组策略分发运维检测工具需按形态选方式：MSI包用软件安装策略；绿色版/EXE用ZAP文件；脚本类须转计划任务首选项，并配置执行策略与权限。
利用组策略分发系统运维检测工具，关键在于匹配工具类型选择合适部署方式：若工具提供标准 msi 安装包，优先走「软件安装」策略；若为绿色版、exe 或需前置逻辑的轻量工具，用 zap 文件更灵活；若检测逻辑依赖定时执行（如每日健康检查脚本），则应结合计划任务首选项统一分发。
确认工具形态再选路径
- 是 MSI 包（如某厂商提供的 SysHealth.msi）：直接使用计算机配置 → 策略 → 软件设置 → 软件安装，选“已分配”，重启后静默安装。
- 是单个 EXE 或 ZIP 解压即用（如 check-disk.ps1 + runtime.exe）：必须封装为可静默运行的 EXE（可用 AutoIt/NSIS 打包），再配合 .zap 文件部署。
- 是 PowerShell/批处理脚本（如 monitor-cpu.ps1）：不能直接用软件安装或 ZAP 调用，需转为计划任务首选项，并确保执行策略允许（建议脚本内嵌 bypass 逻辑或提前配置 ExecutionPolicy）。
ZAP 方式部署检测工具的操作要点
ZAP 适合快速推送免安装类检测工具，但有硬性约束：
- InstallCommand 必须指向可直接双击运行的 EXE，不支持 .ps1/.bat（GPO 会拒绝加载）；
- 所有依赖文件（如配置文件、DLL）须与 EXE 同目录，且 UNC 路径中不能含空格或中文；
- 示例 zap 内容：
[Application] DisplayName=System Health Checker DisplayVersion=2.1 InstallCommand=\dc01 oolshealthchecker.exe Publisher=IT Ops Team HelpLink=https://intra/wiki/health-tool [Version] Package=1.0
- 共享路径
\dc01 oolshealth需对 “Domain Computers” 组开放读取权限（NTFS + 共享双层）。
用计划任务首选项实现自动巡检
多数运维检测工具需周期性运行并输出日志，此时应搭配 GPO 首选项部署：
- 路径：计算机配置 → 首选项 → 控制面板设置 → 计划任务；
- 操作类型选“创建”或“替换”，避免重复注册；
- 触发器设为“每天 02:00”，启用“如果错过计划时间则尽快运行”；
- 操作中程序填
powershell.exe，参数写-ExecutionPolicy Bypass -File "\dc01scriptscheck-system.ps1"； - 运行身份建议设为
NT AUTHORITYSYSTEM，避免凭据管理问题。
验证与排障抓重点
部署后不要只看“有没有图标”，要确认三件事：
- 工具是否真正注册进系统：查
services.msc（如是服务型工具）、taskschd.msc（是否出现对应任务）、或Get-WmiObject Win32_Product | ? Name -like "*Health*"（MSI 类）； - 日志是否生成：检查工具自身日志目录（如
C:ProgramDataHealthChecklogs）是否有新文件； - 权限是否到位：若脚本访问 WMI 或注册表，需确认 SYSTEM 账户有对应读取权限，必要时在 GPO 中同步配置安全策略。
不复杂但容易忽略
