PowerShell无原生“一键检测过期GPO链接”命令，因GPO链接本身不自动过期；所谓“过期”实指四类失效情形：1.链接指向已删除/重命名OU；2.链接被禁用（Enabled=False）；3.安全筛选器含无效SID；4.GPO自身用户/计算机配置被关闭。
powershell 本身没有“一键检测所有过期 gpo 链接”的原生命令，因为gpo 链接本身不会“过期”——它只是静态绑定在某个域、站点或 ou 上，只要对象存在、链接未被手动删除或禁用，链接就持续有效。
但实际运维中，所谓“过期的 GPO 链接”，通常指以下几种逻辑失效或配置异常**的情况：
1. 链接到已删除或重命名的 OU/容器
OU 被删除或重命名后，GPMC 中该链接仍显示为“已启用”，但目标容器 DN 已不存在。GPO 不会应用，且日志中常报错 0x80070002 或事件 ID 1058。
- 用 Get-GPLink 获取全部链接，再逐个验证目标路径是否存在：
$target = $_.Target
if (-not (Get-ADOrganizationalUnit -Identity $target -ErrorAction SilentlyContinue)) {
Write-Warning "链接失效：GPO '$($_.DisplayName)' 链接到不存在的路径 '$target'"
}
}
2. 链接状态被禁用（Enabled = False）
链接虽存在，但被手动设为“已禁用”，或继承被阻止导致策略不生效。
- 筛选出所有 Disabled = True 的链接：
3. 安全筛选器中包含已删除/禁用的安全组或用户
GPO 启用了安全筛选，但其中引用的组（如 “GPO-App-Deploy-Group”）已被删除，或成员全被禁用，导致无人匹配。
- 检查每个 GPO 的安全筛选器，并验证其中每个组是否真实存在：
$gpo = $_
$acl = Get-Acl "AD:\CN={$gpo.Id},CN=Policies,CN=System,$((Get-ADDomain).DistinguishedName)"
$acl.Access | Where-Object { $_.ActiveDirectoryRights -match "ReadProperty|GenericRead" } | ForEach-Object {
$sid = $_.IdentityReference.Value
if ($sid -match "S-1-5-.*") {
$obj = $null
try { $obj = Get-ADObject -Identity $sid -ErrorAction Stop } catch {}
if (-not $obj) { Write-Warning "GPO '$gpo.DisplayName' 安全筛选器含无效 SID: $sid" }
}
}
}
4. GPO 对象本身被禁用（User/Computer 配置关闭）
链接正常，但 GPO 内部的用户或计算机策略被整体关闭（flags 属性值非 0）。
- 快速列出所有“用户配置禁用”或“计算机配置禁用”的 GPO：
Get-ADObject -SearchBase "CN=Policies,CN=System,$((Get-ADDomain).DistinguishedName)" -Filter {(ObjectClass -eq "groupPolicyContainer") -and (flags -eq 2)} -Properties DisplayName | Select DisplayName
# User Disabled / Computer Enabled
Get-ADObject -SearchBase "CN=Policies,CN=System,$((Get-ADDomain).DistinguishedName)" -Filter {(ObjectClass -eq "groupPolicyContainer") -and (flags -eq 1)} -Properties DisplayName | Select DisplayName
这些检查加起来，就是真正意义上的“分析失效 GPO 链接”。不需要第三方工具，也不依赖图形界面——只需域管理员权限 + Active Directory 模块，就能定位绝大多数策略失联问题。
