继承混乱AD DS环境，修复默认GPO时dcgpofix异常求助

老兄，我太懂你接手这种混乱AD环境的崩溃了——默认域策略（Default Domain Policy）和域控制器默认策略（Default Domain Controller Policy）被人乱改一通，还搞出普通用户能在域控制器上“作为批处理作业登录”这种离谱权限漏洞，连dcgpofix都掉链子，这简直是AD管理员的噩梦。别慌，咱们一步步来把这个烂摊子收拾好：

第一步：先排查dcgpofix失败的根因 #

dcgpofix翻车通常逃不开这几个原因，先挨个查：

• 权限不够：你得用Enterprise Admins组成员的身份运行命令！光是Domain Admins可能不够，毕竟默认策略是整个域的核心，得有最高级权限。同时确保你在域控制器本地拥有管理员权限。
• 策略文件损坏：默认策略存在%systemroot%\sysvol\sysvol\<你的域名>\Policies目录下，对应的固定GUID：
  • Default Domain Policy：{31B2F340-016D-11D2-945F-00C04FB984F9}
  • Default Domain Controller Policy：{6AC1786C-016F-11D2-945F-00C04FB984F9}
    进去看看这些文件夹里的GPT.ini、脚本文件是不是损坏，或者权限是不是被改得面目全非。
• AD数据库/复制问题：在域控制器上跑repadmin /showrepl检查域复制是否正常，再用dcdiag做一次全面的AD健康检查，确保数据库没有一致性错误。

第二步：如果dcgpofix救不回来，手动重建默认策略 #

要是排查后dcgpofix还是躺平，咱们手动来兜底：

1. 先备份当前混乱的策略（留个后手）：
   用robocopy把两个默认策略文件夹备份到安全位置，比如：

   robocopy "%systemroot%\sysvol\sysvol\<你的域名>\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}" "D:\AD_GPO_Backups\DefaultDomainPolicy" /E
   robocopy "%systemroot%\sysvol\sysvol\<你的域名>\Policies\{6AC1786C-016F-11D2-945F-00C04FB984F9}" "D:\AD_GPO_Backups\DefaultDCPolicy" /E
   

2. 彻底清除被篡改的默认策略对象：
   • 打开组策略管理控制台（GPMC），找到Default Domain Policy，右键删除时勾选「删除此组策略对象及其所有链接」，对Default Domain Controller Policy做同样操作。
   • 去%systemroot%\sysvol\sysvol\<你的域名>\Policies目录，删掉对应的两个GUID文件夹。
   • 打开AD用户和计算机，勾选「查看」→「高级功能」，找到「System」→「Policies」容器，删掉里面对应的两个GUID对象。
3. 重新生成纯净的默认策略：
   以管理员身份打开命令提示符，分别运行：

   dcgpofix /target:domain /ignoreschema
   dcgpofix /target:dc /ignoreschema
   

   小贴士：/ignoreschema参数可以绕过AD架构版本兼容问题，要是你的域是较新的架构版本，加这个参数大概率能避免报错。

第三步：修复权限漏洞（比如普通用户的“作为批处理作业登录”权限） #

默认情况下，域控制器上这个权限只能给Administrators和Backup Operators组，咱们把它改回来：

• 直接在域控制器上打开本地安全策略，找到「本地策略」→「用户权限分配」→「作为批处理作业登录」，删掉所有不该存在的用户/组，恢复默认配置。
• 或者通过刚重建的Default Domain Controller Policy来统一配置，确保这个权限的设置是合规的。

第四步：给后续加个保险，别再踩坑 #

吃一堑长一智，以后绝对不能再让默认策略被乱改：

• 禁止直接修改默认策略：所有自定义配置都要新建独立的GPO，链接到对应的OU上，默认策略只保留系统原生的核心设置。
• 给默认策略加权限锁：在GPMC里右键默认策略→「属性」→「安全」，只给Domain Admins、Enterprise Admins组分配「读取」和「应用组策略」权限，其他用户/组一律设置「拒绝」所有不必要的权限。
• 定期备份GPO：用gpbackup命令或者GPMC的备份功能，定期备份所有GPO，尤其是默认策略，出问题了能快速恢复。

内容的提问来源于stack exchange，提问作者Ashley