组策略（GPO）不生效的排查
管理员在域控上新配置了映射网络驱动器或密码策略，但客户端重启、执行 gpupdate 后仍不生效，用户抱怨配置『没反应』。GPO 不生效常见于链接位置错误、安全筛选权限不足、SYSVOL 复制未完成、WMI 筛选不匹配或环回处理模式干扰，需要分客户端与服务端两层排查，先定位再下手。
原理与判断
组策略的生效链条是：链接到 OU、安全筛选决定谁能收、SYSVOL 把策略文件发到客户端、客户端在登录时应用。任何一环断裂都会表现为『不生效』。因此排查时要先分清是根本没到达客户端，还是到达了却被过滤，方向不同手段完全不同。用 gpresult 看到的『已应用』或『已拒绝』就是这条链条的体检报告，读懂它就能避免无谓地反复改策略。另外，组策略结果里常见的『被另一策略覆盖』提示，往往指向更靠下的 OU 或更高优先级的链接，按层级顺藤摸瓜即可。善用建模向导（Group Policy Modeling）在变更前预测结果，能减少上线后才发现不生效的尴尬。
一、客户端验证
- 执行 gpupdate /force 后查看是否报错，必要时加 /boot 重启让计算机策略生效（部分策略需重启）。
- 运行 gpresult /r 或 gpresult /h report.html 生成报告，确认策略是『应用成功』还是被『过滤拒绝（Denied）』。
- 检查 rsop.msc 结果集，看具体设置是否出现在预期位置，定位被覆盖或冲突的节点。
- 用 gpresult /v 查看被应用的安全组与 WMI 筛选，确认目标对象在作用范围内且筛选为真。
二、检查作用域与安全筛选
- 确认 GPO 链接到正确的 OU（组织单位），且『安全筛选』中包含目标用户或计算机，或 Authenticated Users。
- 若使用安全组筛选，需保证对象同时拥有『读取』与『应用组策略』两项委托权限，仅读取会被过滤。
- 计算机策略与用户策略分别作用于不同登录阶段，勿把计算机策略链接到只含用户的 OU，反之亦然。
- 检查是否设置了 WMI 筛选器导致其条件不满足而整体不应用，可临时移除筛选验证。
三、服务端复制与处理模式
- 确认 SYSVOL 复制正常，GPO 文件（GPT.ini 与子目录）未停留在旧版本（参见域控复制排查）。
- 检查是否启用了『环回处理模式（Replace、Merge）』导致用户策略被计算机策略覆盖，必要时调整模式。
- 慢速链接下默认会跳过部分策略，可在 GPO 中关闭『慢速网络时禁用』或提高慢速阈值。
- 用 Get-GPO -Name 策略名 | Get-GPOReport -ReportType Html 在服务端核对生效范围与权限委托。
四、强制与排错
- 清除客户端策略缓存：删除 C:/Windows/System32/grouppolicy 后重新 gpupdate，排除残留干扰。
- 检查『计算机配置、管理模板、系统、组策略』中的处理顺序设置是否与需求冲突。
技术总结：GPO 不生效优先用 gpresult 明确是被应用还是被过滤拒绝。核对链接 OU、安全筛选的读取与应用时权限、WMI 筛选、SYSVOL 复制及环回模式，再决定是否调整处理选项或清理客户端缓存。把生效链条想清楚，排障自然快。