Windows Server 2025 / Diagnosticar um GPO que não é aplicado
Se uma configuração de Política de Grupo não for aplicada, confira, nesta ordem, o conteúdo do GPO, seu vínculo e escopo, os filtros e permissões, a conectividade com o domínio e o resultado no cliente. O relatório gpresult pode indicar por que um GPO foi recusado ou qual política prevaleceu; isso é mais útil do que repetir gpupdate sem diagnóstico.
Identificar a conta, o computador e a configuração afetados
Se a mensagem de logon « Laboratório Windows Server » configurada nas aulas anteriores não aparecer no CLIENT1, anote o nome do computador, sua unidade organizacional (OU) e o GPO envolvido. Para uma configuração de usuário, identifique a conta realmente conectada e sua OU. Verifique se a falha atinge um único ajuste, todo o GPO ou outros clientes.
Durante a replicação, controladores de domínio diferentes podem mostrar versões temporariamente distintas. As orientações da Microsoft para diagnosticar a aplicação de Política de Grupo usam relatórios de resultado e eventos para localizar a causa.
hostname
whoami
$env:LOGONSERVER
Get-CimInstance Win32_ComputerSystem | Select-Object Domain,PartOfDomainExaminar o conteúdo e os vínculos no GPMC
- Na guia Configurações do GPO, confirme que o valor esperado foi salvo.
- Verifique se ele pertence a Configuração do Computador ou Configuração do Usuário.
- Confira a OU vinculada, o estado do vínculo e a habilitação da parte correspondente do GPO.
- No filtro de segurança e na delegação, diferencie as permissões Ler e Aplicar Política de Grupo.
- Examine também o filtro Windows Management Instrumentation (WMI), o bloqueio de herança e os vínculos impostos.
Remover « Usuários Autenticados » não define, por si só, um escopo restrito correto. Para processar uma política de usuário, a conta do computador também pode precisar de permissão de leitura no GPO. Consulte a documentação sobre escopo e filtragem dos GPOs.
Coletar o resultado aplicado ao cliente
No CLIENT1, abra uma sessão elevada para as consultas de computador. Execute a última linha, referente ao usuário, na sessão da conta afetada; se a elevação usar outra conta administrativa, execute essa linha separadamente na sessão do usuário:
$reportDirectory = Join-Path $env:TEMP ('gp-check-' + (Get-Date -Format 'yyyyMMdd-HHmmss'))
New-Item -ItemType Directory -Path $reportDirectory | Out-Null
gpresult /r /scope computer
gpresult /scope computer /h (Join-Path $reportDirectory 'computer.html')
gpresult /r /scope user| Observação no relatório | Próxima verificação |
|---|---|
| GPO ausente | OU, vínculo, filtro e momento do processamento |
| GPO recusado ou filtrado | Motivo informado, permissões Ler/Aplicar efetivas e condições do filtro |
| GPO aplicado, mas valor incorreto | Precedência e GPO que fornece o valor final |
| Sem dados do usuário | Conta conectada e sessão que gerou o relatório |
Um GPO constar na lista de políticas aplicadas não garante que cada configuração produziu o efeito esperado. Confira a versão de Windows compatível, o modelo administrativo, a parte computador ou usuário e o processamento da extensão correspondente.
Relacionar DNS, SYSVOL, replicação e eventos
Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV
Test-Path '\\ad.example.test\SYSVOL'
Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 30 | Select-Object TimeCreated,Id,LevelDisplayName,MessageUm DNS incorreto ou a pasta SYSVOL inacessível podem impedir que o cliente obtenha as políticas. Se Test-Path retornar True, isso confirma apenas o acesso ao caminho; os arquivos e suas permissões ainda podem estar errados. Compare horário e identificador de atividade (ActivityID) para relacionar eventos da mesma tentativa.
Um GPO tem uma parte no AD DS e outra no SYSVOL. Verifique a replicação entre DC1 e DC2 em vez de confiar apenas na listagem dos diretórios. Não sobrescreva dados a partir de um controlador antigo nem exclua SYSVOL como correção genérica.
Corrigir uma causa confirmada e testar novamente
Corrija uma causa identificada por vez, atualize a política no cliente afetado e faça novo logon ou reinicie somente se a configuração exigir:
gpupdate /target:computer /forceGere outro relatório e compare o valor esperado, o GPO que fornece o valor final e o comportamento observado. Consulte os casos especiais do processamento de Política de Grupo. Se a mudança não resolver, reverta-a e registre o erro e o horário da coleta para continuar o diagnóstico.
Relatórios HTML e logs de eventos podem conter nomes de usuários e computadores, domínios e caminhos internos. Revise e limite esses dados antes de publicar o diagnóstico.
