组策略仅设定服务启动类型（自动/手动/禁用），不强制启停；必须通过“计算机配置→策略→Windows设置→安全设置→系统服务”路径配置，使用内部名（如Spooler），并确保GPO链接到目标计算机所在OU、权限正确、无继承阻止，刷新后需重启生效。

组策略不能“强制运行”或“立即停止”一个正在运行的服务，它只负责设定服务的默认启动类型（自动、手动、禁用），并在系统启动或策略刷新后由服务控制管理器（scm）按此设定行为。真正生效的关键是配对路径、填对名称、推到位、刷得准。

必须使用正确的策略位置

只能通过以下路径配置才有效：

• 计算机配置 → 策略 → Windows 设置 → 安全设置 → 系统服务
• 不能靠注册表策略（如修改 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{svcname}\Start）来替代——SCM 启动时会覆盖该值
• 不支持“自动(延迟启动)”或“触发器启动”，仅限三种状态：自动、手动、禁用

服务名称必须用内部名，不是显示名

例如：

• ✅ 正确填写：Spooler（不是“Print Spooler”）
• ✅ 正确填写：Wuauserv（不是“Windows Update”）
• ❌ 填显示名会导致策略不识别、不生效

确保策略真正应用到目标计算机

常见失效原因不是配置错，而是作用域没对齐：

• GPO 必须链接到包含目标计算机的 OU，不能只链到用户 OU 或域根
• 检查安全筛选：默认需确保 Domain Computers 组有“读取”和“应用组策略”权限
• 确认没有被父级 OU 的“阻止继承”或更高优先级 GPO 覆盖
• 本地验证方法：rsop.msc 或 gpresult /h report.html 查看该 GPO 是否出现在“已应用的组策略对象”中

刷新与生效方式要匹配

策略配置完只是“设定了规则”，还需让规则落地：

• 客户端执行：gpupdate /force（管理员权限）
• 多数服务需重启计算机才真正按新策略启动/不启动（如 Netlogon、DNS、KDC）
• 已运行但被设为“禁用”的服务，不会被自动终止；下次开机才跳过启动
• 若需立即生效，可配合脚本调用 net stop <svcname> 或 sc config <svcname> start= disabled，但这属于补充手段，非组策略本职