Windows中使用GPMC创建并编辑GPO需三步：先满足操作系统、权限和域环境前提；再新建GPO并编辑计算机/用户配置；最后链接到站点、域或OU，通过顺序调整、阻止继承或强制应用控制生效范围。
Windows 中使用组策略管理控制台（GPMC）创建并编辑 GPO，核心是两步：先建好策略对象，再链接到目标容器并配置具体设置。整个过程不需要写代码，图形界面操作为主，但权限和位置选择很关键。
确认前提条件
不是所有电脑都能直接打开 GPMC。必须满足以下三点：
- 操作系统是 Windows Server 2008 及以上，或已安装“远程服务器管理工具（RSAT）”的 Windows 10/11 客户端；
- 当前账户属于“域管理员”“企业管理员”或“组策略创建者所有者”组，才有编辑和链接权限；
- 目标域环境正常，DNS 和域控制器通信可达，否则无法加载域内 GPO 列表。
创建新的 GPO
新建 GPO 默认不链接到任何位置，适合先测试再部署：
- 按 Win + R 输入
gpmc.msc打开组策略管理控制台； - 展开左侧树形结构，定位到目标林 → 域 → “组策略对象”节点；
- 右键“组策略对象”，选择“新建”，输入名称（如“禁止USB存储设备”），点击确定；
- 此时新 GPO 出现在列表中，状态为“未链接”，右侧“链接”列显示为空。
编辑 GPO 设置
双击或右键选择“编辑”，进入组策略管理编辑器，按需配置两类策略：
- 计算机配置：影响开机即生效的系统级设置，比如启动脚本、安全选项、AppLocker 规则；
- 用户配置：影响用户登录后的行为，比如桌面背景、开始菜单限制、IE 浏览器主页；
- 每个策略项默认为“未配置”，右键选择“编辑”，启用后设为“已启用”或“已禁用”；
- 修改后关闭窗口即可自动保存，无需手动提交——但仅保存在 GPO 内部，尚未生效。
链接 GPO 并控制应用范围
编辑完设置后，必须将 GPO 链接到站点、域或 OU 才能生效：
- 在 GPMC 左侧，展开目标域 → 组织单位（OU），找到要管控的 OU（如“研发部计算机”）；
- 右键该 OU，选择“链接现有 GPO”，从弹窗中选中刚创建的 GPO；
- 链接后可在 OU 的“组策略”选项卡里看到该策略，拖动调整链接顺序——数字越小优先级越高；
- 如需阻止上级策略继承，可右键 OU → “属性” → “组策略”选项卡 → 勾选“阻止继承”；如需强制应用，勾选“已启用”旁的“强制”复选框。
策略一般在用户登录或计算机重启后生效，也可手动刷新：gpupdate /force。注意策略处理有顺序（本地→站点→域→OU），同级多个 GPO 按链接顺序覆盖，设计时得考虑叠加与冲突。
