组策略是什么

组策略（Group Policy）是 Windows 域环境里的集中配置引擎。管理员定义一条策略，域内成百上千台机器开机或周期刷新时自动应用。软件分发、注册表配置、安全设置、开机脚本，都能通过组策略批量下发。

域里每一台机器都信任域控，所以组策略能管住它。单机也能用本地组策略 gpedit.msc，但批量管理必须走域 GPO。

组策略 = 域环境下的一次定义、全网生效。
能下发什么
  • 软件MSI 安装包。
  • 脚本开机/登录脚本。
  • 配置注册表、系统设置。
  • 安全密码、防火墙、锁屏。
组策略配图：一排整齐的电脑显示器轮廓排成队列，一束光从领头的显示器洒向其余显示器，屏幕边缘有发光描边
一台配置，全网同步。

GPO 与 OU

GPO 是策略对象，链接到组织单位 OU 上。OU 按部门或机器角色分：研发部、财务部、前台终端。策略链接顺序决定优先级：越靠近对象的 OU，策略优先级越高。

软件分发

把 MSI 放到网络共享，在 GPO 里指到安装包路径，域内机器刷新策略后自动安装。需要卸载时改成「移除」。软件分发是批量装机最快的方式。

# 软件分发三步
1. 制作 MSI 安装包
2. 放到 \\dc\share\software\
3. GPO 里指向共享路径

脚本下发

开机脚本、登录脚本都能通过 GPO 分发。脚本存在 SYSVOL 共享里，机器启动时执行。适合做盘符映射、环境变量、自定义工具初始化。

安全加固

密码策略、账户锁定、UAC、防火墙规则都能用组策略统一加固。安全基线一次定义，全网生效，比逐台配置靠谱得多。

落地清单
  • OU按部门/角色分。
  • 软件MSI 网络共享。
  • 脚本SYSVOL 里放。
  • 测试先小范围再全量。