组策略实战：如何通过域控DC高效分发.bat脚本

1. 为什么需要域控分发.bat脚本

在企业IT管理中，经常遇到需要批量收集终端信息或执行统一操作的需求。比如收集所有电脑的SN码、统一设置系统参数、部署安全补丁等场景。如果一台台手动操作，不仅效率低下，还容易出错。这时候，通过域控制器（DC）的组策略功能分发.bat脚本就成了最佳解决方案。

我管理过500+终端的企业网络，最头疼的就是收集硬件信息。后来发现用组策略推送.bat脚本，10分钟就能完成所有终端的数据采集。相比手动操作，效率提升至少50倍。这种方案特别适合需要定期执行重复性任务的情况，比如月度资产盘点、安全合规检查等。

.bat脚本的优势在于：

• 兼容性强：从Windows XP到Win11都能运行
• 开发简单：用记事本就能编写，不需要复杂环境
• 权限要求低：普通用户权限即可执行大部分操作
• 便于调试：可以直接在本地测试效果

2. 准备工作：搭建脚本分发环境

2.1 创建共享文件夹

首先需要在域控服务器上建立共享文件夹，这是整个方案的基础。我习惯在D盘创建名为Scripts的共享目录，路径为\\dc01\Scripts。实际操作中要注意：

mkdir D:\Scripts icacls D:\Scripts /grant "Domain Users:(RX)" net share Scripts=D:\Scripts /grant:Everyone,READ

这三条命令分别完成：

1. 创建物理目录
2. 给域用户设置读取执行权限
3. 创建共享并配置权限

特别注意：共享权限和NTFS权限要同时配置。我遇到过只设共享权限导致脚本执行失败的情况，排查了半天才发现是NTFS权限没给够。

2.2 编写测试脚本

先准备一个简单的测试脚本test.bat，内容如下：

@echo off echo %DATE% %TIME% >> \\dc01\Scripts\log.txt hostname >> \\dc01\Scripts\log.txt

这个脚本会记录执行时间和主机名到共享目录的log.txt文件。建议先用这个简单脚本测试分发功能是否正常，避免直接使用复杂脚本导致问题难以排查。

3. 配置组策略分发脚本

3.1 创建组策略对象

打开"组策略管理"控制台，右键"组策略对象"选择新建。我通常按"功能+日期"的格式命名，比如Script_Deploy_202408。创建完成后右键编辑，进入"用户配置→策略→Windows设置→脚本"。

经验之谈：建议为不同类型的脚本创建独立的GPO。比如信息收集类、系统配置类分开管理。这样后期维护时更容易定位问题。

3.2 设置脚本路径

在"登录/注销"属性中添加脚本路径时，必须使用UNC路径（\\server\share\script.bat）。我踩过的坑包括：

• 使用了本地路径（如C:\scripts），导致其他电脑找不到文件
• 路径包含空格没加引号，导致执行失败
• 忘记勾选"运行脚本可见"，调试时看不到错误信息

正确的配置示例：

\\dc01\Scripts\test.bat

3.3 配置安全筛选

默认情况下GPO会应用到所有用户，但有时我们需要限定范围。比如只给市场部的电脑收集信息。这时可以在GPO的"安全筛选"中添加特定安全组。

操作步骤：

1. 在AD中创建安全组（如"Script_Market"）
2. 将目标用户加入该组
3. 在GPO安全筛选中添加这个组，并赋予"读取和应用组策略"权限

4. 实战：收集电脑SN码的完整方案

4.1 编写SN收集脚本

创建一个get_sn.bat脚本，内容如下：

@echo off for /f "tokens=2 delims==" %%a in ('wmic bios get serialnumber /value') do set sn=%%a echo %COMPUTERNAME%,%sn%,%USERNAME% >> \\dc01\Scripts\sn_report.csv

这个脚本通过WMIC命令获取BIOS序列号，并记录电脑名、用户名到CSV文件。我在实际使用中发现，某些品牌机的WMIC返回值需要特殊处理，可以增加错误处理逻辑：

if "%sn%"=="" ( for /f "tokens=2 delims=:" %%b in ('systeminfo ^| findstr /C:"Serial Number"') do set sn=%%b )

4.2 配置组策略部署

按照第3章的步骤创建GPO后，还需要注意：

1. 设置脚本执行超时为300秒（默认60秒可能不够）
2. 启用"异步运行脚本"提高性能
3. 在"计算机配置→策略→管理模板→系统→组策略"中调整脚本等待时间

4.3 验证脚本执行效果

部署后如何验证是否成功？我常用的方法有：

1. 在客户端运行gpupdate /force强制更新策略
2. 查看事件查看器中的"应用程序和服务日志→Microsoft→Windows→GroupPolicy"
3. 直接检查共享目录下是否生成sn_report.csv文件

如果脚本没执行，最常见的三个原因是：

1. 共享权限不足（建议先用test.bat测试）
2. 组策略没应用到目标OU
3. 脚本本身有语法错误（先在本地测试）

5. 高级技巧与故障排查

5.1 脚本执行顺序控制

当需要部署多个脚本时，执行顺序很重要。比如先收集信息再执行配置。在组策略中可以通过编号来控制：

01_precheck.bat 02_collect.bat 03_configure.bat

我建议在脚本名前面加数字前缀，这样在GPO界面会按数字顺序显示和执行。

5.2 日志记录与错误处理

完善的日志能大幅降低维护成本。建议所有脚本都添加日志功能：

@echo off set LOGFILE=\\dc01\Scripts\%COMPUTERNAME%_%DATE:/=-%.log echo [%TIME%] 开始执行脚本 >> %LOGFILE% :: 主逻辑代码 if %ERRORLEVEL% neq 0 ( echo [%TIME%] 执行失败，错误码：%ERRORLEVEL% >> %LOGFILE% exit /b %ERRORLEVEL% ) echo [%TIME%] 执行成功 >> %LOGFILE%

5.3 常见故障排查指南

问题1：脚本已部署但没执行

• 检查gpresult /h report.html确认GPO是否应用成功
• 查看客户端C:\Windows\Debug\UserMode\gpsvc.log日志
• 确认客户端时间与域控同步（超过5分钟差异会导致Kerberos认证失败）

问题2：脚本执行但没达到预期效果

• 在脚本开头添加pause命令观察执行过程
• 检查脚本是否被安全软件拦截
• 确认脚本使用的命令在目标系统可用（比如Win7和Win10的WMIC参数可能有差异）

问题3：权限不足导致文件写入失败

• 在脚本中使用whoami /all确认执行上下文
• 检查共享文件夹的Everyone权限是否被覆盖
• 测试手动复制文件到目标位置是否成功

6. 安全加固与性能优化

6.1 脚本签名与执行策略

为防止恶意脚本执行，建议：

1. 对部署的.bat文件进行数字签名
2. 在组策略中配置"只允许签名脚本执行"
3. 设置脚本的NTFS权限为"只读"

签名方法示例：

$cert = New-SelfSignedCertificate -Type CodeSigningCert -Subject "CN=CompanyScriptSigning" Set-AuthenticodeSignature -FilePath .\deploy.bat -Certificate $cert

6.2 大规模部署的性能优化

当终端数量超过500台时，需要注意：

1. 将脚本文件复制到多台分布式文件服务器
2. 在组策略中设置"慢速链接检测"阈值
3. 采用分批次部署策略（先测试组，再逐步扩大范围）
4. 避免登录脚本执行耗时操作（超过30秒会影响用户体验）

6.3 替代方案对比

除了组策略，还有其他脚本分发方式：

1. SCCM：适合复杂场景，但配置繁琐
2. 计划任务：通过GPO部署计划任务更灵活
3. PowerShell远程执行：需要开启WinRM服务

经过实测，对于简单的信息收集任务，组策略分发.bat脚本仍然是性价比最高的方案。特别是在混合环境（不同Windows版本共存）下，兼容性最好。