如何定时炸弹GPO？

我在高等教育方面做了很多工作，在特定课程或事件期间重新configuration许多Windows域成员（例如，教室中的PC）是相当普遍的要求，并且此后将此configuration撤销。

由于大多数configuration更改都可以通过组策略对象来完成，并且在OU级别取消关联或取消激活GPO时，这些更改会自动反转，这是一条非常舒适的路线。

唯一的缺点是重复的手动链接和解除OU上的GPO链接需要很多提醒和IT人员在课程开始之前和结束之后值class – 这是操作团队无法保证的。

有没有一种方法来指定特定GPO的有效性的时间框架？

这可以通过WMI过滤来完成。组策略客户端将从附加的WMI筛选器执行WQL查询，并且只有在查询将返回非零数的行时才应用GPO。因此，通过创build一个WMIfilter来检查当前系统时间是否在给定的时间间隔内，并将此WMIfilter连接到GPO，您想要定时炸弹，就可以得到您想要的。

win32_operatingsystem WMI类有一个localdatetime属性，它可以用'yyyymmdd hh：nn：ss'格式与给定的stringdate进行比较，所以使用WQLstring就像

select * from win32_operatingsystem where localdatetime >= '20150220 00:00:00' and localdatetime <= '20150223 15:00:00'

在root\CIMv2名称空间中，将确保GPO仅适用于当地时间为2015年2月20日00:00:00至2015年2月23日15:00:00之间的系统：

使用WQL字符串配置WMI筛选器

确保您已将WMI筛选器链接到所需的GPO：

将WMI筛选器链接到GPO

需要注意的是：

WQL正在评估客户机上的本地date和时间，这些date和时间可能会或可能不会与您要使用的时间源同步。客户端的时间不会在域控制器的时间之前或之后运行得太远，否则Kerberos身份validation将会中断，但是可能会有一些小的偏差，请考虑它们
组策略客户端将检查GPO更改并默认重新应用它们，而不是经常进行：

默认情况下，计算机组策略每90分钟在后台更新一次，随机偏移量为0到30分钟。

所以默认设置只允许精度为+2小时。如果需要，更新间隔可以通过（另一个）组策略设置进行更改。
您的政策需要能够在不再应用时恢复所有更改。所有pipe理的pipe理模板都是默认的情况。组策略首选项设置可能需要明确设置为“不再应用时删除此项” ：