
- 3. 检查安全筛选是否包含该账号或计算机，委派权限是否足够
- 4. 验证 WMI 过滤条件在目标机上是否成立
- 5. 确认是否被强制标记或阻止继承压制，环回处理是否改变了作用对象
- 6. 客户端强制刷新后重新登录或重启，再复测设置是否落地
常用示例
常用示例
REM 先看摘要中的被拒与生效清单
gpresult /r /scope computer
gpresult /r /scope user
REM 生成完整 HTML 报告，信息最全
gpresult /h D:\gpo.html
REM 远程查询另一台机器
gpresult /r /s PC-001 /u corp\admin
REM 强制刷新并等待处理完成
gpupdate /force
REM 查看组策略处理日志
powershell -c "Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 30"
REM 核对设置是否真的落到注册表
reg query "HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate" /s排除项对照
| 检查点 | 典型症状 | 验证方式 |
|---|---|---|
| 作用域 | 目标不在链接的 OU 或站点内 | 对照 GPO 链接范围与对象所在 OU |
| 安全筛选 | 报告里该 GPO 被列为拒绝 | 看结果报告中的被拒列表与原因 |
| WMI 过滤 | 过滤条件在当前系统上不成立 | 在目标机上单独测试该查询 |
| 强制与阻止继承 | 上级设置被覆盖或整条链被阻断 | 检查链接上的强制标记与 OU 的继承设置 |
| 客户端刷新 | 设置未落到注册表 | 强制刷新后重新登录再复测 |
策略显示已应用但设置没变化，多半是需要重启才生效的项（驱动、软件安装），或者该设置依赖的客户端扩展在当前系统版本上不存在。
用 gpresult /h 生成的 HTML 报告比命令行摘要完整，里面有每个 GPO 的胜负关系、被拒原因与具体设置值，适合作为排障证据留存。