登录批处理脚本对标准用户生效但管理员账户无效的问题排查

• 检查UAC管理员批准模式的影响
  本地管理员/域管理员默认处于UAC保护模式，登录时会自动过滤部分用户配置GPO。先手动右键以管理员身份运行批处理脚本：

  • 如果手动运行也失败，直接定位到权限问题；
  • 如果手动能成功，就是UAC的GPO过滤导致。可临时调整GPO设置：计算机配置>策略>Windows设置>安全设置>本地策略>安全选项>用户账户控制: 管理员批准模式中管理员的提升权限提示行为改为“不提示，直接提升”测试，或调整用户账户控制: 用于内置管理员账户的管理员批准模式（针对本地管理员）。

• 验证目标文件夹的权限配置
  DC上管理员桌面的文件夹需要确保：

  • NTFS权限：登录的管理员账户拥有读取+列出文件夹内容权限；
  • 共享权限：如果用的是管理员共享（比如\\DC\C$），确认该管理员有访问C$的权限，或者改成普通共享（如共享Desktop为DomainAdminDesktop），避免管理员共享的权限限制。

• 排查GPO的应用范围与筛选

  • 检查GPO的安全筛选，确保包含本地管理员组和域管理员组，或给Authenticated Users分配应用权限（注意安全风险）；
  • 在管理员登录的主机上运行gpresult /r命令，查看用户配置GPO是否被应用。如果显示“过滤: 拒绝(安全)”，调整GPO委派选项卡的权限，移除拒绝应用组策略的设置。

• 查看脚本执行日志与手动测试

  • 启用脚本日志：在GPO的用户配置>策略>Windows设置>脚本(登录/注销)中，勾选“记录脚本事件”，然后在事件查看器>Windows日志>应用程序里查看事件ID 1000（成功）或1001（失败）的具体错误；
  • 直接在管理员账户的命令行里运行批处理，查看输出的错误提示（如“拒绝访问”“路径不存在”），快速定位问题。

• 检查驱动器映射冲突
  管理员账户可能已占用映射盘符，在批处理开头添加net use Z: /delete /y（替换Z为你的映射盘符），先卸载已有映射再重新执行映射命令。

内容的提问来源于stack exchange，提问作者Alex N.