Вопрос или проблема
У нас есть GPO, который включает в себя конфигурацию компьютера, включающую предпочтение, которое добавляет группу безопасности в локальную группу администраторов. Поскольку это конфигурация компьютера, нужно ли добавлять группу безопасности Domain Computers в безопасную фильтрацию?
Группа безопасности не добавляется, и GPResult пуст для секции конфигурации компьютера. Компьютеры находятся в правильном OU, к которому применен/связан GPO, и никакого WMI-фильтрации не происходит. Есть идеи?
Спасибо!
ОБНОВЛЕНИЕ:
С открытой командной строкой от имени администратора я выполнил следующее:
- gpupdate /force
- gpresult /H report.html
Отчет показывает предпочтение конфигурации компьютера для добавления группы безопасности AD в локальную группу администраторов. К сожалению, группа по-прежнему не добавляется в группу локальных администраторов. Есть другие идеи?
Вам нужно применить GPO к OU, в котором находится ПК. Также хорошая идея выполнить gpupdate /force на компьютере.
нужно ли добавлять группу безопасности Domain Computers в безопасную фильтрацию?
Любой объект AD, которому вы хотите предоставить доступ к GPO, должен иметь права безопасности для чтения GPO.
Могу я задать простой вопрос: какие сущности указаны в безопасной фильтрации этого GPO? По умолчанию, доменные GPO применяются к “Аутентифицированным пользователям”, и все доменные компьютеры считаются такими пользователями. Так что если вам нужно применить GPO ко всем доменным компьютерам, вы можете оставить настройки по умолчанию в безопасной фильтрации.
Ответ или решение
Устранение проблем с GPO – Фильтрация безопасности – Конфигурация компьютера
При решении проблемы с групповой политикой (GPO), которая включает конфигурацию компьютера для добавления группы безопасности в локальную группу администраторов, важно учитывать несколько ключевых факторов. Ваша проблема заключается в том, что группа безопасности не добавляется, и результаты команды gpresult показывают пустой раздел конфигурации компьютера. Рассмотрим основные шаги и рекомендации по устранению этой ситуации.
Основные моменты для проверки
-
Применение GPO к правильному OУ:
Убедитесь, что GPO действительно применится к тому организационному делу (OU), в котором находятся компьютеры. Если GPO не связано с OU или связано некорректно, настройки не будут применены. -
Фильтрация безопасности:
Как вы уже отметили, для GPO было применено значение по умолчанию «Authenticated Users». Это подразумевает, что все аутентифицированные пользователи и компьютеры имеют доступ к GPO. Если вы хотите, чтобы GPO был применен ко всем компьютерам в домене, нет необходимости добавлять группу Domain Computers в фильтрацию безопасности, так как все компьютеры являются частью этой группы. Убедитесь, что в фильтрации безопасности находятся необходимые группы или пользователи. -
Проверка прав доступа к GPO:
Убедитесь, что у группы безопасности, которую вы пытаетесь добавить в локальную группу администраторов, есть права на чтение GPO. Вы можете проверить настройки делегирования и убедиться, что соответствующие пользователи или группы имеют доступ. -
Обновление политик:
Проведите командуgpupdate /forceна компьютере, чтобы принудительно обновить политики. Это гарантирует, что последние настройки GPO будут применены. -
Проверка конфигурации GPO:
В рапортеgpresult /H report.htmlпроверьте, отображается ли ожидаемая настройка конфигурации компьютера. Если она отображается, это хороший знак, что GPO был обработан, но изменения не были применены. Обратите внимание на предупреждения или ошибки в отчете.
Возможные проблемы
-
Конфликтующие GPO:
Если существуют несколько GPO, применяемых к одному и тому же OU, которые могут конфликтовать, это может мешать установке ваших настроек. Проверьте порядок применения GPO и убедитесь, что ваш GPO обладает самым высоким приоритетом. -
Проблемы с синхронизацией:
В некоторых случаях проблема может быть связана с репликацией Active Directory. Убедитесь, что все контроллеры домена синхронизированы. -
Локальные политики группы:
В некоторых случаях локальные политики могут иметь приоритет над групповой политикой. Убедитесь, что на самом компьютере нет локальных правил, мешающих применению GPO. -
Ошибки в синтаксисе или настройках:
Неправильные настройки в рамках GPO, например, неверный синтаксис при добавлении группы безопасности, могут привести к тому, что GPO не будет работать должным образом.
Заключение
Устранение проблем с GPO требует тщательной проверки конфигураций, прав доступа и порядка применения политик. Убедитесь, что все настройки выполнены корректно и соблюдены необходимые шаги для их применения. Если после выполнения всех вышеуказанных рекомендаций проблема не решена, возможно, стоит проверить логи событий на компьютере для получения дополнительной информации о потенциальных ошибках, связанных с применением групповой политики.