1.1 沿用现有环境#

FS01 的完整主机名仍为 QYNET-FS01.qy.net，访问统一使用 \\QYNET-FS01.qy.net\LabShare，不混用 IP、别名与完整域名。

沿用上一份实训的 OU=User,OU=SharePermissions,DC=qy,DC=net 和 OU=Group,OU=SharePermissions,DC=qy,DC=net。开始前重新核对三个用户的位置、启用状态与既有 GPO，不把历史截图当作本次实时检查结果。不修改 Organization 上已有 Software-GPO，也不修改 Policy-User、Policy-WSUS、默认域策略。

不移动 USER01，不配置环回，不在域根链接新策略，不改现有共享 ACL 来制造本次故障。本次只新增映射资格组及 ro、rw 的映射成员关系，保留已有共享授权。

2.1 GUI 准备#

管理端打开 dsa.msc：

1. 打开现有 SharePermissions/User，确认 lab_share_ro、lab_share_rw、lab_share_no 均存在、已启用且可登录 USER01。不移动用户、不重置密码、不添加管理员权限；如果之前清理时已禁用，确认仍用于实验后再启用。
2. 在现有 SharePermissions/Group 新建 GG_GPOLab_DriveMap，类型“安全”，作用域“全局”。
3. 只将 lab_share_ro、lab_share_rw 加入映射组；保留两人原有共享授权，确认 lab_share_no 没有额外授权。先记录原始成员关系，便于恢复临时变更。
4. 确认旧的两条 GG → DL 嵌套仍在。
5. 检查旧共享的 Modify 组共享权限已恢复 Change，不仍停留在上一份实验的 Read 故障状态。
6. 如发现重名对象，不覆盖；先确认用途，再替换本任务全部相关名称。

辅助查询：

1
# AD 管理端
2
Get-ADUser lab_share_ro | Select-Object Name,Enabled,DistinguishedName
3
Get-ADUser lab_share_rw | Select-Object Name,Enabled,DistinguishedName
4
Get-ADUser lab_share_no | Select-Object Name,Enabled,DistinguishedName
5
Get-ADGroupMember GG_GPOLab_DriveMap
6
Get-ADGroupMember GG_LabShare_Read
7
Get-ADGroupMember GG_LabShare_Modify
8
Get-ADGroupMember DL_LabShare_Read
9
Get-ADGroupMember DL_LabShare_Modify
10

11
# FS01 管理员：仅读取，不改 ACL
12
Get-SmbShareAccess -Name LabShare
13
(Get-Acl 'C:\ADLab\SharePermissions\Data').Access |
14
    Select-Object IdentityReference,FileSystemRights,AccessControlType,IsInherited

2.2 客户端基线：先证明共享本身可用#

FS01、DC、USER01 应已开机。分别用 ro、rw 登录 USER01，在自己的普通窗口：

1
whoami
2
whoami /groups
3
Resolve-DnsName QYNET-FS01.qy.net
4
Test-NetConnection QYNET-FS01.qy.net -Port 445
5
Get-Content '\\QYNET-FS01.qy.net\LabShare\readme.txt'
6

7
# 检查 R: 是否已被本地设备、旧映射或其他用途占用
8
net use
9
Get-PSDrive -PSProvider FileSystem

若 R: 已占用，停止，另选所有实验用户均空闲的固定盘符，并替换本篇各处；不删除他人的映射来腾位置。

ro 应能读取，rw 应能读写。先解决共享基线异常再部署映射，不把两类故障混在一起。遇到多套凭据冲突，不输入管理员账号“帮忙连接”，也不执行 net use * /delete。

3.1 创建与作用域#

GPMC（gpmc.msc）：

1. 展开 qy.net → SharePermissions → User。
2. 右键 User →“在这个域中创建 GPO 并在此处链接”。
3. 命名 LAB-GPO-User-DriveMap，确认链接启用、用户配置部分启用。
4. 本任务保留默认 Authenticated Users 的读取与应用权限，不收窄 GPO 安全筛选。
5. WMI 筛选保持“无”。访问资格在映射项内部的项目级目标筛选中区分。

这样 no 用户也可以处理到整份 GPO，但映射项不命中。这正是本次要观察的区别：GPO 已应用 ≠ 每个首选项都执行。

仅链接到 SharePermissions/User，不链接 SharePermissions 根层或 Organization。开始前确认该 User OU 没有未知非实验用户。

3.2 驱动器映射项#

编辑该 GPO：

“用户配置 → 首选项 → Windows 设置 → 驱动器映射”，右键 →“新建 → 映射驱动器”。

不要选择“使用第一个可用盘符，从……开始”，固定盘符更便于验证，也避免影响其他映射。首选项自动盘符的注意事项

不要设置替代连接账号，不保存域管理员密码。Drive Maps 扩展按用户上下文工作；“在登录用户的安全上下文中运行”在部分版本不可选，不把灰色选项本身当作故障，也不硬改成 SYSTEM。

3.3 项目级目标筛选（ILT）#

双击 R: 映射项，切换到“常用（Common）”页；本次截图的第一个“常规”页用于填写 UNC、操作和盘符，第二个“常用”页用于设置 ILT。

1. 勾选“项目级目标筛选（Item-level targeting）”，打开“目标”。
2. 新建目标项 →“安全组”。
3. 选择 qy\GG_GPOLab_DriveMap。
4. 条件选择 用户是组成员，不是“计算机是组成员”；不要取反。
5. 只保留这一条条件，不增加未知 AND／OR 条件。
6. 不勾选“仅应用一次且不重新应用”。
7. 本次不勾选“当不再应用项目时删除此项目”，未进行退出范围后的自动清理实验。
8. 保存，截图常规字段与完整目标条件。

GPO 安全筛选决定整份 GPO 的应用资格；ILT 决定其中某一项是否执行，两者不是同一个开关。项目级目标筛选

4.1 ro：映射成功不等于能写#

读取 R: 中 readme.txt，再在资源管理器尝试新建一个实验文本文件，记录拒绝结果。预期可以读取，不能写入。

4.2 rw：验证创建、修改、删除#

本次通过资源管理器验证 rw 的文件操作，操作记录包含创建、修改和删除；截图中实际使用的测试文件名为 testGPO，资源管理器隐藏了扩展名。

下图直接展示文件创建成功，修改和删除过程没有单独截图，不将这一张图视作全部操作的独立证明。后面的 drive-rw-test.txt 命令是等价复现示例，不是截图中实际执行的命令记录。

命令等价操作：

1
Get-Content 'R:\readme.txt'
2
Set-Content 'R:\drive-rw-test.txt' -Value '共享盘映射实训' -Encoding UTF8
3
Add-Content 'R:\drive-rw-test.txt' -Value '修改测试'
4
Get-Content 'R:\drive-rw-test.txt'
5
Remove-Item 'R:\drive-rw-test.txt' -Confirm

4.3 no：GPO 可以应用，但没有自动盘符#

no 不在映射组内，预期没有本实验 R:。其 gpresult 仍可能列出 LAB-GPO-User-DriveMap，不能因此认定 ILT 失效。

没有 R: 只证明没有这份映射；no 本次也没有共享授权，所以直接访问 UNC 预期被拒绝。两项结论分开记录。

这张截图证明 no 的整份 GPO 已处理、当前令牌未包含映射组；它没有展示“此电脑”或 net use，因此本报告不把“R: 不存在”写成截图直接确认的事实。

6.1 本次配置与观察#

截图展示了 ro、rw 的自动映射；ro 保持只读，rw 可以创建文件。no 的 gpresult 列出了同一 GPO，但其令牌没有映射资格组，说明不能把“整份 GPO 已应用”直接等同于“其中每个项目都会执行”。

6.2 本次真正需要记住的三层关系#

1. GPO 范围与权限：用户位置、链接、状态、安全筛选等决定整份 GPO 是否参与处理。
2. 映射项 ILT：本实验再根据 GG_GPOLab_DriveMap 的用户成员资格，决定是否尝试映射 R:。
3. 资源访问授权：映射不是授权，文件操作仍受共享 ACL 和 NTFS ACL 共同约束。

本地直接访问 Data 时不经过共享层；通过 R: 访问本实验 SMB 路径时仍经过两层检查。盘符只是入口变化，不会把 ro 的读取权限变成修改权限。

6.3 证据范围与保留状态#

本篇已经形成“成员关系 → GPO 链接 → 映射设置 → ILT → 普通用户结果”的记录链。尚未单独展示的操作不补造输出，也不为凑截图重复进行故障实验。

本次保留现有共享、账号、映射组、GPO 和映射项，供后续复习使用；没有因为整理报告而删除映射或修改 VM。后续若做故障课题，另行确定范围，不在本篇提前记录未做的实验结果。

相关笔记：

• 共享权限与 AGDLP 实训
• GPO 相关指令
• 组与成员