更新 Windows 域计算机上的组策略设置

在本文中，我们将展示如何更新 Active Directory 域中的 Windows 计算机上的组策略 (GPO) 设置：如何自动更新（刷新）组策略、如何使用

GPUpdate

命令，如何使用组策略管理控制台远程更新它们（

GPMC.msc

） 或者

Invoke-GPUpdate

PowerShell cmdlet。

如何更改组策略刷新间隔？

在将本地或域组策略 (GPO) 中设置的新设置应用于 Windows 客户端之前，组策略客户端服务必须读取策略并对 Windows 设置进行更改。该过程称为组策略更新。 GPO 设置会在计算机启动、用户登录时更新，并每 90 分钟 + 0-30 分钟的随机时间偏移在后台自动刷新（这意味着在域控制器上更新 GPO 文件后的 90-120 分钟内，策略设置肯定会应用到客户端）。

默认情况下，域控制器更频繁地更新 GPO 设置：每 5 分钟一次。

您可以使用 GPO 的“计算机配置”->“管理模板”->“系统”->“组策略”部分中的为计算机设置组策略刷新间隔选项来更改 GPO 更新间隔。

启用策略并设置以下选项的时间（以分钟为单位）：

• 此设置允许您自定义将组策略应用于计算机的频率（0 到 44640 分钟）客户端应在后台刷新 GPO 设置的频率。如果这里设置0，策略将每7秒更新一次（不值得这样做）；

• 这是添加到刷新间隔的随机时间，以防止所有客户端同时请求组策略（0 到 1440 分钟）是作为先前参数的偏移量添加的随机时间间隔的最大值（用于减少同时客户端调用 DC 下载 GPO 文件的数量）。

请注意，频繁的 GPO 更新会导致域控制器的流量增长，并导致更高的网络负载。

使用 GPUpdate.exe 命令强制刷新 GPO 设置

所有管理员都知道gpupdate.exe 命令，该命令允许更新计算机上的组策略设置。为此，大多数人使用

gpupdate /force

毫不犹豫的下令。该命令强制您的计算机从域控制器读取所有 GPO 并重新应用所有设置。这意味着，当使用 force 键时，客户端会连接到域控制器以检索针对其的所有策略的文件。它可能会导致网络和域控制器上的负载更高。

一个简单的

gpudate

不带任何参数的命令仅应用新的和更改的 GPO 设置。

如果成功，将显示以下消息：

Updating policy...
Computer Policy update has completed successfully.
User Policy update has completed successfully.

如果某些策略或设置尚未应用，请使用 gpresult 命令诊断问题，并按照导致组策略未应用的常见问题一文中的说明进行操作

您只能更新用户的 GPO 设置：

gpupdate /target:user

或仅计算机的策略设置：

gpupdate /target:computer /force

如果某些策略无法在后台更新，gpupdate可以注销当前用户：

gpupdate /target:user /logoff

或者重新启动计算机（如果 GPO 更改只能在 Windows 启动时应用）：

gpupdate /Boot

如何从组策略管理控制台 (GPMC) 强制执行远程 GPO 更新？

在 Windows Server 2012 及更高版本中，您可以使用以下命令远程更新域计算机上的组策略设置：

GPMC.msc

（组策略管理控制台）。

在 Windows 10 中，您必须安装 RSAT 才能使用 GPMC 控制台：

Add-WindowsCapability -Online -Name Rsat.GroupPolicy.Management.Tools~~~~0.0.1.0

然后，在更改任何设置或创建并链接新的 GPO 后，只需右键单击 GPMC 中所需的组织单位 (OU)，然后在上下文菜单中选择组策略更新即可。在新窗口中，您将看到将更新 GPO 的计算机数量。单击是确认强制更新策略。

然后，GPO 将在 OU 中的每台计算机上一一远程更新，您将获得结果以及计算机上的组策略更新状态（成功/失败）。

此功能在任务计划程序中创建一个任务

GPUpdate.exe /force

远程计算机上每个登录用户的命令。该任务在随机时间段（最多 10 分钟）内运行以减少网络负载。

为了使 GPMC 远程 GPO 更新功能在客户端上运行，必须满足以下条件：

• Windows Defender 防火墙规则中必须打开 TCP 端口 135；

• 必须启用 Windows Management Instrumentation 和任务计划程序服务。

如果计算机已关闭或防火墙阻止对其的访问，则“

The remote procedure call was canceled. Error Code 8007071a

’消息出现在计算机名称旁边。

实际上，该功能的工作原理与您使用手动更新 GPO 设置相同

GPUpdate /force

每台计算机上的命令。

Invoke-GPUpdate：通过 PowerShell 强制远程组策略更新

您还可以使用 Invoke-GPUpdate PowerShell cmdlet（属于 RSAT 组策略管理模块的一部分）在计算机上调用远程 GPO 更新。例如，要远程更新特定计算机上的用户策略设置，您可以使用以下命令：

Invoke-GPUpdate -Computer "frparsrv12" -Target "User"

如果运行不带任何参数的 Invoke-GPUpdate cmdlet，它将更新当前计算机上的 GPO 设置（如 gpudate.exe）。

与 Get-ADComputer cmdlet 一起使用，您可以更新特定 OU 中所有计算机上的 GPO：

Get-ADComputer -filter * -Searchbase "OU=Computes,OU=Mun,OU=DE,dc=a-d,dc=com" | foreach{ Invoke-GPUpdate -computer $_.name -force}

或者在满足特定要求的所有计算机上（例如，在域中的所有 Windows Server 主机上）：

Get-ADComputer -Filter {enabled -eq "true" -and OperatingSystem -Like '*Windows Server*' }| foreach{ Invoke-GPUpdate -computer $_.name -RandomDelayInMinutes 10 -force}

您可以使用RandomDelayInMinutes设置随机偏移来更新GPO。因此，如果同时更新多台计算机上的组策略设置，则可以减少网络负载。要立即应用组策略设置，

RandomDelayInMinutes 0

使用参数。

对于不可用的计算机，Invoke-GPUpdate 命令返回以下错误：

Invoke-GPUpdate: Computer "frparsrv12" is not responding. The target computer is either turned off or Remote Scheduled Tasks Management Firewall rules are disabled.

如果您运行

Invoke-GPUpdate

cmdlet 远程或从 GPMC 更新 GPO，这是一个正在运行的控制台窗口

gpupdate

命令可能会在用户桌面上出现很短的时间。