通过 Active Directory 中的命令行使用启动脚本创建组策略对象

Question

我需要创建一个带有启动脚本的 GPO 来安装 MSI。

我尝试在 Microsoft 文档中搜索，但找不到允许我执行此操作的 cmdlet。我想知道这是否通过脚本以任何方式进行。

编辑：我发现

Set-GPRegistryValue

此命令可用于更改注册表值以更改GPO中的计算机和用户配置。经过更多研究，我发现脚本存储在

"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Startup

这个注册表值中，所以我尝试做这样的事情

    $key = "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Startup\0"
    Set-GPRegistryValue -Name $GPOName -Key "$key\0" -ValueName "Script" -Type String -Value $ScriptName
    Set-GPRegistryValue -Name $GPOName -Key "$key\0" -ValueName "Parameters" -Type String -Value ""
    Set-GPRegistryValue -Name $GPOName -Key "$key\0" -ValueName "IsPowershell" -Type DWord -Value 0
    Set-GPRegistryValue -Name $GPOName -Key $key -ValueName "DisplayName" -Type String -Value "Install AnyDesk"
    Set-GPRegistryValue -Name $GPOName -Key $key -ValueName "FileSysPath" -Type String -Value $scriptsFolderPath
    Set-GPRegistryValue -Name $GPOName -Key $key -ValueName "GPO-ID" -Type String -Value $gpoId
    Set-GPRegistryValue -Name $GPOName -Key $key -ValueName "SOM-ID" -Type String -Value $domainDN
    Set-GPRegistryValue -Name $GPOName -Key $key -ValueName "GPOName" -Type String -Value $GPOName

但我不能这个脚本甚至没有正确设置第一个注册表项，我不知道我哪里出了问题。

Answer 1

通常情况下，Active Directory 域 GPO 会集中创建一次，并会根据 GPO 设置自动应用于 Active Directory 域成员 PC 和 Active Directory 用户。

在这种情况下，据我所知，您正在尝试在 GPO（用于设置注册表值的启动脚本）内创建 GPO。如果 PC 是域成员，请编辑一次中央 GPO 以包含 MSI 设置并将其应用到计算机。如果 PC 不是域成员，它们将变得难以管理，因此每台 PC 都应进行不同的设置。

我的建议是：如果您无法将客户端计算机 (PC) 添加到 Active Directory 域，则在其中一台 PC 上工作并准备该 PC 进行 MSI 设置，并将 MSI 设置包含在计算机的本地 GPO 中。如果由于某种原因该策略安装的软件被损坏或 PC 重新安装完成，则下次应用该策略时本地 GPO 将安装该特定软件。当参考 PC 本地策略获得批准后，您可以导出策略并使用 LGPO.exe 实用程序导入到其他 PC。

LGPO 实用程序 参考：https://techcommunity.microsoft.com/t5/microsoft-security-baselines/lgpo-exe-local-group-policy-object-utility-v1-0/ba-p/701045

正如我在上面试图强调的，如果 PC 是域成员，则不需要导出/导入本地 GPO。 GPO 使用组策略管理控制台 (GPMC) 在域控制器上定义一次。然后，它会自动应用于范围落入所应用的 GPO 边界的域成员（域 GPO 可以应用于站点、域、OU，并且可以使用其他 WMI 过滤将策略仅应用于相关站点、OU 中选定的 PC/用户,域名..