安全筛选与 WMI 过滤
GPO 默认对 OU 内所有对象生效，但实际场景常常只需要一部分机器或用户。安全筛选通过给目标组授予“应用组策略”权限来收窄范围：不在列表里的对象直接被拒绝。WMI 过滤则是运行时条件判断，比如“操作系统版本是 Windows 10”“机型是笔记本”，符合条件的对象才应用。两者可以叠加，先按筛选授权，再按条件过滤。
基本信息
| 适用平台 | Active Directory 域（GPMC 管理） |
|---|---|
| 安全筛选入口 | GPMC → GPO → 作用域 → 安全筛选（添加组/用户） |
| WMI 过滤入口 | GPMC → GPO → 作用域 → WMI 筛选（新建或引用已有筛选器） |
| 验证方式 | gpresult /h 报告会写明被拒原因与筛选器名称 |
典型使用场景
- 只给某个部门下发策略：新建“GPO 应用组”，只把该部门计算机放进去
- 按操作系统区分：Windows 10 与 Windows 11 用不同设置，靠 WMI 过滤分流
- 按机型区分：笔记本与台式机使用不同的电源策略
- 试点部署：先把策略应用到一个试点组，验证后再扩大
- 排除例外设备：把测试机、特殊设备从应用组里剔除
常用示例
常用示例
:: GPMC 里设置安全筛选的路径
:: 组策略管理 → 目标 GPO → 作用域 → 安全筛选 → 添加目标组
:: WMI 筛选器示例（只应用到 Windows 10/11）
SELECT * FROM Win32_OperatingSystem WHERE Version LIKE '10.%'
:: 只应用到笔记本（按电池存在判断）
:: SELECT * FROM Win32_Battery
:: 在目标机器上验证最终结果
gpresult /h C:\temp\rep.html /f
:: 只看计算机策略的生效与拒绝原因
gpresult /scope computer /r两种收窄方式对比
| 方式 | 判断依据 | 适合场景 |
|---|---|---|
| 安全筛选 | 对象是否有应用权限 | 按部门/角色精确圈定对象 |
| WMI 过滤 | 目标机器运行时属性 | 按机型、系统版本、硬件条件 |
| OU 结构 | 对象所在位置 | 按组织结构天然隔离 |
| 环回处理 | 计算机位置决定用户策略 | RDS、跳板机等特殊场景 |
想限制策略范围时，把 Everyone 移出安全筛选后必须补上目标组（比如“域计算机”或专门的 GPO 应用组），否则策略对谁都不生效。这是“改完完全没反应”的头号原因。
更清晰的做法是新建“GPO 应用组”，把目标对象加入组并在安全筛选里授权该组。这样策略范围由组成员关系表达，审查时看组成员就够，不必逐台核对 ACL。
复杂的 WMI 查询会在每次启动与登录时执行，条件写得越复杂，登录耗时越长。WMI 过滤只用在真正必要的场景，条件尽量简短。