Sorun Giderme: İstemcilere Uygulanmayan Grup İlkesi (GPO)

Bu GPO sorun giderme kılavuzunda, size belirli bir Grup İlkesi Nesnesinin (GPO) bir kuruluş birimi (OU) veya belirli bir etki alanı bilgisayarı/kullanıcısı için geçerli olmamasının tipik nedenlerini anlatmaya çalışacağım. Bu makalenin hem acemi hem de deneyimli AD Grup İlkesi yöneticilerinin Grup İlkelerinin nasıl çalıştığını ve GPO mimarisini anlamaları için yararlı olacağını düşünüyorum. Makale, etki alanı düzeyindeki ilke ayarlarıyla ilgili GPO'ları uygulama ve Windows istemcilerinde GPO sorunlarını giderme ile ilgili olası sorunları açıklamaktadır. Makalede açıklanan hemen hemen tüm ayarlar, Grup İlkesi Yönetim Konsolu (

GPMC.msc

).

GPO Kapsamını Yönetme

Bir istemcide belirli bir ilke parametresi uygulanmazsa, GPO kapsamınızı kontrol edin. Bilgisayar Yapılandırması bölümündeki ayarı yapılandırırsanız, Grup İlkenizin bilgisayar nesneleri içeren bir kuruluş birimine bağlanması gerekir. Parametrelerinizi Kullanıcı yapılandırması bölümünde ayarlarsanız da aynı durum geçerlidir.

Ayrıca, GPO'nuzu uygulamaya çalıştığınız nesnenin doğru bilgisayarlarda veya kullanıcıların AD kapsayıcısında (OU) bulunduğundan emin olun. ADUC'yi kullanarak etki alanına göre arama yapabilirsiniz (

dsa.msc

) konsol. Nesnenin bulunduğu kuruluş birimi, Nesne sekmesinde belirtilir.

Bu, hedef nesnenin ilkenin bağlı olduğu kuruluş biriminde (veya iç içe geçmiş bir AD kapsayıcısında) bulunması gerektiği anlamına gelir.

GPO'ları Seçilen Gruplara Uygulamak için Grup İlkesi Güvenlik Filtreleme Nasıl Kullanılır?

Politikanızdaki Güvenlik Filtreleme ayarlarını kontrol edin. Varsayılan olarak, etki alanındaki tüm yeni GPO nesnelerinin Kimliği Doğrulanmış Kullanıcılar grubu izinleri etkindir. Bu grup, etki alanındaki tüm kullanıcıları ve bilgisayarları içerir. Politikanın, kapsamındaki tüm kullanıcı ve bilgisayarlara uygulanacağı anlamına gelir.

Bazı durumlarda, belirli bir GPO'nun yalnızca belirli bir etki alanı güvenlik grubunun üyelerine (veya belirli kullanıcılara/bilgisayarlara) uygulanmasını istersiniz. Bunu yapmak için Kimliği Doğrulanmış Kullanıcılar grubunu güvenlik filtresinden çıkarmanız ve hedef grubu veya hesapları filtreye eklemeniz gerekir.

Bir gruba güvenlik filtresi atadıysanız, istediğiniz nesnenin o AD grubunun üyesi olduğundan emin olun.

Ayrıca, GPO'da İzin Ver seçeneği işaretliyken, Güvenlik Filtreleme'ye eklediğiniz grubun Okuma ve Grup politikasını uygulama izinlerine sahip olup olmadığını kontrol edin - > Yetkilendirme -> Gelişmiş sekmesi.

Standart olmayan GPO güvenlik filtreleri kullanıyorsanız, hedef gruplar için GPO kullanımına ilişkin açık bir yasak olup olmadığını kontrol edin (Reddet).

Grup İlkesi GPO WMI Filtreleme

GPO'da özel WMI filtreleri kullanabilirsiniz. Bu, bazı WMI sorgularına dayalı olarak bilgisayarlarınıza bir ilke uygulamanıza izin verir. Örneğin, yalnızca belirli Windows sürümüne sahip bilgisayarlara, belirli IP alt ağındaki bilgisayarlara, yalnızca dizüstü bilgisayarlara vb. bir ilke uygulamak için bir GPO WMI filtresi oluşturabilirsiniz.

Grup İlkesi WMI filtrelemeyi kullanırken, WMI sorgunuzun doğru olduğundan emin olun. Yalnızca ihtiyacınız olan cihazları seçmelidir ve hedef bilgisayarlarınız hariç tutulmaz. WMI filtrenizi PowerShell kullanarak herhangi bir bilgisayarda test edebilirsiniz:

gwmi -Query ‘select * from Win32_OperatingSystem where Version like "10.%" and ProductType="1"‘

Sorgu herhangi bir veri döndürürse, bu bilgisayara WMI filtresi uygulanacaktır.

Grup İlkesi Nesnesinde Kullanıcı veya Bilgisayar Ayarlarını Devre Dışı Bırak

Daha önce de belirttiğimiz gibi, her GPO'nun iki bağımsız bölümü vardır:

• Bilgisayar Yapılandırması - bilgisayara uygulanan ayarlar;

• Kullanıcı Yapılandırması - kullanıcı ayarları.

GPO'nuz yalnızca kullanıcı ayarlarını veya yalnızca bilgisayar ayarlarını yapılandırıyorsa, kullanılmayan ilke bölümünü devre dışı bırakabilirsiniz. Bu, GPO trafiğini azaltacak ve istemcilerde GPO işleme süresini azaltmanıza izin verecektir.

İlke özelliklerinin Ayrıntılar sekmesindeki GPO durumunu kontrol edin.

GPMC.msc

. GPO Durumu açılır listesindeki değeri not edin.

Gördüğünüz gibi 4 seçenek mevcut:

• Tüm ayarlar devre dışı bırakıldı - tüm politika ayarları devre dışı bırakıldı (GPO geçerli olmayacak);

• Bilgisayar yapılandırma ayarları devre dışı bırakıldı - yalnızca GPO'nuzun bilgisayar yapılandırmasındaki ayarlar uygulanmaz;

• Kullanıcı yapılandırma ayarları devre dışı bırakıldı - kullanıcı yapılandırma bölümündeki ayarlar uygulanmaz;

• Etkin - tüm GPO ayarları, hedef AD nesnelerine uygulanır (varsayılan değer).

Grup İlkesi Yetkilendirmesi

Bir ilke için yapılandırılan izinler, GPO'nun Yetkilendirme sekmesinde gösterilir. Burada, hangi grupların GPO ayarlarını değiştirebileceğini ve ilkenin bunlara uygulanıp uygulanmadığını görebilirsiniz. Bu konsoldan GPO'yu yönetmek için ayrıcalıklar verebilir veya ADUC'ta Active Directory Delegasyon Sihirbazını kullanabilirsiniz. "Enterprise Domain Controllers" erişim izni varsa, bu politika Active Directory etki alanı denetleyicileri arasında çoğaltılabilir (DC'ler arasında herhangi bir GPO çoğaltma sorununuz varsa lütfen unutmayın). Yetkilendirme sekmesindeki izinler, SYSVOL klasöründeki ilke dizinine atanan NTFS izinleriyle eşleşir.

Grup İlkesi Bağlantısında Kalıtımı ve Zorlamayı Engelle

Kalıtım, Grup İlkesi'nin ana kavramlarından biridir. Varsayılan olarak, etki alanı hiyerarşisindeki tüm iç içe geçmiş nesnelere üst düzey ilkeler uygulanır. Ancak bir yönetici, devralınan tüm ilkelerin belirli bir kuruluş birimine uygulanmasını engelleyebilir. Bunu yapmak için GPMC'de kuruluş birimini sağ tıklayın ve Devralmayı engelle'yi seçin.

Engellenen devralma seçeneğinin etkinleştirildiği kuruluş birimleri, konsolda mavi bir ünlem işaretiyle işaretlenir.

Bir istemciye Grup İlkesi uygulanmadıysa, engellenen devralma seçeneğiyle kuruluş biriminde olup olmadığını kontrol edin.

Lütfen Zorunlu özelliğinin etkinleştirildiği etki alanı politikalarının, devralma engellenen ayarı olan kuruluş birimlerine bile uygulandığını unutmayın (kapsayıcıya uygulanan devralınan politikaları Grup İlkesi Devralma'nda görebilirsiniz. güçlü>sekmesi).

GPO Kapsamları ve İlke İşleme Sırası (LSDOU)

Etki alanında grup politikalarının uygulanma sırasını hatırlamak için LSDOU kısaltmasını unutmayın. GPO'lar istemcilere aşağıdaki sırayla uygulanır:

1. Yerel GPO düzenleyici gpedit.msc konsolunda yapılandırılan yerel bilgisayar ilkeleri (Yerel) (yanlış yapılandırılmışlarsa sıfırlayabilirsiniz);

2. Site düzeyinde GPO (Site);

3. Etki alanı düzeyinde GPO (Etki Alanı).

4. Kuruluş birimi düzeyinden (Kuruluş Birimi) GPO'lar.

İkinci politikalar en yüksek önceliğe sahiptir. Bu, etki alanı düzeyinde bazı Windows ayarlarını etkinleştirirseniz, OU düzeyinde başka bir ilke tarafından devre dışı bırakılabileceği anlamına gelir (AD hiyerarşisinde nesneye en yakın ilke kazanacaktır).

Zorunlu seçeneğini kullanırken, etki alanı hiyerarşisinde daha üstte yer alan ilke kazanır (örneğin, Varsayılan Etki Alanı İlkesi'nde Zorunlu seçeneği etkinleştirildiyse, diğer tüm GPO'lardan daha yüksek önceliğe sahip olacaktır) .

Yönetici, GPMC konsolunu kullanarak ilke işleme sırasını da değiştirebilir. Bunu yapmak için bir kuruluş birimi seçin ve Bağlantılı Grup İlkesi Nesneleri sekmesine gidin. Gösterilen önceliğe sahip bu kuruluş birimine uygulanan bir GPO listesi var. İlkeler ters sırada (aşağıdan yukarıya) işlenir. Bu, Bağlantı Sırası 1'e sahip bir politikanın en son uygulanacağı anlamına gelir. Sol sütundaki okları kullanarak GPO önceliğini değiştirebilir ve bir ilkeyi listede yukarı veya aşağı taşıyabilirsiniz.

Etkin GPO Bağlantılarını Yönetme

Bir AD kuruluş birimine bağlı herhangi bir GPO nesnesinde Bağlantı Etkin seçeneği açık veya kapalı olabilir. Bağlantı devre dışıysa, simgesi gri olur. Bağlantı devre dışı bırakıldığında, ilke istemcilere uygulanmaz, ancak GPO nesnesine olan bağlantı etki alanı hiyerarşisinden kaldırılmaz. GPO bağlantısını istediğiniz zaman etkinleştirebilirsiniz.

Grup İlkesi Geri Döngü İşleme Modu Açıklaması

Örneğin, Kullanıcı Yapılandırması bölümünde yapılandırılmış ayarları olan bir ilkeyi bilgisayarları olan bir kuruluş birimine uygularsanız, bu ayarlar geri döngü kullanılmadan kullanıcıya uygulanmayacaktır. Geri Döngü İşleme modu, Bilgisayar Yapılandırması -> Yönetim Şablonları -> Sistem -> Grup İlkesi -> Kullanıcı Grup İlkesi Geri Döngü İşleme modunu yapılandır'da etkinleştirilir.

Bu geri döngü işleme ilkesinin iki olası modu vardır:

• Birleştir - Kullanıcının konumuna dayalı GPO'lar bilgisayara uygulanır ve ardından bilgisayara bağlı GPO'lar uygulanır. Kullanıcı OU'su ile bilgisayar OU ilkeleri arasında çelişkiler varsa, Bilgisayar Yapılandırma düzeyi ilkeleri öncelikli olacaktır.

  Birleştirme moduyla Geri Döngü işlemeyi kullanırken, ilkenin aslında iki kez yürütüldüğünü unutmayın. Oturum açma komut dosyalarını kullanırken bunu göz önünde bulundurun.

• Değiştir - yalnızca kullanıcının oturum açtığı bilgisayarı içeren kuruluş birimine atanan ilkeler kullanıcıya uygulanacaktır.

Grup İlkesi Modelleme Sihirbazını kullanın

Etki Alanı Politikası Yönetim Konsolu'ndaki GPO Modelleme özelliğini kullanabilirsiniz (

gpmc.msc

). GPO modellemesi, yöneticinin belirli bir Active Directory nesnesine uygulanacak sonuçtaki ilkeleri almasına olanak tanır.

Grup İlkesi Modelleme bölümüne gidin ve Grup İlkesi Modelleme Sihirbazı'nı çalıştırın.

Sonuç ilke raporunu almak istediğiniz kuruluş birimini veya belirli kullanıcıyı/bilgisayarı seçin.

Ardından GPO Modelleme Sihirbazının sorularını takip edin. Sonuç olarak, AD nesnesine hangi ilkelerin uygulanıp hangilerinin uygulanmadığını gösteren bir rapor alırsınız (Ayrıntılar sekmesini kontrol edin). Bir politika GPO filtresi nedeniyle uygulanırsa veya reddedilirse, bu durum raporda görünür.

Grup İlkesi Tercihleri Hata Ayıklama Günlüğünü Etkinleştir

Active Directory'nin modern sürümlerinde, Grup İlkesi'nin ek bir uzantısı vardır - Grup İlkesi Tercihleri (GPP). GPP, GP istemci tarafı uzantılarını kullanarak ek ayarlar uygulamanıza olanak tanır. Örneğin, GPP aracılığıyla şunları yapabilirsiniz:

• Yazıcıları GPO aracılığıyla dağıtın;

• Bir etki alanı bilgisayarındaki yerel yönetici grubuna kullanıcı ekleyin;

• Ağ sürücülerini eşleyin;

• Kayıt defteri ayarlarını dağıtın;

• Klasörleri ve dosyaları kullanıcıların bilgisayarlarına kopyalayın;

• Vesaire.

Grup İlkesi Tercihleri ile ilgili sorunları gidermek için özel bir günlük modu kullanabilirsiniz - Grup İlkesi Tercihleri İzleme.

Bu modu Bilgisayar Yapılandırması -> İlkeler -> Yönetim Şablonları -> Sistem -> Grup İlkesi -> Günlüğe Kaydetme ve İzleme bölümündeki parametre aracılığıyla etkinleştirebilirsiniz. Farklı GPP parametreleri için ayrı günlük kaydı seçenekleri vardır.

Örneğin, proxy ayarlarına sahip bir kayıt defteri parametresinin bir GPO aracılığıyla nasıl uygulandığını kontrol etmek istiyorum. Bunu yapmak için, Kayıt defteri tercih günlüğünü ve izlemeyi yapılandır seçeneğini etkinleştiriyorum. Burada günlük kaydı ve hata ayıklama parametrelerini ve günlük boyutunu yapılandırabilirsiniz.

İlkeyi istemciye uyguladıktan sonra,

C:\ProgramData\GroupPolicy\Preference\Trace\Computer.log

GPP'nin ayrıntılı durumunu almak için dosya.

GPP'de hata ayıklamayı bitirdikten sonra bu GPO seçeneğini devre dışı bırakın.

Ayrıca, bir politika uygulandığında GPP'nin filtrelemek için ek Öğe Düzeyinde Hedefleme seçeneklerine sahip olduğunu unutmayın.

Windows İstemcilerinde Uygulanan GPO'larda Sorun Giderme

sonuç,

rsop.msc

ve Windows Olay Görüntüleyici, bir istemci tarafında Grup İlkesi sorunlarını gidermek ve hata ayıklamak için kullanılır. İlk iki araç, Windows aygıtında uygulanan sonuçta ortaya çıkan ilke kümesini sağlar.

Bilgisayarda uygulanan GPO'lar hakkında basit bir rapor almak için şu komutu çalıştırın:

gpresult /r

Komut, Uygulanan Grup İlkesi Nesnelerinin ve uygulanmayan GPO'ların bir listesini döndürür. Filtrelenmiş GPO'ların listesi aşağıdaki öğeleri içerebilir:

• Uygulanmadı (Boş) - politika atanmış ancak herhangi bir ayar içermiyor;

• Reddedildi (WMI Filtresi) - WMI filtresi bu bilgisayarla eşleşmediği için politika uygulanmadı;

• Reddedildi (Güvenlik) — Grup İlkesi EKL'sinin GPO'yu bu nesneye uygulama izni yok;

• Devre Dışı (GPO) - GPO ayarlarında Bilgisayar veya Kullanıcı Yapılandırmaları bölümü devre dışı bırakıldı.

Ortaya çıkan GPO ile bir HTML raporu almak için şu komutu kullanın:

gpresult /h c:\reports\gpreport.html /f

gpresult RSoP HTMP raporu, GPO hatalarını, belirli politikaların ve ÖAM'lerin işlem süresini ve diğer faydalı bilgileri içerir. Bu, bazı GPO'ların neden çok uzun süre işlediğini anlamanıza yardımcı olur. Bu rapor, hangi ilke ayarlarının ve hangi özel GPO'lar tarafından uygulandığını gösterir.

Grup İlkesi İstemcisi (

gpsvc

) hizmetinin GPO'ları işleyebilmesi için Windows üzerinde çalışıyor olması gerekir. Hizmetin PowerShell kullanılarak başlatıldığını kontrol edin:

Get-Service gpsvc

Windows'ta Grup İlkesi'nin nasıl güncellendiğini de hatırlamanız gerekir. Varsayılan olarak, GPO'lar arka planda her 90 dakikada bir + 0-30 dakikalık rastgele bir zaman farkıyla yenilenir. Ancak bir yönetici, GPO'da Bilgisayar Yapılandırması -> Yönetim Şablonları -> Sistem -> Grup Politikası altındaki "Bilgisayarlar için Grup İlkesi Yenileme Aralığını Ayarla" seçeneğini kullanarak bu aralığı değiştirebilir.

GPO işleme olaylarını bulmak için Olay Görüntüleyici'yi kullanabilirsiniz. Sistem günlüğünü GroupPolicy kaynağına göre (Microsoft-Windows-GroupPolicy) filtreleyin. Ayrıca, Uygulama ve Hizmet Günlükleri -> Microsoft -> Windows -> Grup İlkesi -> Operasyonel'deki olaylara yakından bakın.

GPO'larda hata ayıklarken birkaç ek ipucu:

• Etki alanı parola ilkelerini analiz ederken, GPMC kullanılarak yalnızca bir etki alanı parola ilkesinin yapılandırılabileceğini unutmayın (genellikle Varsayılan Etki Alanı İlkesi'nde). Belirli kullanıcılar veya gruplar için ayrı parola ve hesap kilitleme ilkeleri kullanmanız gerekiyorsa Ayrıntılı Parola İlkelerini kullanın;

• Ayrıca, GPO'lar için sürüm oluşturmayı ve onaylanma kurallarını korumanıza olanak tanıyan Microsoft AGPM (Gelişmiş Grup İlkesi Yönetimi) aracını kullanmanızı öneririm;

• ADMX şablonları için Grup İlkesi Merkez Mağazasını kullanın. Bu durumda, Grup İlkesi admx dosyalarını tüm bilgisayarlara manuel olarak dağıtmanız gerekmez.

Sonuç olarak, GPO yapınızı olabildiğince basit tutmanızı ve gereksiz politikalar oluşturmamanızı tavsiye edeceğim. Şeffaf bir ilke adlandırma şeması kullanın. GPO'nun adı, ne için olduğunu açıkça belirtmelidir.