gpresult

查看用户和计算机实际应用的组策略结果。

补充说明

gpresult 生成 RSoP（策略结果集）：哪些 GPO 应用了、哪些被拒绝、每条设置的获胜值、相关的安全组和 WMI 筛选。排查“为什么这条策略没生效”时，它比反复执行 gpupdate /force 有用得多。

边界：它报告当前已应用的结果，不是域里 GPO 的定义；要看 GPO 本身配置用 GPMC 或 Get-GPOReport。/r 是摘要，/v//z 很详细但冗长，/h 生成 HTML 最直观。普通权限通常只能看用户部分，计算机策略需要管理员权限。

Windows 10/11 行为一致。PowerShell 的 Get-GPResultantSetOfPolicy（RSAT）可生成 XML/HTML，适合自动化归档；gpresult.exe 在所有 Windows 客户端和服务器上都有，不依赖 RSAT。

常用示例

# 1. 摘要：当前用户和计算机应用了哪些 GPO
gpresult /r

# 2. 只看计算机策略（需管理员）
gpresult /r /scope:computer

# 3. 只看用户策略
gpresult /r /scope:user

# 4. 详细模式：逐条列出获胜设置和来源 GPO
gpresult /v

# 5. 生成 HTML 报告，含筛选原因和获胜 GPO，最适合排障
gpresult /h C:\Temp\gpresult.html /f

# 6. 查另一个用户的策略结果（需管理员）
gpresult /user DOMAIN\alice /r

# 7. 远程计算机生成报告（需管理员和防火墙放行）
gpresult /s 192.168.1.20 /u DOMAIN\admin /p * /h C:\Temp\pc01.html /f

易错点与排错

• /r 里出现“已拒绝的 GPO”：常见原因是安全筛选（用户/计算机不在 GPO 的委派或安全组）、WMI 筛选或链接被禁用；打开 HTML 报告看具体拒绝原因。
• 普通 CMD 看不到计算机策略或报拒绝访问：以管理员运行；UAC 拆分令牌也会影响可见范围。
• 报告是“当前结果”：刚改完 GPO 还没 gpupdate 时看到的是旧状态；先刷新再生成，或对比刷新前后的报告。
• 同一设置被多个 GPO 配置：看“获胜的 GPO”和优先级（链接顺序、Enforced、Block Inheritance），不要只看最后修改时间。
• /h 路径含空格要加引号；文件被浏览器/Excel 占用时 /f 覆盖可能失败，先关闭占用程序。
• 登录慢但报告看不出明显错误：结合 HTML 里的处理时间和事件日志 Microsoft-Windows-GroupPolicy/Operational，检查登录脚本、驱动器映射和网络等待。
• 远程失败：防火墙未放行 RPC/WMI、账号权限不足、目标不在域；先用 gpresult /s ... /r 做小范围验证。
• gpresult 不能修改策略，也不能替代组策略建模/规划；要预判结果用 GPMC 建模或 Get-GPOReport。

相关命令

• gpupdate — 刷新策略后再生成结果
• whoami — 确认用户和组，排查安全筛选
• systeminfo — 确认域、系统版本和网络上下文
• systemctl — Linux 配置生效检查的对照思路

参考链接

• Microsoft Learn: gpresult
• Microsoft Learn: gpupdate

读完自测

合上页面，先回答，再展开对照。

1. 策略没生效时，应该先 gpupdate /force 还是先 gpresult？为什么？
2. 为什么普通 CMD 窗口看不到计算机策略？
3. HTML 报告里应重点看哪两类信息？