OU移动后GPO后台刷新未重新作用域的原因及自动处理方案问询

问题场景 #

在Windows Server 2019单DC域环境中执行了以下操作：

• 在Default Domain Controllers Policy（DDCP）中将计算机GPO刷新间隔缩短至2分钟；
• 启用「配置安全策略处理→即使组策略对象未更改也处理」；
• 将一台域控制器从Domain Controllers OU移出至未链接DDCP的其他OU。

预期结果：下次后台刷新（每2分钟一次）时，该DC应重新确定作用域并从已应用GPO中移除DDCP。
实际结果：该DC持续应用DDCP，直到手动运行gpupdate /force或重启；不带/force的gpupdate也无法移除该策略；GPO后台刷新事件已记录，但已应用GPO列表未变化。

核心问题 #

1. 组策略服务如何检测计算机对象已移至不同OU？
2. 启用「即使组策略对象未更改也处理」为何无法在后台刷新时检测到OU移动？
3. 是否可让DC在每次后台刷新时自动重新确定GPO作用域，无需gpupdate /force或重启？

解答 #

1. 组策略服务检测OU移动的机制 #

组策略服务（GPSvc）通过两个核心逻辑判断计算机OU位置变化：

• 对比本地缓存的计算机distinguishedName属性与AD中当前值：计算机移动OU后，该属性会直接变更，GPSvc在后台刷新时会发起AD查询，若发现值不一致，就会触发完整的GPO作用域重新计算，包括查询当前OU及上层的链接GPO列表。
• 检测OU的GPO链接版本号：当OU的gplink属性（控制GPO链接）修改时，OU的版本号会更新，GPSvc检测到版本变化也会重新计算作用域。

2. 「即使组策略对象未更改也处理」为何不生效 #

这个设置的作用范围仅局限于已确定作用域内的GPO内容重处理，不涉及作用域本身的重新检测：

• 它仅强制对当前已应用的GPO，即使GPO无修改也重新执行设置应用流程；
• 不会触发GPSvc主动检查计算机的OU位置变更，也不会重新查询AD获取当前OU的链接GPO信息——作用域校验属于独立的前置逻辑，不在该选项的覆盖范围内；
• 不带/force的gpupdate同样只针对现有作用域内的GPO刷新，不会触发OU位置的重新校验，因此无法移除DDCP。

3. 实现后台自动重新确定GPO作用域的方法 #

可以通过两种方式实现自动检测，无需手动操作：

• 修改注册表强制作用域校验：
  在DC的注册表HKLM\Software\Microsoft\Windows NT\CurrentVersion\Group Policy下，添加或修改RefreshDirectoryPolicy值为1（DWORD类型）。该键会强制GPSvc在每次后台刷新时，重新查询AD获取当前计算机的OU信息并重新计算GPO作用域，修改后需重启组策略服务（gpsvc）生效。
• 计划任务触发同步刷新：
  创建一个以本地系统权限运行的计划任务，每隔2分钟（与GPO刷新间隔一致）执行gpupdate /target:computer /sync命令。/sync参数会触发同步刷新，强制GPSvc重新检查OU位置和GPO作用域，资源消耗远低于/force。

内容的提问来源于stack exchange，提问作者MADATHI M it2018