Вопрос или проблема
У меня возникла странная проблема с созданием групповой политики на унаследованном контроллере домена. Это устройство никогда не было правильно настроено, и я не очень разбираюсь в работе с групповой политикой.
Мы используем Active Directory 10.0.14393.2608 на едином контроллере домена, который работает под управлением Windows Server 2016 Standard.
Моя цель — зарегистрировать пользователей с помощью простого скрипта при входе и выходе из системы.
В данный момент у меня есть следующий пакетный файл, сохраненный в папке NETLOGON:
if exist \\SERVER\LogData\%Computername% goto next
mkdir \\SERVER\LogData\%Computername%
:next
Echo %Computername%,%Username%,%Date%,%Time% >> \\SERVER\LogData\%Computername%\Logon.csv
Он применяется к GPO в разделе Конфигурация пользователя->Политики->Настройки Windows->Скрипты->Свойства входа в систему
GPO связан с OU, который содержит несколько пользователей и компьютеров в под-OU.
Я могу запустить скрипт, перейдя к нему с тестового компьютера, и он сработает корректно, но ничего не происходит, когда я выхожу и снова вхожу в систему после выполнения gpupdate.
Скрипты входа в систему пользователей по умолчанию задерживаются на 5 минут! Настройте задержку, смотрите здесь: https://docs.microsoft.com/en-us/troubleshoot/windows-client/group-policy/logon-scripts-not-run-for-long-time
Более того: ваш контроллер домена ужасно устарел. Этот уровень обновлений датируется 2018 годом!
Ответ или решение
Использование GPO для выполнения пакетных файлов при входе в систему: Решение проблем
Введение
Работа с групповой политикой (GPO) в Active Directory может быть сложной задачей, особенно в условиях, когда инфраструктура не была настроена должным образом. В случае, описанном вами, следует рассмотреть несколько ключевых аспектов, которые могут стать причиной проблем с выполнением скриптов при входе пользователей в систему.
Анализ проблемы
Вы указали, что хотите запустить пакетный файл на входе и выходе пользователей, который записывает информацию о логинах в CSV файл. Тем не менее, скрипт не выполняется автоматически при входе, даже несмотря на то, что он работает при ручном запуске.
Возможные причины проблемы
-
Настройка GPO:
- Убедитесь, что GPO, содержащая ваш скрипт, применяется к нужному уровню. Проверьте, что OU, в котором находится ваша группа пользователей и компьютеров, действительно наследует эту политику.
- Убедитесь, что GPO не блокируется другими политиками, которые могут находиться на более высоких уровнях иерархии.
-
Формат и расположение файла:
- Убедитесь, что пакетный файл корректно размещен в разделе NETLOGON и доступен для всех пользователей. Файл должен иметь правильные разрешения (например, доступ для чтения).
- Проверьте, что файл имеет правильное расширение (
.batили.cmd) и может быть выполнен.
-
Настройки безопасности:
- Проверьте, есть ли ограничения безопасности, которые могут помешать выполнению скрипта. Например, рассматривайте такие параметры, как контроль учетных записей (UAC), которые могут блокировать выполнение скриптов.
-
Задержка выполнения скриптов:
- Обратите внимание, что скрипты логина по умолчанию могут иметь задержку выполнения до 5 минут. Вы можете установить параметр "Не задерживать выполнение скриптов при входе" в настройках GPO, что обеспечит их мгновенное выполнение.
-
Обновление системы:
- Указанная вами версия ОС Windows Server 2016 имеет уровень обновления, датируемый 2018 годом. Рекомендуется хотя бы обновить систему, поскольку устаревшие версии могут содержать ошибки или отсутствующие обновления, влияющие на работу GPO.
Рекомендации по внесению изменений
-
Проверка и отслеживание GPO:
- Используйте инструменты мониторинга, такие как
gpresult /h report.html, чтобы сгенерировать отчет о применении групповой политики и выявить, применяется ли ваша настройка.
- Используйте инструменты мониторинга, такие как
-
Тестирование и диагностика:
- Запустите соответствующие команды, такие как
gpupdate /force, чтобы принудительно обновить политики, и перезагрузите тестовую машину после применения изменений.
- Запустите соответствующие команды, такие как
-
Логирование ошибок:
- Рассмотрите возможность добавления журналирования в ваш скрипт. Это позволит вам отследить, выполняется ли он хотя бы до определенного пункта:
echo Script started >> \\SERVER\LogData\%Computername%\Log.txt
- Рассмотрите возможность добавления журналирования в ваш скрипт. Это позволит вам отследить, выполняется ли он хотя бы до определенного пункта:
-
Использование альтернативных методов:
- Если проблемы продолжаются, рассмотрите возможность использования альтернативных методов для управления входом, таких как задачи Windows или PowerShell скрипты, которые предоставляют больше контроля и устойчивости.
Заключение
Работа с GPO и автоматизация скриптов входа требуют тщательной проверки всех связанных настроек, а также понимания особенностей работы Active Directory. Следуя вышеописанным рекомендациям, вы должны быть в состоянии выявить и устранить причин проблемы с выполнением пакетных файлов при входе пользователей. Постоянно обновляйте свою инфраструктуру, чтобы избежать устаревших компонентов и связанных с ними проблем.