Windows Server 2003 群組原則疑難排解六大核心策略

前言：善用 GPMC 快速定位原則應用異常

群組原則功能強大，但結果常超出預期。微軟免費提供的群組原則管理主控台 (GPMC)內建原則結果集 (RSoP)精靈，能直觀顯示特定使用者/電腦的原則套用狀態，是排查首選工具。

六大常見故障場景與解決方案

1. 特定使用者/電腦原則產生非預期結果

現象： 新建 GPO 未套用至目標對象。
排查： GPMC 中查看 RSoP 報告。圖例顯示預設網域原則被 WMI 篩選器拒絕，因 WMI 誤判目標為 Windows XP Professional，實際登入的是 Windows Server 2003。

圖 A：名為 RAS 伺服器上 Administrator 的 RSoP

圖 B：WMI 篩選器指向 Windows XP Pro
對策： 修正 WMI 篩選器條件，或移除不適用的篩選器。亦可使用 gpresult.exe（Resource Kit 工具）查看詳細資訊。

2. 未通過 WMI 篩選仍套用至 Windows 2000

原因： WMI 篩選器僅支援 Windows XP/Server 2003 以上用戶端，Windows 2000 忽略篩選器直接套用原則。
對策： 為 Windows 2000 建立獨立 OU 並連結專用 GPO，或升級用戶端作業系統。

3. 原則無法套用至 Windows NT/9x

限制： 僅 Windows 2000 以上版本支援群組原則，早期系統不支援。
對策： 使用系統原則 (poledit) 或升級用戶端。

4. 無法管理 GPO 權限不足

排查： GPMC 選取 GPO → 「委派」索引標籤查看權限。圖例顯示「Authenticated Users」僅有「讀取」權限。

圖 C：GPO 安全性資訊
對策： 以具備編輯權限的帳號登入，或將原管理員加入擁有權限的安全性群組（建議採用群組授權而非直接指派給使用者）。

5. GPO 已更新但用戶端未生效

可能原因與對策：

• 網域控制站複寫延遲： 多 DC 環境需等待複寫完成，可用 GPOTool (Resource Kit) 驗證複寫狀態。執行 gpotool 顯示所有原則狀態，若出現不一致需修正複寫拓撲。
• 用戶端更新週期： 預設 90±30 分鐘背景更新。立即生效觸發條件：使用者登入、系統啟動、執行 gpupdate /force。

6. GPO 顯示為「空白」

含義： GPO 內未設定任何原則。
對策： (1) 編輯 GPO 加入所需設定；(2) 若不再需要，在 GPMC 右鍵 GPO → 取消勾選「連結已啟用」解除與網域/OU 關聯。

圖 D：移除 GPO 與網域連結

進階知識：原則複寫機制

群組原則依賴兩種複寫：Active Directory 複寫處理 GPC（原則容器，含套用範圍資訊）；檔案系統複寫 (FRS/DFSR)處理 SYSVOL 共享（含每個 GPO 的範本檔）。僅 AD 複寫可強制執行 (repadmin /syncall)，SYSVOL 複寫需等待排程。

結語

善用 GPMC 的 RSoP 分析與 GPOTool 複寫驗證，配合理解複寫機制與用戶端更新週期，可高效解決 90% 以上群組原則疑難雜症。