GPUpdate/force ile Grup İlkesi Güncellemesini Zorlama

Güvenlik duvarlarınızı ve proxy sunucularınızı yöneten güvenlik uzmanından bir telefon aldığınızı hayal edin. İnternete giren kullanıcılar için ek bir proxy sunucusu eklediğini söylüyor. Yeni proxy sunucusunu Internet Explorer aracılığıyla kullanabilmeleri için tüm kullanıcıları etkileyen yeni bir GPO eklersiniz. Genellikle yeni bir GPO'nun uygulanması 90 ila 120 dakika sürer, ancak yeni ayarların hemen uygulanması gerekir ve kullanıcılarınıza, bunları uygulamak için oturumu kapatıp tekrar oturum açmalarını söyleyemezsiniz. Bu gibi durumlarda, arka planda politika işleme başlamadan önce normal bekleme süresini atlamak isteyebilirsiniz. Bunu komut istemini, Grup Politikası Yönetim Konsolunu (GPMC) veya PowerShell'i kullanarak yapabilirsiniz.

GPU güncellemesi nedir

Grup İlkesi, yöneticilerin kullanıcılara ve bilgisayarlara çok çeşitli ayarları uygulamasını sağlayan, Active Directory'nin değerli bir özelliğidir. Grup İlkesi nesnelerinde (GPO'lar) yapılan değişikliklerin ve yeni GPO'ların zamanında uygulanması güvenlik ve üretkenlik açısından kritik öneme sahiptir.

Buna göre, etki alanı üyesi bir bilgisayar yeniden başlatıldığında veya bir kullanıcı bu bilgisayarda oturum açtığında Grup İlkesi otomatik olarak yenilenir. Ayrıca tanımlanmış bir arka plan yenileme aralığında otomatik olarak güncellenir (varsayılan olarak, 30 dakikaya kadar rastgele bir aralıkla her 90 dakikada bir).

Ancak bazen yöneticilerin, örneğin yeni bir ilke oluşturduklarında veya mevcut bir ilkede önemli bir değişiklik yaptıklarında GPO ayarlarını istemci sistemlerine hemen uygulamaları gerekir. Dahası, bazen yerel makinelerde yapılan istenmeyen değişiklikleri geri almak için yalnızca değişiklikleri uygulamakla kalmayıp aynı zamanda genellikle değiştirilmemiş GPO'ları yeniden uygulamak isterler.

Bu belge, Grup İlkesi yenilemesini zorlayabileceğiniz yöntemler konusunda size yol gösterir.

GPUpdate ve GPUpdate /force komutu

gpupdate /force komutu, grup ilkesini güncellemek için en sık kullanılan komutlardan biridir. /force anahtarı, yöneticilerin tüm ilke ayarlarını yeniden uygulamasına olanak tanır. Ancak, /force anahtarının kullanılmasının, özellikle ortamda çok sayıda Grup İlkesi Nesnesi (GPO) olduğunda, Etki Alanı Denetleyicileri (DC'ler) üzerinde önemli bir yüke yol açacağını dikkate almak önemlidir.

Önemli bir kiracılığınız veya çok sayıda GPO'nuz varsa, yeni ilke ayarlarını uygulamak için gpupdate'i /force anahtarı olmadan çalıştırmanız tercih edilir. Bu yaklaşım yalnızca değişiklikleri veya yeni grup ilkelerini alacak ve böylece hem istemcinin hem de etki alanı denetleyicilerinin iş yükünü azaltacaktır.

Grup ilkesi güncellemesi nasıl zorlanır

Grup İlkesi güncellemesini zorlamak için aşağıdaki seçeneklerden herhangi birini kullanabilirsiniz:

gpupdate /force komutu
Grup İlkesi Yönetim Konsolu (GPMC)
Güç kalkanı

Ön koşul: GPO'ları Uygulamadan Önce Güvenlik Duvarlarını Yapılandırma

Bu seçeneklerden herhangi birini kullanarak GPO'ların yeniden uygulanmasını zorlamadan önce, Microsoft belgelerinde ayrıntılı olarak açıklandığı gibi, güvenlik duvarlarının ilgili bağlantı noktalarında (varsayılan olarak TCP bağlantı noktası 135) gelen ağ trafiğine izin verdiğinden emin olun.

Komut İstemini Kullanarak Grup İlkesi Güncellemesini Zorlayın

gpupdate, Active Directory bilgisayarlarında Grup İlkesi güncellemesine yönelik bir Microsoft Komut kabuk komutudur. Tüm Windows İşletim Sistemi sürümlerinde bulunur.

/force Parametresi

gpupdate komutunu hiçbir parametre olmadan çalıştırmak yalnızca değiştirilen politika ayarlarını ve yeni GPO'ları uygular. Ancak bazen, örneğin yerel yöneticilerin (veya hesaplarının güvenliğini ihlal eden düşmanların) yaptığı istenmeyen değişiklikleri geri almak için değişmeyen tüm GPO'ları yeniden uygulamanız gerekebilir.

Bu durumda /force parametresini aşağıdaki şekilde kullanmanız gerekir:

gpupdate /force

Grup İlkesi ayarlarını güncellemek için bu parametreyi kullanırken akılda tutulması gereken iki önemli husus vardır:

Fiziksel olarak her kullanıcı makinesine gitmeli ve gpupdate /force komutunu manuel olarak çalıştırmalısınız. (Bilgisayarları uzaktan güncellemek için aşağıda açıklandığı gibi PowerShell'i kullanın.)
/force anahtarının kullanılması, özellikle ortamda çok sayıda GPO olduğunda, DC'ler ve istemciler üzerinde önemli bir yük oluşmasına neden olabilir. Bu durumlarda gpupdate'in /force parametresi olmadan çalıştırılması tercih edilir.

Ek Parametreler

Kullanıcı bir makinede oturum açmışken gpupdate'i çalıştırmak, Windows'a hemen yeni GPO ayarlarını verir (tabii ki, etki alanı denetleyicisinin çoğaltılmış GPO bilgilerine sahip olduğu varsayılarak).

Kullanıcı oturum açmadıysa, Windows XP ve sonraki sürümlerde varsayılan olarak GPO ayarları yalnızca bir sonraki oturum açma zamanında işlenir. Ancak doğru anahtarları kullanırsanız gpupdate, yeni değiştirilen öğelerin etkin olması için oturum kapatma veya yeniden başlatma gerektirip gerektirmediğini anlayabilir:

/Logoff - Bu anahtarın kullanılması, bir politika değişikliğinin kullanıcının oturumu kapatmasını gerektirip gerektirmediğini anlayacaktır. Aksi takdirde yeni ayarlar hemen uygulanır; bu durumda kullanıcının oturumu otomatik olarak kapatılacak ve tekrar giriş yaptığında Grup İlkesi ayarları uygulanacaktır.
/boot - Benzer şekilde, Hızlı Önyükleme etkinleştirilirse, Yazılım Dağıtımı ayarlarına sahip GPO'ları uygulamak için yeniden başlatma gerekir. gpupdate'i /boot anahtarıyla çalıştırmak, bir politikanın yeniden başlatmayı gerektiren bir şey olup olmadığını anlayacak ve bilgisayarı otomatik olarak yeniden başlatacaktır. Güncellenen GPO yeniden başlatma gerektirmiyorsa GPO ayarları uygulanır ve kullanıcı oturum açmış halde kalır.

Hem /Logoff hem de /boot anahtarları isteğe bağlıdır.

/force ile birlikte başka kullanışlı anahtar seçenekleri de mevcuttur

/Logoff - Grup İlkesi ayarları güncellendikten sonra kullanıcının oturumunu kapatır.
/Sync - Ön plandaki (başlatma/oturum açma) işlemeyi eşzamanlı olarak değiştirin.
/Target - İlke ayarlarının yalnızca Kullanıcılar için mi yoksa Yalnızca Bilgisayarlar için mi güncelleneceğini belirtir. Hem Kullanıcı hem de Bilgisayar ilkesi ayarları varsayılan olarak güncellenir.
/Boot - Grup İlkesi ayarları uygulandıktan sonra makineyi yeniden başlatın.

Grup İlkesi Yönetim Konsolu'nu (GPMC) kullanarak grup ilkesi güncellemesini zorunlu kılın

Windows Grup İlkesi güncellemesini zorlamanın ikinci yolu Grup İlkesi Yönetim Konsolu'nu kullanmaktır. gpupdate komutu tüm kuruluş birimlerine ilişkin tüm ilkeleri güncellerken, GPMC size güncellemeyi belirli bir kuruluş birimiyle sınırlandırma seçeneği sunar. Şu adımları izleyin:

GPMC'yi (Grup İlkesi Yönetim Konsolu) açın
GPO'yu bir kuruluş birimine bağlayın.
İstenilen kuruluş birimine sağ tıklayın ve Grup İlkesi Güncellemesi” seçeneğini seçin.
Görüntülenen Grup İlkesi Güncellemesini Zorla iletişim kutusunda Evet'i tıklatarak eylemi onaylayın.

Powershell kullanan bilgisayarlarda grup ilkesi güncellemesini uzaktan zorla

Grup İlkesini uzaktan güncellemek için Powershell'i kullanmanız gerekir. Windows Server 2012'den bu yana Invoke-GPUpdate cmdlet'ini kullanabilirsiniz. Windows istemci bilgisayarlarında Grup İlkesi uzaktan güncellemesini zorlamak için. Hem PowerShell'in hem de Grup İlkesi Yönetim Konsolunun kurulu olması gerekir. Cmdlet hiçbir çıktı üretmez.

Uzak Grup İlkesi Güncellemesi için Involve-GPUpdate'i kullanma örnekleri

Invoke-GPUpdate cmdlet'ini kullanmanın bir diğer avantajı da "RandomDelayInMinutes" seçeneğinin gecikmeyi ayarlamanıza olanak sağlamasıdır. Hemen bir Grup İlkesi güncellemesi yapmak istiyorsanız, bunu burada gösterildiği gibi 0 olarak ayarlayın:

Invoke-GPUpdate –Computer LHE-LT-ADAM -RandomDelayInMinutes 0

Bu örnekte, "LHE-LT-ADAM" olarak tanımlanan bir bilgisayar, Grup İlkesi güncellemesi başlatıldıktan hemen sonra yeniden başlatıldı. Cmdlet hiçbir çıktı üretmez. Bu parametreyi kullanmanın tek dezavantajı, kullanıcıların bir cmd ekranı açılır penceresiyle karşılaşmasıdır.

Tüm bilgisayarlarda güncellemeyi zorlamak istiyorsanız aşağıdaki kodu çalıştırın. Etki alanındaki tüm bilgisayarları alacak, onları bir değişkene yerleştirecek ve her nesne için komutları çalıştıracaktır.

$compgpoupd = Get-ADComputer -Filter *
$compgpoupd | ForEach-Object -Process {Invoke-GPUpdate -Computer $_.name -RandomDelayInMinutes 0 -Force}

RandomDelayInMinutes parametresini kullanmanın tek dezavantajı, kullanıcıların bir cmd ekranı açılır penceresiyle karşılaşmasıdır.

Bu kod, etki alanındaki tüm bilgisayarları alacak, onları bir değişkene yerleştirecek ve her nesne için komutları çalıştıracaktır.

GPO'ları uygulamadan önce güvenlik duvarlarını yapılandırın

GPMC'nizi açmadan önce güvenlik duvarlarının belirli bağlantı noktalarında gelen ağ trafiğine izin verdiğinden emin olun. Windows Server 2012'den başlayarak, Grup İlkesi Düzenleyicisi'nde "Grup İlkesi Uzaktan Güncelleme Güvenlik Duvarı Bağlantı Noktaları" adı verilen ve TCP bağlantı noktası 135'in uzaktan zamanlanmış görev yönetimi için ayarlanıp ayarlanmadığını doğrulayan bir başlangıç GPO'su vardır.

GPO ile Gelişmiş Güvenlik Özellikli Windows Güvenlik Duvarını etkinleştirmek için:

Grup İlkesi Yönetimi arayüzünü başlatın.
Gezinti bölmesinde aşağıdakileri genişletin: Orman (OrmanAdınız) => Etki Alanları (AlanAdınız) => <Grup İlkesi Nesneleri: (AlanAdınız) => düzenlemek istediğiniz GPO'yu sağ tıklayın ve Düzenle'yi seçin.
Grup İlkesi Yönetimi Düzenleyicisi'nin gezinme çubuğundan, Bilgisayar Yapılandırması => İlkeler => Windows Ayarları => Güvenlik Ayarları => Gelişmiş Güvenlik Özellikli Windows Güvenlik Duvarı => Windows Güvenlik Duvarı için Gelişmiş Güvenlik.

GPO arka planı yenileme

Tüm Grup İlkesi istemcileri, arka plan yenileme aralığı geçtiğinde GPO'ları işler; ancak yalnızca yeni olan veya istemcinin son isteğinden bu yana değişen GPO'ları işlerler.

Ancak güvenlik ayarları için Grup İlkesi motoru farklı çalışır. Yalnızca güvenlik politikası ayarları için özel bir arka plan yenilemesi istenir. Buna arka planda güvenlik yenilemesi adı verilir ve Windows Server'ın her sürümü için geçerlidir. Her 16 saatte bir, her Grup İlkesi istemcisi Active Directory'ye güvenlik ayarları içeren tüm GPO'lar (yalnızca değişenler değil) hakkında sorular sorar ve bu güvenlik ayarlarını yeniden uygular. Bu, istemcide bir güvenlik ayarının değişmesi durumunda (Grup İlkesi motorunun arkasından), 16 saat içinde otomatik olarak uygun ayara döndürülmesini sağlar.

Yerel GPO'lar için arka planda yenileme işlemi

Daha önce belirtildiği gibi, Grup İlkesi yenilemesini zorlamanız gerekebilecek temel nedenlerden biri, yerel yöneticilerin (veya düşmanların veya hesaplarının güvenliğini ihlal etmiş olanların!), makinelerindeki ayarlarda, GPO ile belirlediğiniz bir ilkeyi geçersiz kılacak değişiklikler yapabilmesidir. Bu değişiklikler üretkenliğe ve hatta güvenliğe zarar verebilir. Örneğin, yerel bir yönetici, USB sürücülerini yasaklayan GPO ayarınızı geçersiz kılarak hem veri hırsızlığına hem de kötü amaçlı yazılım girişine olanak sağlayabilir.

Buna göre, yerel yönetici haklarını yalnızca gerçekten ihtiyaç duyulduğunda vermelisiniz. Düzenli kullanıcılara asla yerel yönetici hakları verilmemelidir.

Güvenlikle ilgili olmayan grup ilkesi ayarlarının zorunlu olarak yeniden uygulanması

Yukarıda belirtildiği gibi, düzenli arka plan güncellemesi yalnızca yeni ve değiştirilmiş GPO'lar için geçerlidir. Ancak GPO'lar değişmemiş olsa bile belirli ayarları yeniden uygulamak için normal arka plan yenilemeyi değiştirebilirsiniz. Bu, güvenlikle ilgili olmayan açıkları düzeltmenin iyi bir yoludur.

Özellikle, her ilk ilke işleme ve arka plan yenileme sırasında aşağıdaki Grup İlkesi alanlarının yeniden uygulanmasını zorunlu kılmayı seçebilirsiniz:

Kayıt Defteri (Yönetim Şablonları)
Microsoft Kenar Bakımı
IP Güvenliği
EFS Kurtarma Politikası
Kablosuz Politikası
Disk Kotası
Kodlar
Güvenlik
Klasör Yönlendirme
Yazılım yükleme
Kablolu Politika

Netwrix nasıl yardımcı olabilir?

Grup İlkesi, Windows altyapınızın ayarlarını yönetmenin son derece güçlü bir yoludur. Ama aynı zamanda karmaşıktır. Gerçekten de, yıllar süren birleşme ve satın almalar, çalışan değişimi, teknoloji değişiklikleri ve benzerlerinden sonra, Grup İlkesini manuel yöntem ve yerel araçlar kullanarak etkili bir şekilde yönetmek neredeyse imkansız hale gelir.

Netwrix PolicyPak, Grup İlkesi yönetimini basitleştirir ve GPO'larınızı temizlemenize ve birleştirmenize olanak tanır. Sonuç olarak kuruluşunuz daha hızlı oturum açma, daha yüksek güvenlik, daha iyi çalışma süresi ve daha az yanlış yapılandırmadan yararlanacaktır.

Çözüm

Grup İlkesi ayarlarının BT varlıklarınızda güncel tutulması üretkenlik, güvenlik, uyumluluk ve daha fazlası açısından kritik öneme sahiptir. GPO değişiklikleri bir sonraki yenileme aralığında otomatik olarak uygulanırken; bunları hemen uygulamak için yenilemeyi de zorlayabilirsiniz. Ekstra bir güvenlik önlemi olarak, yerel yöneticiler tarafından yapılan istenmeyen değişiklikleri geri almak için belirli Grup İlkesi ayarlarının değişmemiş olsalar bile her zaman yeniden uygulanmasını sağlayabilirsiniz.

SSS

Grup ilkesi nasıl güncellenir?

Grup İlkesini manuel olarak güncellemek için yöneticiler gpupdate /force komutunu, Grup İlkesi Yönetim Konsolunu (GMPC) veya PowerShell'i kullanabilir. /force anahtarı, yöneticilerin tüm politika ayarlarını yeniden uygulamasına olanak tanır

gpupdate /force ne işe yarar?

Grup İlkesi, arka plan yenileme planına göre otomatik olarak güncellenir. Ancak bazen bir güncellemenin veya yeni politikanın daha erken yürürlüğe girmesi gerekebilir veya kuruluşun, yerel yöneticiler tarafından yapılan uygunsuz politika değişikliklerini geri alması gerekebilir. Bu gibi durumlarda yönetici, bir Grup İlkesi güncellemesini hemen uygulamak için gpupdate komutunu /force parametresiyle birlikte kullanabilir.

Grup İlkesini güncellemek gpupdate /force ne kadar sürer?

Grup İlkesini güncellemeyi zorlamak için gereken süre, uygulanan ilkelerin sayısına bağlıdır. Az sayıda politikanın güncellenmesi yalnızca birkaç dakika sürebilir, ancak genellikle süreç 90 dakikalık uygulama süresini ve iş yükü dağıtımı için 30 dakikalık bir gecikmeyi içerir.