创建GPO仅生成空容器，真正生效需完成链接并满足安全筛选、WMI筛选、范围匹配和未被阻止继承四个条件。
创建 gpo 本身不会让任何策略生效，它只是生成一个空的策略容器；真正起作用的前提是完成链接，并满足作用域筛选、wmi 筛选、范围匹配和未被阻止继承这四个条件。
创建 GPO 只是建了个空壳，不是“部署”
在 GPMC 中右键“组策略对象”→“新建”，输入名称后，GPO 就出现在列表里，但状态始终是“未链接”。此时它： - 没有配置项（除非你手动编辑） - 不影响任何用户或计算机 - GUID 已生成，但名字只是标签，不参与逻辑处理 - 名称必须在域内唯一，但可随时重命名，不影响已链接行为
链接才是让 GPO 生效的必要动作
链接决定策略“能管到谁”，且必须显式操作：
- 只能链接到站点、域或 OU，不能直接链接到用户/计算机对象
- 同一 GPO 可多次链接到不同 OU，但同一 OU 内不能重复链接同一个 GPO
- 链接后需确认图标为实心（已启用），而非灰色箭头（被阻止继承）或红色叉号（已禁用）
- 若链接到纯用户 OU 却配置了计算机策略，或反之，则该策略分支完全不处理
GPO 生效还要过四道关卡
即使链接成功，GPO 仍可能“静默失效”，常见卡点包括：
- 安全筛选器 被清空：默认是 Authenticated Users，删掉又没加其他组，等于对谁都无效
- WMI 筛选器 返回 false：比如筛选“Win10 且内存 ≥8GB”，目标机不满足就跳过整个 GPO
- 环回处理 未启用却依赖用户策略影响计算机环境（如 kiosk 模式）
- 上级容器设置了 阻止继承 或本级链接启用了 强制，但下游策略冲突未被识别
验证时别只看“链接了没”，要看“真 applied 了没”
运行 gpresult /h report.html 是最直接的方式，重点检查：
- “已应用的 GPO” 列表是否包含你的 GPO 名称
- “委派” 标签页中该 GPO 的安全筛选器是否列出了当前用户/计算机所属组
- “详细信息” 里对应策略项的状态是否为 已启用 而非 未定义 或 已禁用
- rsop.msc 显示的是最终合并结果，但需以目标账户登录后运行，否则看到的是管理员视角
最容易被忽略的是：策略修改后，客户端不会立刻响应。计算机配置要等重启或 gpupdate /force，用户配置则必须注销重登录——仅刷新策略不触发用户策略重应用。
