应使用“用户配置→首选项→Windows设置→驱动器映射”，因其异步执行、支持网络判断与失败忽略，避免登录卡死；而“策略”分支强制同步挂载，易因超时或权限问题阻塞登录。

直接用“用户配置 → 首选项 → windows 设置 → 驱动器映射”，配合项目级定位（item-level targeting），就能精准映射给特定用户，无需脚本、不依赖登录顺序，也不影响其他人。

选对位置：只用“首选项”，不用“策略”

组策略里有两个地方能映射驱动器，但只有这个路径有效：

• ✅ 正确路径：用户配置 → 首选项 → Windows 设置 → 驱动器映射
• ❌ 错误路径：用户配置 → 策略 → Windows 设置 → 脚本（登录）或旧式“映射网络驱动器”设置

“首选项”是异步执行的，失败不会卡登录；支持盘符检测、网络判断、自动重连；而“策略”分支强制同步挂载，一旦共享不可达或权限不对，用户可能卡在登录界面几秒甚至报错（常见 Event ID 4098）。

配置映射本身：关键参数要填准

新建驱动器映射后，在“常规”选项卡中设置：

• 操作：选“更新”——既能首次创建，也能后续自动修正路径或盘符冲突，比“创建”更稳妥
• 驱动器号：如 Z:，避开 C/D/E 等系统常用盘符；多个映射时注意别重复
• 路径：填 UNC 地址，例如 \fileserverhr%username%，支持环境变量，便于按人隔离目录
• 重新连接：必须勾选，确保重启后自动恢复
• 仅当网络可用时重新连接：建议启用，避免离线登录时尝试挂载导致延迟
• 运行在用户上下文：务必勾选，否则以 SYSTEM 账户运行，无法访问需 Kerberos 认证的域共享

限定特定用户：用项目级定位（ILT）

在映射属性的“公共”选项卡中，勾选“项目级目标”，再点“定位”：

• 可按安全组成员身份：比如只给“HR-Staff”组的用户映射
• 可按组织单位（OU）：比如只应用在“OU=培训部,DC=contoso,DC=com”下的用户
• 可组合条件：例如“属于 Finance 组”且“操作系统为 Windows 10 22H2 及以上”
• 不满足条件的用户完全看不到该映射，也不会触发任何错误

权限与验证要点

映射成功 ≠ 能访问。还需确认：

• 共享权限和 NTFS 权限都已授予对应用户或其所属安全组，不要依赖 Everyone 或 Users 全局授权
• GPO 已正确链接到用户所在 OU，并且没有被“阻止继承”或“筛选”掉
• 用户注销后重新登录（不是锁屏/切换用户），才能让映射生效；也可手动运行 gpupdate /force 后注销
• 排查时看事件查看器 → 应用程序日志，筛选“Group Policy Preferences”，查具体失败原因（如 4098、0x80070035 网络路径未找到等）