网站搜索

故障排除：组策略 (GPO) 未应用于客户端

在本 GPO 故障排除指南中，我将尝试告诉您某个组策略对象 (GPO) 可能不适用于组织单位 (OU) 或特定域计算机/用户的典型原因。我认为本文对于新手和经验丰富的 AD 组策略管理员了解组策略的工作原理和 GPO 体系结构都非常有用。本文介绍了在域级别应用与策略设置相关的 GPO 时可能出现的问题，以及在 Windows 客户端上对 GPO 进行故障排除。本文中描述的几乎所有设置都是使用组策略管理控制台（

GPMC.msc

）。

在对组策略未按预期应用进行故障排除之前，请确保您的 AD 基础设施正常工作。域中的 GPO 取决于域控制器的正确运行以及域控制器之间的复制。我们建议您定期使用 dcdiag 检查 AD 域控制器的运行状况，并使用 PowerShell 和 repadmin 工具检查复制状态。

管理 GPO 范围

如果特定策略参数未应用于客户端，请检查您的 GPO 范围。如果您在计算机配置部分中配置设置，则您的组策略必须链接到具有计算机对象的 OU。如果您在用户配置部分中设置参数，情况也是如此。

要将用户设置应用到计算机，您需要启用 GPO 环回处理模式（更多信息见下文）。

另外，请确保您尝试应用 GPO 的对象位于正确的计算机或用户 AD 容器 (OU) 中。您可以使用 ADUC 按域搜索（

dsa.msc

） 安慰。对象所在的 OU 在对象选项卡上指定。

这意味着目标对象必须位于策略链接到的 OU 中（或嵌套的 AD 容器中）。

如何使用组策略安全过滤将 GPO 应用于选定的组？

检查策略中的安全过滤设置。默认情况下，域中的所有新 GPO 对象都启用了经过身份验证的用户组的权限。该组包括域中的所有用户和计算机。这意味着该策略将应用于其范围内的所有用户和计算机。

在某些情况下，您希望特定的 GPO 仅应用于特定域安全组（或特定用户/计算机）的成员。为此，您需要从安全过滤器中删除经过身份验证的用户组，并将目标组或帐户添加到过滤器中。

如果您已将安全过滤器分配给某个组，请确保所需的对象是该 AD 组的成员。

另外，请检查您添加到安全过滤的组是否具有读取和应用组策略权限，并在 GPO -> 委派 -> 高级选项卡中选中允许选项。

如果您使用非标准 GPO 安全筛选器，请检查是否没有明确禁止目标组使用 GPO（拒绝）。

组策略 GPO WMI 过滤

您可以在 GPO 中使用特殊的 WMI 筛选器。这允许根据某些 WMI 查询将策略应用到您的计算机。例如，您可以创建 GPO WMI 筛选器以将策略仅应用于具有特定 Windows 版本的计算机、特定 IP 子网中的计算机、仅应用于笔记本电脑等。

使用组策略 WMI 筛选时，请确保您的 WMI 查询正确。它应该只选择您需要的设备，并且不排除您的目标计算机。您可以使用 PowerShell 在任何计算机上测试 WMI 过滤器：

gwmi -Query ‘select * from Win32_OperatingSystem where Version like "10.%" and ProductType="1"‘

如果查询返回任何数据，则 WMI 筛选器将应用于此计算机。

禁用组策略对象中的用户或计算机设置

正如我们已经提到的，每个 GPO 都有两个独立的部分：

  • 计算机配置 - 应用于计算机的设置；

  • 用户配置 - 用户设置。

如果您的 GPO 仅配置用户设置或仅配置计算机设置，您可以禁用未使用的策略部分。这将减少 GPO 流量，并允许您减少客户端上的 GPO 处理时间。

在策略属性的详细信息选项卡中检查 GPO 状态

GPMC.msc

。请记下GPO 状态下拉列表中的值。

如您所见，有 4 个选项可用：

  • 所有设置已禁用 - 所有策略设置均已禁用（GPO 不适用）；

  • 计算机配置设置已禁用 - 不应用仅来自 GPO 的计算机配置的设置；

  • 用户配置设置已禁用 - 不应用用户配置部分的设置；

  • 启用 - 所有 GPO 设置都应用于目标 AD 对象（默认值）。

组策略委托

为策略配置的权限显示在 GPO 的委派选项卡中。您可以在此处查看哪些组可以更改 GPO 设置以及策略是否应用于它们。您可以从此控制台授予管理 GPO 的权限，或使用 ADUC 中的 Active Directory 委派向导。如果有“企业域控制器”访问权限，则可以在 Active Directory 域控制器之间复制此策略（如果 DC 之间存在任何 GPO 复制问题，请注意）。 “委派”选项卡中的权限与分配给 SYSVOL 文件夹中的策略目录的 NTFS 权限相匹配。

阻止组策略链接中的继承和强制执行

继承是组策略的主要概念之一。默认情况下，高级策略应用于域层次结构中的所有嵌套对象。但是，管理员可以阻止将所有继承的策略应用到特定 OU。为此，请右键单击 GPMC 中的 OU，然后选择阻止继承。

已启用阻止继承选项的组织部门在控制台中标有蓝色感叹号。

如果组策略未应用于客户端，请检查它是否位于具有阻止继承选项的 OU 中。

请注意，启用了强制属性的域策略甚至会应用于具有阻止继承设置的 OU（您可以在组策略继承选项卡中查看应用于容器的继承策略）。

GPO 范围和策略处理命令 (LSDOU)

要记住域中应用组策略的顺序，请记住 LSDOU 缩写。 GPO 按以下顺序应用于客户端：

  1. 在本地 GPO 编辑器 gpedit.msc 控制台中配置的本地计算机策略（本地）（如果配置不正确，可以重置它们）；

  2. 站点级 GPO（站点）；

  3. 域级 GPO（域）。

  4. 组织单位级别（组织单位）的 GPO。

后者的政策具有最高优先权。这意味着，如果您在域级别启用某些 Windows 设置，则它可能会被 OU 级别的另一个策略禁用（最接近 AD 层次结构中对象的策略将获胜）。

使用强制选项时，域层次结构中处于较高位置的策略获胜（例如，如果默认域策略启用了强制选项，则它将比任何其他 GPO 具有更高的优先级）。

管理员还可以使用 GPMC 控制台更改策略处理顺序。为此，请选择一个 OU 并转到链接的组策略对象选项卡。有一个应用于该 OU 的 GPO 列表，并显示优先级。策略按相反顺序处理（从下到上）。这意味着链接顺序 1 的策略将最后应用。您可以使用左栏中的箭头更改 GPO 优先级，并在列表中向上或向下移动策略。

管理启用的 GPO 链接

链接到 AD 组织单位的任何 GPO 对象都可以打开或关闭链接启用选项。如果链接被禁用，其图标将变为灰色。禁用链接后，策略不会应用于客户端，但不会从域层次结构中删除指向 GPO 对象的链接。您可以随时启用 GPO 链接。

组策略环回处理模式解释

例如，如果您将在“用户配置”部分中配置了设置的策略应用于包含计算机的 OU，则在不使用环回的情况下，这些设置不会应用于用户。在计算机配置 -> 管理模板 -> 系统 -> 组策略 -> 配置用户组策略环回处理模式中启用环回处理模式。

这种环回处理策略有两种可能的模式：

  • 合并 - 基于用户位置的 GPO 将应用到计算机，然后应用链接到计算机的 GPO。如果用户 OU 和计算机 OU 策略之间存在冲突，则计算机配置级别策略将优先。

    请注意，在合并模式下使用环回处理时，该策略实际上会执行两次。使用登录脚本时请考虑这一点。

  • 替换 - 只有分配给包含用户登录计算机的 OU 的策略才会应用于该用户。

使用组策略建模向导

您可以使用域策略管理控制台中的GPO 建模功能（

gpmc.msc

）。 GPO 建模允许管理员获取将应用于特定 Active Directory 对象的结果策略。

转到组策略建模部分并运行组策略建模向导。

选择您想要获取其结果策略报告的 OU 或特定用户/计算机。

然后按照 GPO 建模向导的问题进行操作。因此，您将收到一份报告（检查详细信息选项卡），其中显示哪些策略应用于 AD 对象，哪些策略未应用于 AD 对象。如果由于 GPO 筛选器而应用或拒绝策略，这将在报告中可见。

启用组策略首选项调试日志记录

在现代版本的 Active Directory 中，组策略有一个附加扩展 - 组策略首选项 (GPP)。 GPP 允许您使用 GP 客户端扩展应用其他设置。例如，通过 GPP，您可以：

  • 通过GPO部署打印机；

  • 将用户添加到域计算机上的本地管理员组；

  • 映射网络驱动器；

  • 部署注册表设置；

  • 将文件夹和文件复制到用户的计算机；

  • ETC。

要对组策略首选项进行故障排除，您可以使用特殊的日志记录模式 - 组策略首选项跟踪。

您可以通过计算机配置 -> 策略 -> 管理模板 -> 系统 -> 组策略 -> 日志记录和跟踪部分中的参数启用此模式。不同的 GPP 参数有单独的日志记录选项。

例如，我想检查如何通过 GPO 应用具有代理设置的注册表参数。为此，我启用了配置注册表首选项日志记录和跟踪选项。您可以在此处配置日志记录和调试参数以及日志大小。

将策略应用到客户端后，打开

C:\ProgramData\GroupPolicy\Preference\Trace\Computer.log

文件以获取 GPP 的详细状态。

完成调试 GPP 后禁用此 GPO 选项。

另外，请记住，GPP 还有额外的项目级定位选项来在应用策略时进行过滤。

对 Windows 客户端中应用的 GPO 进行故障排除

预测结果，

rsop.msc

和 Windows 事件查看器用于在客户端对组策略进行故障排除和调试。前两个工具提供了应用于 Windows 设备的策略结果集。

要获取有关计算机上应用的 GPO 的简单报告，请运行以下命令：

gpresult /r

该命令将返回已应用的组策略对象和未应用的 GPO 的列表。过滤的 GPO 列表可能包含以下项目：

  • 未应用（空） - 策略已分配但不包含任何设置；

  • 拒绝（WMI 筛选器） - 未应用策略，因为 WMI 筛选器与此计算机不匹配；

  • 拒绝（安全） - 组策略 ACL 无权将 GPO 应用于此对象；

  • 禁用 (GPO) - GPO 设置中禁用计算机或用户配置部分。

要获取包含生成的 GPO 的 HTML 报告，请使用以下命令：

gpresult /h c:\reports\gpreport.html /f

gpresult RSoP HTMP 报告包含 GPO 错误、某些策略和 CSE 的处理时间以及其他有用信息。这有助于您了解为什么某些 GPO 处理时间过长。此报告显示应用了哪些策略设置以及哪些特定 GPO 应用了这些策略设置。

组策略客户端（

gpsvc

) 服务必须在 Windows 上运行才能处理 GPO。检查服务是否已使用 PowerShell 启动：

Get-Service gpsvc

您还需要记住 Windows 中组策略的更新方式。默认情况下，GPO 每 90 分钟 + 0-30 分钟的随机时间偏移在后台刷新一次。但是，管理员可以使用 GPO 中“计算机配置”->“管理模板”->“系统”->“组策略”下的“为计算机设置组策略刷新间隔”选项来更改此间隔。

您可以使用事件查看器查找 GPO 处理事件。按GroupPolicy源(Microsoft-Windows-GroupPolicy)过滤系统日志。另外，请仔细查看应用程序和服务日志 -> Microsoft -> Windows -> 组策略 -> 操作中的事件。

调试 GPO 时的一些附加提示：

  • 分析域密码策略时，请记住，使用 GPMC 只能配置一个域密码策略（通常在默认域策略中）。如果您需要为特定用户或组使用单独的密码和帐户锁定策略，请使用细粒度密码策略；

  • 我还建议使用Microsoft AGPM（高级组策略管理）工具，它允许您维护 GPO 的版本控制及其批准规则；

  • 使用 ADMX 模板的组策略中央存储。在这种情况下，您不需要在所有计算机上手动部署组策略 admx 文件。

总之，我建议保持 GPO 结构尽可能简单，不要创建不必要的策略。使用透明的策略命名方案。 GPO 的名称应清楚表明其用途。

相关文章