RSOP排查策略不生效必须用日志模式而非建模模式，重点核查安全筛选、WMI筛选、继承阻断三类失败原因，并验证gpupdate /force后策略是否真正刷新落地。

查组策略结果集（rsop）不是看“设了什么”，而是看“最终生效了什么”。关键不在打开工具，而在选对模式、读对线索、验证落地效果。

必须用日志模式，别被建模模式带偏

RSOP有两种运行方式：建模模式（Planning Mode）是模拟“如果这样配会怎样”，日志模式（Logging Mode）才是记录“现在实际发生了什么”。排查策略不生效、权限异常、设置被覆盖等问题，只能用日志模式。

• 图形界面中：在MMC添加“组策略结果集”后，运行向导时务必勾选「日志记录模式」，不能选「规划模式」
• 命令行中：gpresult /h rsop.html 默认就是日志模式；加 /scope computer 或 /scope user 可分别聚焦计算机或用户策略
• 避免用 gpresult /z 直接看屏幕输出——它不区分“已应用”和“被筛选”，容易误判GPO是否真正起效

盯紧三类失败标记，快速定位拦截点

RSOP报告里出现“未应用”“×”或灰色项，通常不是配置写错了，而是策略中途被拦下。重点扫以下三处：

• 安全筛选器不匹配：提示 “Security filtering prevented application” 表示该GPO的安全筛选列表里没有当前用户/计算机，或账户虽在但缺少“读取”和“应用组策略”权限
• WMI筛选器返回False：提示 “WMI filter evaluated to False” 说明WQL语句在目标机上不成立，可用 wmic os get caption 等命令手动验证条件是否满足
• 继承被阻断或覆盖：报告顶部“GPO应用顺序”区域若标有 “Inheritance blocked by parent” 或 “Enforced by higher-level GPO”，说明上级OU启用了“阻止继承”，或某GPO设置了“强制”导致本策略被跳过

权限类设置要翻文本报告细看

用户权限分配（如 SeBackupPrivilege、SeDenyInteractiveLogonRight）冲突隐蔽，rsop.msc 图形界面默认折叠且不显示拒绝来源。必须用命令行深挖：

• 运行 gpresult /v > rsop_verbose.txt 输出详细文本
• 用 Ctrl+F 搜索关键词：User Rights Assignment 或具体权限名（如 SeRemoteInteractiveLogonRight）
• 找到条目后，往下看每条“GPO Name”后的状态：Applied: Yes（生效）、Applied: Denied（被拒绝覆盖）、Applied: Filtered（筛选未通过）
• 特别注意带 Deny 前缀的权限（如 SeDenyLogonAsServiceRight），它会直接压制同名允许权限

确保数据实时，别被缓存误导

RSoP可能读取的是上次刷新的缓存数据。要反映最新状态，必须同步执行两步：

• 先在目标机上以管理员身份运行 gpupdate /force，确认看到“成功处理”字样（不只是“完成”）
• 立刻跟一句 gpresult /h rsop.html，生成即时快照
• 若远程收集，务必加 /s <计算机名> 参数，并确保防火墙开放WMI入站端口