管 Windows 網域的人一定遇過：GPO 設好了，使用者說沒變；你去看，真的沒變。下面是我每次排查固定的順序。

第一步：強制套用

gpupdate /force

需要重開機才生效的設定，用 gpupdate /boot /force。

第二步：看報告，找出「真正生效的那條」

gpresult /h C:\gpo_report.html /f

報告裡要看的是「贏取的 GPO」那一欄，它才是真正生效的來源。

只想看電腦設定的話，用 gpresult /scope computer /v——但一定要用系統管理員身分執行，不然報告裡的「電腦詳細資料」會是空的，很容易誤以為沒有套用。

另一個更快的方法是開 rsop.msc，展開到對應的設定，右邊會直接列出是哪一條 GPO 設的。

第三步：看事件記錄

腳本類的 GPO 出問題，去這裡看：事件檢視器 → 應用程式及服務記錄檔 → Microsoft → Windows → GroupPolicy → Operational。

第四步：報告抓不到，就查登錄檔

有些設定 gpresult 和 rsop.msc 都抓不到，例如被軟體限制原則封鎖的 Microsoft Store、被限速的 Windows Update。這時直接去 HKLM\SOFTWARE\Policies\ 底下找對應的機碼，反查是哪個政策寫進去的。

四個最常見的原因

  1. 沒跑 gpupdate，或該重開機的沒重開。
  2. 電腦不在你以為的那個 OU。
  3. GPO 的「安全性篩選」沒有包含那台電腦或那個群組。
  4. 被另一條 GPO 蓋掉了——連結順序比較前面的，或被設成「強制」的。

兩個實用技巧

  • 讓某個帳號不吃某條 GPO：在那條 GPO 的「委派」加入這個帳號，設定「拒絕套用群組原則」。
  • 要徹底停掉一條 GPO：直接在 OU 上「解除連結」，比一條條把設定改回「未設定」乾淨得多。

資料來源

  • 本人 AD 網域 GPO 維運筆記（2025-10～2026-03）

封面圖由 AI 生成。