Windows Server 2025 / Entender a precedência e a herança das GPOs

Por padrão, as Políticas de Grupo são processadas na ordem local, site, domínio e unidades organizacionais (OUs) pai e filha. Quando o mesmo parâmetro tem valores diferentes, o resultado também depende da ordem dos vínculos, dos vínculos impostos, do bloqueio de herança e dos filtros. Um relatório de política permite identificar a GPO que forneceu o valor efetivo.

Entenda a precedência padrão e suas exceções

As configurações são cumulativas: uma GPO processada depois não elimina todos os demais parâmetros definidos pelas GPOs anteriores. A documentação da Microsoft sobre processamento da Política de Grupo descreve a ordem padrão e suas exceções.

A filtragem de segurança e os filtros Windows Management Instrumentation (WMI) podem excluir uma GPO. As seções de usuário e computador também seguem os locais de seus respectivos objetos. Confira a origem do resultado antes de impor um vínculo para encobrir um problema.

Registre a configuração existente

O CLIENT1 está em Lab\Workstations. A GPO filha Lab-Computer-Message, criada na lição anterior, fornece o título Laboratório Windows Server e o texto Laboratório do curso Windows Server. Anote a ordem dos vínculos, a imposição, os filtros e os dois valores. Faça o teste somente na rede isolada; não altere imposição nem herança em um domínio de produção.

Adicione uma GPO na OU pai com o mesmo texto de mensagem; apenas o título muda. Assim, a comparação modifica uma variável.

Defina o mesmo parâmetro nas OUs pai e filha

1. Crie Lab-Parent-Message e vincule-a à OU pai Lab.
2. Em Opções de Segurança, defina o título da mensagem de logon do computador como Laboratório Pai.
3. Defina o texto como Laboratório do curso Windows Server, igual ao da GPO filha.
4. Mantenha o título Laboratório Windows Server na GPO filha, sem impor vínculos nem adicionar filtros.
5. Atualize a política do CLIENT1 e examine o relatório e a mensagem em um novo login.

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gp-order-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

Nessas condições, o título Laboratório Windows Server da GPO filha deve prevalecer. Se isso não ocorrer, confira a origem indicada no relatório e o local real do CLIENT1; outra GPO pode participar do resultado.

Desative temporariamente apenas o vínculo da OU filha

1. Desative o vínculo Lab-Computer-Message na OU Workstations, sem desabilitar a seção de computador de toda a GPO.
2. Atualize a política e examine um novo relatório e um novo login.
3. Verifique se Lab-Parent-Message passa a fornecer o título Laboratório Pai.
4. Reative o vínculo da OU filha, atualize a política e confirme o retorno do título e da origem iniciais.

O teste compara duas GPOs que definem valores diferentes para o mesmo parâmetro. Ele não demonstra que todo parâmetro retorna automaticamente ao estado inicial quando um vínculo é removido. Mantenha os filtros sem alterações durante o teste.

Remova apenas a configuração de teste

Antes de remover o vínculo de Lab-Parent-Message, verifique todos os seus usos. Exclua a GPO somente se não for usada em outro local. Confira depois o vínculo da OU filha e o retorno das configurações originais.

Para comparar parâmetros de usuário, examine a OU da conta de usuário. Uma GPO que contém apenas parâmetros de usuário e está vinculada à OU de um computador normalmente não acompanha esse computador da mesma maneira. O processamento em loopback é um mecanismo distinto que precisa de planejamento próprio. Consulte o escopo da Política de Grupo documentado pela Microsoft.