批量映射驱动器应使用“用户配置 → 首选项 → Windows 设置 → 驱动器映射”路径，配合安全组过滤、正确盘符与UNC路径配置、勾选“运行在用户上下文”及“重新连接”，并确保共享与NTFS双重权限匹配。

直接用“用户配置 → 首选项 → windows 设置 → 驱动器映射”就能批量映射，不写脚本、不手动操作，关键在选对位置、配对权限、按需过滤。

必须走首选项路径，别碰策略分支

组策略里有两个映射入口，但只有这个路径支持批量、稳定、可管理：

• ✅ 正确路径：用户配置 → 首选项 → Windows 设置 → 驱动器映射
• ❌ 错误路径：用户配置 → 策略 → Windows 设置 → 脚本（登录）——本质是跑 net use，网络一卡就卡登录，还常报 Event ID 4098

首选项是异步执行的，即使某台文件服务器暂时连不上，用户照样秒进桌面；它还能自动检测盘符是否被占、路径是否可达、失败自动忽略，真正适合批量部署。

按部门/角色精准映射，靠安全组过滤

想让市场部映射 M:、财务部映射 F:，不用给每人单独配策略，用项目级目标绑定安全组就行：

• 在 AD 中为每个部门建全局安全组，比如 SG-Marketing、SG-Finance
• 把用户加进对应组（不是靠 OU，OU 移动易失效，安全组更稳）
• 编辑驱动器映射条目 → 右键属性 → “公共”选项卡 → 勾选“项目级目标” → 点“目标…” → 添加“Security Group”条件

一个 GPO 里可以配多个映射项，每项绑一个组，互不干扰。多部门共用同一盘符（如 HR 和行政都挂 H:），就在同一映射项里加多个组条件，逻辑选 OR。

路径、盘符、上下文三项不能错

填错一个细节，映射就白配：

• 驱动器号：避开 C/D/E/F，优先用 Y: 或 Z:；多个 GPO 映射同一个盘符时，后加载的会静默覆盖前一个，所以务必配合安全组过滤
• UNC 路径：必须是双反斜杠开头，例如 \fs01\share\%username% 或 \fs01\%department%\%username%（前提是 AD 用户的 Department 属性已填好）
• 运行在用户上下文：必须勾选，否则以 SYSTEM 身份执行，拿不到用户 Kerberos 票据，连域内共享都会被拒

权限和重连机制决定能不能用得稳

图标出现在“此电脑”里 ≠ 能双击打开。90% 的“拒绝访问”问题出在权限或重连设置上：

• 共享权限 + NTFS 权限要双重匹配：不能只设共享权限，也不能依赖 Everyone；应在文件服务器上，用和 AD 安全组同名的组（如 SG-Finance）精确赋权
• 重新连接：必须勾选，否则重启后驱动器消失
• 仅当网络可用时重新连接：建议启用，尤其对笔记本用户，休眠唤醒后不会立刻硬连失败
• 延迟（Delay）：在“常规”选项卡设 2–3 秒，留给 Kerberos 认证和 SMB 连接建立时间