事件查看器中出现事件 ID 2390，来源通常为 Microsoft-Windows-GroupPolicy，常规信息提示组策略 Windows 诊断数据处理失败。该记录并不意味着域策略立即失效，但说明组策略客户端在把处理结果写入诊断数据、注册表策略键或本地缓存时发生了异常。若不处理，可能导致组策略结果集不完整、客户端扩展无法上报状态、后续排错时缺少关键日志。建议先从本地组策略操作日志入手，结合注册表和文件系统权限逐层排查。
一、事件 ID 2390 代表什么
组策略客户端服务在每次前台或后台刷新时，会经过计算机配置和用户配置的多个客户端扩展，例如安全策略、管理模板、文件夹重定向、脚本和软件安装。每个扩展处理完成后会生成一组诊断数据，用于记录策略来源、应用结果、错误代码和处理耗时。事件 ID 2390 表示这些诊断数据在写入本地策略缓存、注册表结果集或 WMI 命名空间时失败。
触发原因通常不是单一问题，而是与机器状态有关。常见因素包括：C:\ProgramData\Microsoft\Group Policy\History 目录权限被修改或磁盘空间不足；WMI 仓库不一致导致 GroupPolicy 命名空间无法写入；安全软件拦截 gpsvc 对注册表键 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy 的访问；以及域控制器与客户端之间的时钟偏差或网络共享不可达。
需要注意，事件 ID 2390 常和其他组策略错误一起出现。如果同一时间段还观察到事件 ID 1058、7016 或 1129，应优先解决网络定位域控制器和 SYSVOL 访问问题。单独出现 2390 时，更多指向本机诊断写入链路。
二、快速定位日志和确认影响范围
先确认问题是个别客户端还是同域多台机器。可以在域控制器上使用 PowerShell 远程查询或要求用户上报。对单台机器，建议先导出详细的组策略结果，查看哪些扩展没有返回结果。
打开事件查看器，进入应用程序和服务日志 Microsoft Windows GroupPolicy Operational，过滤事件 ID 2390。PowerShell 命令如下：
Get-WinEvent -LogName "Microsoft-Windows-GroupPolicy/Operational" -MaxEvents 80 | Where-Object { $_.Id -eq 2390 } | Format-List TimeCreated, Id, LevelDisplayName, Message
导出组策略结果可以使用 gpresult 命令，生成 HTML 报告后检查计算机配置和用户配置下的错误项。命令为：
gpresult /h C:\GPreport.html /f
同时检查 gpsvc 和 Winmgmt 服务是否处于运行状态，并核对相关目录是否存在。可以运行：
Get-Service gpsvc, Winmgmt | Select-Object Name, Status, StartType Test-Path "C:\ProgramData\Microsoft\Group Policy\History" Get-ChildItem "C:\ProgramData\Microsoft\Group Policy\History" | Select-Object Name, LastWriteTime
如果 History 目录不存在或无法访问，说明诊断数据写入路径已经损坏。如果服务状态正常，但 Test-Path 返回 False，需要先重建目录并赋予系统权限。
三、修复组策略诊断数据处理失败
首先要保证系统盘有充足可用空间。组策略缓存和诊断文件通常写入 C:\ProgramData，若剩余空间低于几百 MB，gpsvc 会在写入时失败。清理临时文件后运行 gpupdate /force 观察事件。若空间正常，则依次尝试以下方案。
方案一：重建组策略缓存目录。删除 History 目录会强制客户端重新从域控制器下载策略，不会删除域控制器上的策略定义。使用管理员权限运行：
net stop gpsvc rd /s /q "C:\ProgramData\Microsoft\Group Policy\History" mkdir "C:\ProgramData\Microsoft\Group Policy\History" net start gpsvc gpupdate /force
如果提示目录被占用，需要先停止 gpsvc 服务，或者通过任务管理器结束不断重启的 svchost 进程。删除前建议先备份该目录到其他位置，便于回退。
方案二：修复 WMI 仓库。组策略结果集依赖 WMI 的 RSOP 类，诊断数据写入失败可能是 WMI 仓库不一致引起。运行以下命令检查仓库状态：
winmgmt /verifyrepository
如果返回不一致，可以尝试执行修复：
net stop winmgmt winmgmt /salvagerepository winmgmt /resetrepository net start winmgmt
重置仓库后需要重新启动机器，再运行 gpupdate /force。注意执行 /resetrepository 会重建 WMI 仓库，某些依赖 WMI 的第三方应用可能需要重新安装或重新注册。
方案三：恢复注册表权限。诊断数据还可能写入 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History 或 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\State。使用 regedit 打开这些键，确认 SYSTEM 和 Administrators 具有完全控制权限。若权限被安全软件改写，可将所有者恢复为 SYSTEM。也可以使用 PowerShell 输出当前 ACL：
$key = "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History" Get-Acl -Path Registry::$key | Format-List Access, Owner
这段命令会读取指定注册表键的访问控制列表。若发现缺少写入权限，使用 Set-Acl 或手动调整安全权限。
四、验证修复结果与持续监控
完成上述任意操作后，先手动刷新策略并观察事件查看器。运行 gpupdate /force 后，再到 Microsoft-Windows-GroupPolicy/Operational 日志中筛选最近30分钟的事件，确认 2390 是否继续出现。
可以使用 PowerShell 计划任务定期检查事件，当发现新的事件 ID 2390 时输出提示。示例脚本如下：
$since = (Get-Date).AddMinutes(-30)
$events = Get-WinEvent -LogName "Microsoft-Windows-GroupPolicy/Operational" -MaxEvents 200 | Where-Object { $_.Id -eq 2390 -and $_.TimeCreated -gt $since }
if ($events) {
$events | Format-Table TimeCreated, Id, Message -AutoSize
}
如果问题已经消失，建议继续观察两到三个组策略刷新周期，因为后台刷新通常每 90 分钟一次，并受随机偏移影响。对于域环境，还可以在组策略中央存储中启用诊断日志，或使用监控系统对事件 2390 配置告警。
若删除缓存、修复 WMI、恢复注册表权限后仍然反复出现，应进一步检查客户端扩展本身。可在控制面板中卸载不必要的第三方组策略扩展，或使用 Process Monitor 跟踪 gpsvc 对 History 目录和注册表的写入，找出具体返回 ACCESS_DENIED 或 FILE_NOT_FOUND 的对象。
组策略事件ID 2390Windows诊断数据修改时间：2026-08-30 16:37:58