Windows Server 2025 / 如何创建 GPO 并将其链接到 OU
要通过组策略配置 CLIENT1，请创建组策略对象（GPO），将它链接到包含 CLIENT1 计算机对象的组织单位（OU），再到客户端验证结果。计算机设置遵循计算机对象的位置及其他应用条件，而不是登录用户所在的 OU。仅创建 GPO 而没有适当链接，并不会自动建立这一作用范围。
将试验限定在 CLIENT1
CLIENT1 必须已加入 ad.example.test，其计算机对象必须位于 Lab → Workstations。创建和移动对象的方法见用户、组与 OU 实验。普通账户 labuser1 可以继续留在 LabUsers，因为本次配置针对计算机而非用户账户。Workstations 中应仅包含预定的实验设备；不要使用 Default Domain Policy 或 Domain Controllers 组织单位进行试验。
在 DC1 或安装了远程服务器管理工具（RSAT）的管理电脑上，通过 gpmc.msc 打开组策略管理控制台（GPMC）。创建、编辑 GPO 与在 OU 上建立链接是不同操作，需要相应权限；CLIENT1 的本地管理员权限不能自动提供这些域管理权限。将特权管理与日常使用分开。组策略官方概述解释了其工作方式。先使用 ActiveDirectory 模块和获授权的账户检查计算机对象的位置：
Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedNameDistinguishedName 应将 CLIENT1 定位在 OU=Workstations,OU=Lab,DC=ad,DC=example,DC=test。如果仍显示 CN=Computers 或其他 OU，应确认对象后，有计划地移到实验目标位置再继续。记录原位置并考虑其他策略的影响；不要为了符合本实验而移动域控制器。
创建 GPO 并链接到 Workstations
- 在 GPMC 中展开“林”→“域”→ ad.example.test → Lab → Workstations，确认选中的是 Workstations，而不是整个域。
- 右键单击 Workstations，选择“在这个域中创建 GPO 并在此处链接”（Create a GPO in this domain, and Link it here）。
- 在新建 GPO 对话框中输入准确名称 Lab-Computer-Message 并确认。如果已有同名对象，先检查其设置和链接，再决定是否复用，不要创建难以区分的副本。
- 选中 GPO，在“作用域”（Scope）中确认链接指向 Workstations 且已启用。本实验不启用“强制”（Enforced），也不添加 Windows 管理规范（WMI）筛选器。同时确认 GPO 的计算机配置部分未被禁用。
- 记录并保留初始安全筛选。Authenticated Users（经过身份验证的用户）通常同时包含用户和计算机；CLIENT1 计算机账户需要“读取”和“应用组策略”权限。OU 链接限定本次范围，不要把筛选替换为 labuser1，也不要随意修改权限来使计算机策略生效。
“组策略对象”节点列出的是域中的 GPO 本身，Workstations 下的条目则是指向该对象的链接。一个 GPO 可以拥有多个链接，因此修改它可能影响所有实际应用该对象的目标，而不只是当前选中的位置。编辑既有 GPO 前，应检查全部链接和用途。New-GPLink 参考也区分了启用链接与强制链接。
配置计算机登录消息
只使用无害的实验消息。更改前，记录客户端是否已有有效的消息标题和文本，以及由哪个 GPO 提供。如果设备受实际组织策略管理且已有正式通知，应改用隔离的实验客户端。不要用编造的法律文字替换真实通知，也不要更改其他安全选项。
- 右键单击 Lab-Computer-Message 并选择“编辑”，进入“计算机配置”→“策略”→“Windows 设置”→“安全设置”→“本地策略”→“安全选项”。不要使用“用户配置”分支。
- 打开“交互式登录：试图登录的用户的消息标题”，勾选定义此策略设置，输入准确值 Lab computer，然后确认。
- 打开配套的“交互式登录：试图登录的用户的消息文本”，定义准确值 Windows Server course lab 并确认。这两段英文是实验输入值，不是选项名称。
- 关闭编辑器，在 GPMC 的“设置”（Settings）选项卡检查两个值。再次确认对象和链接；有多个控制器时，应考虑配置及 SYSVOL 的复制，避免把客户端读取到旧配置直接认定为故障。
标题和文本是两项配套设置。官方策略映射可用于确认其名称；本实验通过 GPO 配置，不引入移动设备管理（MDM）部署。消息标题和消息文本的官方说明表明，这两项设置不要求重启设备。应在新的登录过程中观察效果，而不是仅查看当前已经打开的桌面。
在 CLIENT1 上验证结果
在 CLIENT1 上以本地管理员身份打开 Windows PowerShell，执行下面各行。gpupdate /target:computer /force 会重新应用计算机策略，不仅限于本次 GPO。等待其结果，处理报告的错误后再判断更新是否成功。gpresult 在运行命令的用户临时目录中生成计算机范围的 HTML 报告；文件名中的时间戳用于区分旧报告。
gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gpresult-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport最后一行只输出文件路径，不会自动打开浏览器。在 CLIENT1 的浏览器中打开该路径，检查报告的计算机名称与生成时间。在已应用 GPO 中找到 Lab-Computer-Message，并检查两项登录设置的来源及有效值。随后保存工作并完全注销当前会话；下次登录时应看到标题 Lab computer 和文本 Windows Server course lab。报告中存在 GPO 名称与屏幕上出现预期内容，是两项独立检查。
更新成功不代表当前会话中的每项策略都会立即改变；其他策略可能需要登录或重启。对本次消息而言，无需重启，保存工作后注销并通过实验控制台检查即可。报告若显示访问被拒绝、没有数据或 GPO 因筛选而被拒绝，应先解决具体原因。官方文档说明了 Windows ARM64 上 gpresult /h 的限制；本例继续使用实验中的 x64 客户端。
有计划地恢复实验设置
若要移除本次实验消息，重新打开同一个 GPO 及两项登录选项。如果记录的初始状态确实没有消息，而且没有其他策略负责这些值，则保留每项“定义此策略设置”的状态，但将文本值清空并确认。再次更新 CLIENT1 的计算机策略并生成新报告，同时检查有效值和下次登录时消息是否消失。如果原先存在合法值，应恢复原值及其管理方式，而不是一律清空。仅改为“未定义”或删除链接，并不能保证所有设置恢复旧值；Microsoft 说明了部分安全设置可能持续保留的情况。
删除 Workstations 下选中的链接，与在“组策略对象”中删除 GPO 不同。两种操作前都应检查其他用途，并确认客户端已按计划恢复。保留 Lab-Computer-Message 供后续实验使用，本次不需要删除它。若结果没有出现，应检查 CLIENT1 的实际 OU、计算机配置与用户配置的选择、链接启用状态、继承、筛选、权限和域控制器访问。不要把试验扩大到整个域，也不要通过强制链接掩盖作用范围问题。
