我刚刚在公司安装了“Windows Server Update Services”（WSUS）服务器，以便为 Windows Server 计算机提供更新。现在我想在服务器 OU 中设置 GPO，以强制它们从 WSUS 获取更新，但我无法让它工作。我所做的是：
- 创建了一个名为“WSUS”的 GPO，并在“指定内部网 Microsoft 更新服务位置”、“配置自动更新”和“启用客户端定位”处进行了必要的设置（位于“计算机配置”>“Windows 组件”>“Windows 更新”下）。
- 创建一个名为“MyServers”的一级组织单位，并将我的服务器从“计算机”容器移动到此 OU。
- 在该 OU 内创建一个名为“MyServersGroup”的组，其中包含“MyServers”内的计算机（OU 和组包含相同的服务器）。
- 将 GPO 链接到“MyServers”OU，并在安全过滤器中添加具有“读取”和“应用组策略”权限的“MyServersGroup”（我没有删除“Autenticated users”组）。
- 在我的域控制器服务器中运行“gpupdate /force”命令，然后在“MyServers”OU 内的其中一台服务器中运行该命令，我们称之为 FileServer。
并且该政策不适用。
当我在 FileServer 机器中运行“GPResult /F /H report.html”时，系统并未显示已应用的策略，而是只应用了“默认域策略”，该策略在“计算机配置”部分中有一些设置，但在我配置的键中没有。该 GPO 链接到域根目录，仅影响“经过身份验证的用户”组。
在 report.html 文件中，甚至没有出现“WSUS”字符串，因为“Winning GPO”始终是“默认域策略”。为什么我的策略无法应用？我不明白为什么会发生这种情况......
编辑：现在我已删除“MyServersGroup”并配置了“组策略建模向导”。它显示 WSUS 策略与默认策略一起应用，但在 FileServer 中该策略尚未应用（我运行了 gpupdate 以防万一）。
答案1
该组不是必需的：如果您将 GPO 链接到 OU 并将您的计算机放在该 OU 内，则 GPO 将自动应用于那些计算机；您不需要为此创建一个组。
我认为正在发生的事情是：基于组成员身份的 GPO 安全过滤实际上是阻塞GPO 无法应用，因为服务器只有在重新启动后才能被识别为该组的成员（就像用户注销并再次登录后才会刷新组成员身份一样）。