域控制器组策略复制状态异常问题咨询

看起来你遇到的是GPO ACL（访问控制列表）同步的问题，而非GPO内容本身的复制故障——这也解释了为什么你能看到GPO在DC间同步，但GPM的状态检测会报DC03的ACL复制仍在进行中。我给你几个实际运维里常用的排查和解决思路：

• 先查事件日志找线索
  直接去DC03的事件查看器里，重点看「目录服务」和「组策略」这两个日志频道。找和AD复制、GPO权限相关的错误事件（比如事件ID 1084、1955），这些日志会明确告诉你是哪个GPO的ACL同步出了问题，或者是DC之间的权限传递环节卡在哪了，比瞎猜高效多了。

• 用AD复制工具确认复制链路健康
  打开管理员身份的命令提示符，在DC03上运行这两个命令：

  • repadmin /showrepl DC03：查看DC03和其他DC的复制链路状态，重点关注GPO存储分区（即CN=Policies,CN=System,DC=你的域名,DC=xxx这个容器）相关的复制任务，有没有失败的条目。
  • repadmin /replsummary：生成整体的复制健康报告，看看有没有累积的复制错误，或是DC03和其他DC的复制延迟是否过高。

• 检查GPO的ACL配置是否有异常
  如果日志里提示了具体的GPO，直接在组策略管理里找到这个GPO，打开它的「权限」选项卡，看看有没有这些情况：

  • 存在已删除的用户/组权限条目（安全主体显示为S-1-5-xx这类SID）
  • 权限配置本身有冲突，比如某个主体同时被设置了允许和拒绝的权限
    要是没明确的GPO，就重点检查最近修改过的GPO，大概率是这些GPO的ACL出了问题。

• 手动触发ACL同步试试
  找一台同步正常的DC（比如DC02），打开「AD用户和计算机」，先勾选「查看」菜单里的「高级功能」，然后找到「System」容器下的「Policies」文件夹，右键选「属性」，切换到「复制」选项卡，选中DC03，点击「立即复制」，等几分钟后再回到GPM里点「Detect Now」看看状态有没有变化。

• 确认DC03的AD权限是否足够
  要确保DC03的计算机账户在AD的「System\Policies」容器上有读取和写入的权限——如果这个权限被误删或者修改，会导致它无法同步其他DC推送的GPO ACL配置。

一般来说，临时的复制延迟也可能出现这个提示，但如果持续存在，按上面的步骤排查，基本能定位到问题所在。

备注：内容来源于stack exchange，提问作者Mrc89