Gruppenrichtlinienobjekte werden nicht angewendet. Grund: Nicht zugänglich, leer oder deaktiviert; Server 2012 R2 und Windows 10

Ich habe eine Windows Server 2012 R2-Domäne.

Gestern funktionierte das Netzwerklaufwerk eines Computers (unter Windows 10 Pro) nicht mehr.

Nach weiteren Untersuchungen ( gpresult /h) scheinen ALLE Gruppenrichtlinienobjekte mit dem Grund fehlzuschlagen Inaccessible, Empty, or Disabled.

Ich habe bestätigt, dass alle Gruppenrichtlinienobjekte noch vorhanden und auf (redundanten und lokalen) Domänencontrollern aktiviert sind. Darüber hinaus gibt es 20 andere Computer in derselben Domäne und demselben LAN, die absolut problemlos sind.

Es gibt jedoch einen anderen Computer, den ich getestet habe und der das gleiche Problem aufweist! Heißt das, das Problem liegt bei den Servern?

gpresult /rmeldet, dass ein Client Gruppenrichtlinienobjekte von lokalem DC1 und der andere von DC2 erhält. Es ist also kein Problem in Bezug auf einen bestimmten DC.

gpupdate /force Behoben nichts (obwohl behauptet wurde, dass Richtlinien angewendet wurden).

Ich habe versucht, die Registrierungseinträge für lokale Richtlinien zu löschen (siehe /superuser/379908/how-to-clear-or-remove-domain-applied-group-policy-settings-after-leaving-the -do ) und Neustart - das gleiche Problem.

Ich habe diese Support-Seite von Microsoft ( https://support.microsoft.com/en-us/kb/2976965 ) gefunden, sie gilt jedoch nur für Windows 7 oder frühere Clients.

Alle meine Computer (sowohl Server als auch Client) sind 64-Bit-Versionen und werden vollständig aktualisiert. Ich habe sie alle neu gestartet, nur um sicherzugehen.

Überprüfen Sie die joeqwerty Link Patch zu .

Es gibt das wichtige Detail:

Bekannte Probleme

MS16-072 ändert den Sicherheitskontext, mit dem Benutzergruppenrichtlinien abgerufen werden. Diese konstruktionsbedingte Verhaltensänderung schützt die Computer der Kunden vor einer Sicherheitslücke. Vor der Installation von MS16-072 wurden Benutzergruppenrichtlinien mithilfe des Sicherheitskontexts des Benutzers abgerufen. Nach der Installation von MS16-072 werden Benutzergruppenrichtlinien im Sicherheitskontext des Computers abgerufen. Dieses Problem betrifft die folgenden KB-Artikel:

• 3159398 MS16-072: Beschreibung des Sicherheitsupdates für Gruppenrichtlinien vom 14. Juni 2016
• 3163017 Kumulatives Update für Windows 10: 14. Juni 2016
• 3163018 Kumulatives Update für Windows 10 Version 1511 und Windows Server 2016 Technische Vorschau 4: 14. Juni 2016
• 3163016 Kumulatives Update für Windows Server 2016 Technische Vorschau 5: 14. Juni 2016

Symptome

Alle Benutzergruppenrichtlinien, einschließlich derer, die für Benutzerkonten oder Sicherheitsgruppen oder beides sicherheitsgefiltert wurden, können möglicherweise nicht auf Computer angewendet werden, die einer Domäne angehören.

Ursache

Dieses Problem kann auftreten, wenn dem Gruppenrichtlinienobjekt die Leseberechtigungen für die Gruppe der authentifizierten Benutzer fehlen oder wenn Sie die Sicherheitsfilterung verwenden und Leseberechtigungen für die Gruppe der Domänencomputer fehlen.

Auflösung

Verwenden Sie die Gruppenrichtlinien-Verwaltungskonsole (GPMC.MSC) und führen Sie einen der folgenden Schritte aus, um dieses Problem zu beheben:

- Fügen Sie die Gruppe Authentifizierte Benutzer mit Leseberechtigungen für das Gruppenrichtlinienobjekt (Group Policy Object, GPO) hinzu.
- Wenn Sie die Sicherheitsfilterung verwenden, fügen Sie die Gruppe Domänencomputer mit Leseberechtigung hinzu.

Siehe diesen Link Bereitstellen von MS16-072, der alles erklärt und Skript zum Reparieren der betroffenen Gruppenrichtlinienobjekte bietet. Das Skript fügt allen Gruppenrichtlinienobjekten, die keine Berechtigung für authentifizierte Benutzer haben, Leseberechtigungen für authentifizierte Benutzer hinzu.

# Copyright (C) Microsoft Corporation. All rights reserved.

$osver = [System.Environment]::OSVersion.Version
$win7 = New-Object System.Version 6, 1, 7601, 0

if($osver -lt $win7)
{
    Write-Error "OS Version is not compatible for this script. Please run on Windows 7 or above"
    return
}

Try
{
    Import-Module GroupPolicy
}
Catch
{
    Write-Error "GP Management tools may not be installed on this machine. Script cannot run"
    return
}

$arrgpo = New-Object System.Collections.ArrayList

foreach ($loopGPO in Get-GPO -All)
{
    if ($loopGPO.User.Enabled)
    {
        $AuthPermissionsExists = Get-GPPermissions -Guid $loopGPO.Id -All | Select-Object -ExpandProperty Trustee | ? {$_.Name -eq "Authenticated Users"}
        If (!$AuthPermissionsExists)
        {
            $arrgpo.Add($loopGPO) | Out-Null
        }
    }
}

if($arrgpo.Count -eq 0)
{
    echo "All Group Policy Objects grant access to 'Authenticated Users'"
    return
}
else
{
    Write-Warning  "The following Group Policy Objects do not grant any permissions to the 'Authenticated Users' group:"
    foreach ($loopGPO in $arrgpo)
    {
        write-host "'$($loopgpo.DisplayName)'"
    }
}

$title = "Adjust GPO Permissions"
$message = "The Group Policy Objects (GPOs) listed above do not have the Authenticated Users group added with any permissions. Group policies may fail to apply if the computer attempting to list the GPOs required to download does not have Read Permissions. Would you like to adjust the GPO permissions by adding Authenticated Users group Read permissions?"

$yes = New-Object System.Management.Automation.Host.ChoiceDescription "&Yes", `
    "Adds Authenticated Users group to all user GPOs which don't have 'Read' permissions"
$no = New-Object System.Management.Automation.Host.ChoiceDescription "&No", `
    "No Action will be taken. Some Group Policies may fail to apply"
$options = [System.Management.Automation.Host.ChoiceDescription[]]($yes, $no)
$result = $host.ui.PromptForChoice($title, $message, $options, 0)  
$appliedgroup = $null
switch ($result)
{
    0 {$appliedgroup = "Authenticated Users"}
    1 {$appliedgroup = $null}
}
If($appliedgroup)
{
    foreach($loopgpo in $arrgpo)
    {
        write-host "Adding 'Read' permissions for '$appliedgroup' to the GPO '$($loopgpo.DisplayName)'."
        Set-GPPermissions -Guid $loopgpo.Id -TargetName $appliedgroup -TargetType group -PermissionLevel GpoRead | Out-Null
    }
}

Wenn Sie lieber die Leseberechtigung für Domänencomputer festlegen (wie ich) als für authentifizierte Benutzer, ändern Sie dies einfach 0 {$appliedgroup = "Authenticated Users"}in0 {$appliedgroup = "Domain Computers"}