GPO 链接范围、安全过滤与证书模板权限要文档化。变更窗口做回滚点。工程向，禁止攻击步骤。