前言

群組原則 (GPO) 是企業環境集中管理的核心，但「設定不生效、衝突、繼承阻斷、WMI 篩選失誤」等問題層出不窮。Windows Server 2003 引入 群組原則管理主控台 (GPMC)，整合 RSOP (生效原則集) 分析、建模、備份/還原、遷移功能，成為排解 GPO 問題的終極利器。本文透過六大實戰案例，示範 GPMC 如何快速定位並解決疑難雜症。

案例一：特定用戶/電腦套用原則結果異常 (WMI 篩選器誤判)

現象

新建 GPO 針對特定 OU 連結，但目標用戶/電腦未套用設定。

GPMC 診斷流程

1. 開啟 GPMC (gpmc.msc)，右鍵網域 → 群組原則建模精靈。
2. 選取目標 使用者 與 電腦 (可跨 OU 選取)。
3. 精靈模擬 RSOP，輸出詳細報告 (如圖 A)。

圖 A：RSoP 報告顯示預設網域原則被 WMI 篩選器拒絕

根因分析

報告顯示：WMI 篩選器 導致原則被拒絕。該篩選器查詢條件為「僅套用至 Windows XP Professional」，但目標電腦為 Windows Server 2003，導致評估為 False，原則不套用 (如圖 B)。

圖 B：WMI 篩選器條件限制為 Windows XP Professional

解決方案

• 修改 WMI 篩選器查詢：
  SELECT * FROM Win32_OperatingSystem WHERE (Version LIKE "5.1%" OR Version LIKE "5.2%") AND ProductType = "1" (涵蓋 XP 5.1 與 Server 2003 5.2 工作站/伺服器)。
• 或移除該 GPO 的 WMI 篩選器連結，改用安全性篩選 (安全性群組) 控制套用對象。

案例二：GPO 設定被較高優先順序 GPO 覆寫

診斷

GPMC「群組原則結果」報告中，「設定」頁籤顯示 「優先順序」 欄位。數字越小優先順序越高 (1 最高)。若同一設定在多個 GPO 定義，勝出者為優先順序最高者。

解決

• 調整連結順序：在 OU/網域/網站層級，將需優先生效的 GPO 連結上移。
• 使用 強制 (Enforced) 選項 (右鍵 GPO 連結 → 強制)，防止被子 OU 封鎖繼承覆寫 (謹慎使用)。
• 檢查「封鎖繼承」：子 OU 若勾選「封鎖繼承」，父層 GPO (除強制者) 不會套用。

案例三：電腦設定 vs 使用者設定 循環處理模式錯誤

現象

使用者登入終端機伺服器，桌面設定 (使用者設定) 未生效，或套用了伺服器的電腦設定。

根因

終端機服務預設使用 「合併」模式 (使用者設定取自用戶 GPO，電腦設定取自伺服器 GPO)。若需使用者獲得完整桌面原則，需啟用 「使用者群組原則迴圈處理模式」 (取代模式)。

設定位置

GPO → 電腦設定 → 系統管理範本 → 系統 → 群組原則 → 使用者群組原則迴圈處理模式 → 已啟用 → 選擇 取代模式 (Replace) 或 合併模式 (Merge)。

案例四：登入腳本不執行 / 執行失敗

排查清單

1. 腳本路徑：GPO 中指定 UNC 路徑 (\\DC\SYSVOL\domain\scripts\logon.bat)，非本地路徑。
2. 權限：SYSVOL\scripts 資料夾「網域使用者」需有「讀取/執行」權限。
3. 腳本內容：批次檔首行加 @echo off，每行獨立命令，避免單行過長。錯誤導向記錄：> %TEMP%\logon_%username%.log 2>&1。
4. 執行時間限制：預設 10 分鐘 (註冊表 MaxWaitForScriptExecution)，長時間腳本需調大。
5. 非同步執行：預設同步 (等腳本結束才顯示桌面)。若腳本耗時長，可啟用「非同步處理登入腳本」 (電腦設定 → 系統 → 群組原則)。

案例五：軟體部署 (GPO 安裝 MSI) 失敗

常見失敗代碼與對策

事件 ID / 錯誤	原因	對策
101 / 103 (無法存取 MSI)	共用資料夾權限、路徑錯誤、DFS 複寫延遲	驗證 UNC 路徑可存取、權限正確、DFS 已複寫完成
1603 (安裝失敗)	MSI 內部錯誤、前置需求未滿、衝突	查看 MSI 日誌 (msiexec /i pkg.msi /l*v install.log)，依錯誤代碼排查
1618 (另一安裝進行中)	Windows Installer 服務忙碌	登入腳本中避免並行安裝，或增加延遲
「套用軟體安裝原則」事件無後續	用戶端未偵測到 GPO 變更	客戶端執行 gpupdate /force /target:computer，重啟

案例六：跨網域/林 GPO 遷移與備份還原

GPMC 強大功能

• 備份/還原：右鍵 GPO → 「備份」→ 指定資料夾 → 含版本歷程。異地還原只需「管理備份」→「還原」。
• 遷移表：跨網域複製 GPO 時，自動對應 SID (用戶/群組)、UNC 路徑、安全性主體。建立遷移表 → 匯入/匯出 → 套用至新 GPO。
• 差異比較：右鍵兩個 GPO → 「差異」→ 視覺化比較所有設定差異。
• HTML 報告：右鍵 GPO → 「儲存報告」→ 完整文件化 (設定、權限、篩選、委派)。

GPMC 進階實戰技巧

• 搜尋功能：GPMC 左上角搜尋框，輸入關鍵字 (如 "Wallpaper", "PasswordComplexity") 即時篩選所有 GPO 設定項。
• 委派管理：GPO 「委派」頁籤，授予協助台人員「編輯特定設定」權限，而非完全控制。
• 入門範本：微軟提供 Security Compliance Manager (SCM) 基準線 GPO 範本 (Security Baseline)，匯入後依環境微調，比從零建立快十倍。
• PowerShell 自動化：Import-Module GroupPolicy → New-GPO, Set-GPRegistryValue, New-GPLink 等 Cmdlet 實現 GPO 程式化管理。

結語

GPMC 將 GPO 疑難排解從「盲目試錯」轉變為「可視化建模、精準定位、一鍵修復」。掌握 群組原則建模 (模擬)、群組原則結果 (實際)、WMI 篩選器邏輯、優先順序與繼承封鎖、登入腳本/軟體部署常見坑、備份遷移差異比較 六大核心場景，您將成為團隊中最可靠的 GPO 專家。