组策略是配置分发中枢而非执行工具，通过GPO首选项部署计划任务（路径：计算机配置→首选项→控制面板设置→计划任务）实现定时/事件驱动自动化，需勾选“不管用户是否登录都要运行”和“使用最高权限运行”。
组策略不是执行工具，而是配置分发中枢。它本身不运行脚本或启动服务，而是把计划任务、开机脚本、安装包等“自动化载体”可靠地推送到每台域计算机，并确保它们以正确权限、在合适时机生效。
用GPO首选项部署计划任务（最稳的定时/事件驱动方式）
这是企业级自动化运维的主力方案，适合备份、巡检、日志归档、故障自愈等需周期性或响应式执行的任务。
- 路径走“计算机配置 → 首选项 → 控制面板设置 → 计划任务”，操作类型选“创建”或“更新”
- 触发器按需选：每日固定时间、系统启动后延迟5分钟、监听特定事件（如Event ID 1001代表蓝屏）、电源状态变更等
- 操作栏中，“程序”填绝对路径（如C:WindowsSystem32WindowsPowerShell 1.0powershell.exe），“参数”写完整命令（如-ExecutionPolicy Bypass -File \serverscriptscleanup.ps1）
- 务必勾选“不管用户是否登录都要运行”和“使用最高权限运行”，否则多数系统级操作会因权限不足静默失败
- 任务注册后，可在客户端“任务计划程序库”里看到带GPO标识的条目，便于验证是否成功下发
用开机/登录脚本补位（适合轻量初始化动作）
当任务只需在每次启动或登录时执行一次，且无需复杂调度逻辑，脚本方式更简洁直接。
- 开机脚本放“计算机配置 → 策略 → Windows设置 → 脚本（启动）”，由SYSTEM账户运行，天然高权限
- 登录脚本放“用户配置 → 策略 → Windows设置 → 脚本（登录）”，注意当前用户权限可能受限，必要时提前用GPO将目标用户加入本地管理员组
- 脚本必须用绝对路径调用自身及依赖文件（如\serverscriptsinit-winrm.ps1），不能依赖相对路径或当前工作目录
- PowerShell脚本需加-ExecutionPolicy Bypass参数绕过默认策略；批处理脚本则需确认.bat/.cmd未被组策略禁用
结合软件安装策略批量部署客户端工具
像UltraVNC、IP-Guard、向日葵等远程或终端管控类工具，可通过MSI静默安装+预配置实现“开箱即用”。
- 在“计算机配置 → 策略 → 软件设置 → 软件安装”中，右键“新建 → 程序包”，指向网络共享中的MSI文件（如\dcdeployUltraVNC_1.4.3.6.msi）
- 选择“分配”模式（非“发布”），确保安装为系统级、自动修复启用、卸载策略可配
- MSI需提前集成配置：UltraVNC通过ultravnc.ini预设密码和端口；IP-Guard用OAgentInst.exe /S加参数指定服务器地址
- 部署前务必测试静默安装命令行是否真能无界面完成，避免卡在UI交互环节
配套验证与持续维护要点
自动化部署不是“设完就完”，后续验证和策略迭代才是长期可用的关键。
- 客户端执行gpupdate /force后，用gpresult /h report.html生成HTML报告，确认GPO已应用且无冲突
- 检查任务是否注册：schtasks /query /tn "GPO_Task_Name"；检查脚本是否执行：查看C:Windowsdebugusermode下的日志或脚本内写入的诊断文件
- 对关键任务启用历史记录：在计划任务属性→“历史记录”页勾选“启用任务历史记录”，便于排查失败原因
- 定期清理旧策略：停用不再需要的GPO，避免策略叠加导致意外行为；对测试OU先行验证再推广到生产OU
