在 Windows Server 中创建新 GPO 需先启用 GPMC 并确保域管理员权限，再通过 gpmc.msc 打开控制台、定位到“组策略对象”节点右键新建并命名，最后链接到站点/域/OU 才能生效。
在 windows server 中打开组策略管理控制台（gpmc）并创建新的 gpo，核心是两步：先确保环境就绪，再通过图形界面新建对象。整个过程不需命令行或脚本，纯操作导向。
确认系统与权限前提
不是所有 Windows Server 都默认带 GPMC——它需要手动启用或已预装：
- Windows Server 2008 及更高版本（如 2012/2016/2019/2022）默认包含 GPMC，可直接使用；
- 若为精简安装或 Core 版本，需通过“服务器管理器 → 添加角色和功能 → 管理工具 → 组策略管理”启用；
- 当前登录账户必须属于“域管理员”“企业管理员”或“组策略创建者所有者”组，否则无法新建或链接 GPO；
- 确保 DNS 正常、能访问域控制器，否则 GPMC 打开后可能显示为空或报错“无法连接到域”。
打开 GPMC 并定位到目标域
按标准方式启动控制台，并导航到正确位置：
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 按 Win + R，输入 gpmc.msc，回车；
- 或在“开始菜单”搜索栏中输入“组策略管理”，点击对应结果；
- 左侧树形结构中，依次展开“林 → 域 → 你的域名”，找到下方的“组策略对象”节点；
- 注意：不要点错成“组策略建模”或“组策略结果”，那是分析工具，不是创建入口。
新建未链接的 GPO
新建 GPO 默认处于“未链接”状态，适合先配置再部署，避免误影响生产环境：
- 在“组策略对象”节点上右键 → 选择“新建”；
- 在弹出窗口中输入有意义的名称（例如“禁止USB存储设备-测试版”），点击“确定”；
- 新 GPO 会立即出现在列表中，“链接”列显示为空，状态为“未链接”；
- 此时可右键该 GPO → “编辑”，进入组策略管理编辑器配置具体策略（如计算机配置/用户配置下的各项设置）。
后续关键动作（非创建但必须做）
新建只是第一步，真正生效还需完成链接与范围控制：
- 右键新建的 GPO → “链接到”，然后选择目标：站点、域或某个 OU（推荐链接到 OU，粒度更细）；
- 链接后可在“链接顺序”中拖动调整优先级，数字越小越靠前；
- 如需阻止上级策略继承，可在目标 OU 上右键 → “阻止继承”；如需强制覆盖，可在链接上右键 → “强制”；
- 策略不会立即生效，客户端通常需运行 gpupdate /force 或等待刷新周期（默认 90 分钟+随机偏移）。
