Group Policy：用于排查性能问题的最佳实践

万事皆有取舍。在 Windows 环境中，用户希望快速登录/启动，并在多台设备上获得一致的体验。高效的登录往往与易用性相关。例如，Folder Redirection 和 Group Policy Printer Preferences 会以更慢的登录速度为代价，提供更统一的终端用户体验。这是速度与可访问性之间的经典案例。

随着不断增加 modifications ，一段时间后可能会积累一定程度的 Group Policy bog。解决 Group Policy 变慢的关键在于持续监控其性能。本指南将探讨与 Group Policy 性能相关的若干新工具以及常见问题。我们将重点关注 Windows 10 环境。

从客户端监控 Group Policy 性能

没有什么比等待一台机器登录更让人烦躁……等着、等着、再等着……一直等下去更难受了。存在问题的机器往往需要 10 分钟以上才能启动或完成登录。终端用户收到的唯一提示就是一条 Please Wait 信息，或等效的 Windows 10 Getting things ready for you 屏幕。

为了让用户知道机器并非只是“卡住”了，同时也帮助你进行故障排查，建议在所有机器上启用以下两个 GPO 设置：

• 计算机配置 策略 管理模板 系统 – 显示高度详细的状态消息： 设置 – 已启用
• 计算机配置 策略 管理模板 系统 登录 – 显示首次登录动画：设置 – 已禁用

第一个设置会显示当前正在运行的启动组件，而不是通用的启动消息。例如，如果你的计算机正在安装通过 GP 部署的 MSI，你可能会看到 Applying Group Policy Software Installation 。此设置此前称为 Group Policy Verbose mode。为了让未来的故障排除更容易，我更倾向于在客户端和服务器上启用此设置。

第二个设置会移除在用户首次登录到某台计算机时出现的 Getting things ready for you 动画。在动画开始接管之前，用户会看到一些更详细的状态消息。为了让用户看到所有消息，应将此策略设置为“已禁用”。我更倾向于将此策略应用到所有客户端。服务器不显示首次登录动画。

从 GPMC 监控组策略性能

一般来说，管理员应始终为其所管理的客户端使用最新的 RSAT 安装程序。如果你正在管理 Windows 10 客户端，那么你的管理计算机应当是 Windows 10，并且上面已安装最新的 RSAT。

当在运行于 Windows 10 机器上的 Group Policy management 控制台中运行组策略结果时，你会在“详细信息”选项卡下看到一个新的“组件状态”部分。组策略的组件（例如文件夹重定向和组策略打印机首选项）被称为客户端扩展（Client Side Extensions，CSEs）。该“组件状态”部分将显示每个 CSE 的最后评估状态。它还会显示每个 CSE 处理所耗费的时间。这些值同样会存储在客户端计算机上的组策略事件日志中。

该窗格可帮助管理员快速排查组策略性能问题。任何耗时达到 600 秒仍未完成的项目都将失败。默认情况下，组策略服务只允许 CSE 在 10 分钟内完成。

当心旧版（Legacy）CSE

组策略 CSE 随着 Windows 的每次迭代或它所服务的组件不断演进。一个完美的例子就是用于管理 Internet Explorer 的那些 CSE。最早期的管理方法之一涉及 Internet Explorer Maintenance（IEM）扩展。IEM 补充了在 Administrative TemplatesWindows ComponentsInternet Explorer 下可用的许多功能。数年之后，Microsoft 为 Internet Explorer（IE）引入了组策略首选项（Group Policy Preferences）。为同一产品提供三种管理工具反而让所有人都感到困惑！

随着 IE10 的发布，任何安装了 IE10 的计算机上，GPMC 中都删除了 IEM。这一变化同样适用于 Windows 10/IE11。

在组策略首选项（Group Policy Preferences，GPPs）之前，组策略中的所有内容都被锁定。GPPs 最初发布时，许多管理员会将其当作管理模板（也称为策略设置）。许多单独的首选项操作被更改为 Replace，并且将 Remove this item when it is no longer applied 选项设置为启用。这会带来一个很大的缺点：每当组策略刷新、以及每次登录/启动时，GPP 都需要重新处理。

许多组策略环境没有针对 CSE 的变更进行更新，也没有用来反映 GPP 的行为。管理员仍可能在较旧的操作系统上通过使用 GPMC 来应用 IEM 设置。管理员应尽可能查看以下替代方案，以应对这些效率较低、耗时较多的 CSE：

• IEM：用 Administrative Templates 或 Preferences 替换
• 已部署的打印机：替换为 Printer Preferences
• 组策略软件安装：替换为诸如 SCCM 之类的软件管理套件
• 文件夹重定向：替换为诸如 Work Folders 之类的替代方案

你会注意到，以上没有列出用户端的组策略脚本。随着 Windows 8.1 的发布，GP 脚本可以配置为在经过 X 秒后触发执行，而不是在登录过程中运行。这使得脚本能够在用户已登录之后在后台运行。此设置可在 "Computer ConfigurationAdministrative TemplatesSystemGroup Policy" 中找到。

管理员应重新评估其已部署的任何偏好设置。能够做到的话，偏好项应使用 Create 或 Update。就我个人而言，我更喜欢始终只使用 Create 偏好设置所带来的一致性。只有在时间至关重要的情况下，才应进行基于项的目标定向并评估本地资源。最后，考虑将某些项从用户登录调整到计算机启动。对此来说，完美的 CSE 是 Printer Preferences。

在监控组策略的性能时，你很可能会发现一些配置可以撤销或迁移。通过使用 GPMC，你可以评估各客户端的处理时间，并聚焦于耗时较多的 CSE。正如我之前所说，任何事情都有取舍。祝你在努力平衡速度与可访问性时好运！