AGPM受控GPO环境下PowerShell编辑防火墙规则失效问题咨询

AGPM（高级组策略管理）对GPO的管控逻辑和普通域GPO完全不同，你的代码失效主要源于以下几个关键变化：

• PolicyStore参数的目标错误
  普通GPO的PolicyStore格式是domain.com\GPO名称，但AGPM签出后，受控GPO的工作副本存储在AGPM本地缓存中，对应的PolicyStore路径是AGPM://<AGPM服务器FQDN>/<GPO GUID>/Working（部分环境支持简化为AGPM://<服务器名>/<GPO名称>/Working）。你的原有代码如果仍指定域GPO的PolicyStore，实际修改的是域中被AGPM锁定的原始GPO，AGPM会静默拦截这类直接修改，且NetFirewall cmdlets无法感知AGPM的锁定逻辑，因此不会返回报错。

• AGPM的变更管控流程要求
  普通GPO修改后会直接同步到域控制器，但AGPM受控GPO的变更必须遵循签出→修改工作副本→签入→部署的完整流程：

  1. 签出后，AGPM会在本地创建独立的工作副本，所有修改必须针对这个副本；
  2. 用PowerShell完成修改后，必须通过AGPM命令或控制台完成签入，否则修改仅停留在本地工作副本，不会同步到AGPM服务器；
  3. 最后需要部署GPO，才能将变更推送到域控制器并让客户端生效。
     你的代码仅完成了修改步骤，未遵循AGPM的签入/部署流程，导致修改无法生效。

• AGPM的权限与隔离机制
  AGPM会对受控GPO设置额外的权限隔离，即使你拥有域GPO的编辑权限，若没有AGPM对应的编辑/部署权限，直接修改域GPO的操作会被静默拦截。此外，AGPM的工作副本与域GPO物理隔离，直接操作域GPO的修改不会同步到AGPM版本库。

1. 先获取AGPM工作副本的正确PolicyStore路径：

   $agpmGpo = Get-AGPMGpo -Name "你的受控GPO名称" -Status CheckedOut
   $policyStore = "AGPM://$($agpmGpo.DomainController)/$($agpmGpo.Id)/Working"
   

2. 使用该PolicyStore参数执行防火墙规则修改：

   $rule = Get-NetFirewallRule -Name "目标规则名称" -PolicyStore $policyStore
   $filter = Get-NetFirewallAddressFilter -AssociatedNetFirewallRule $rule
   $newAddresses = $filter.RemoteAddress + "192.168.1.100/32"
   Set-NetFirewallAddressFilter -AssociatedNetFirewallRule $rule -RemoteAddress $newAddresses
   

3. 完成修改后签入并部署GPO：

   CheckIn-AGPMGpo -Gpo $agpmGpo -Comment "添加防火墙规则允许IP"
   Deploy-AGPMGpo -Gpo $agpmGpo
   

内容的提问来源于stack exchange，提问作者powershellFan83