Поиск и устранение неисправностей при работе с групповыми политиками

Нетрудно понять, что групповые политики в доменах Active Directory – инструмент насколько гибкий, настолько и сложный. И, казалось бы, все вам понятно и как на ладони весь домен. Вы создаете групповые политики, привязываете их к контейнерам, включаете дополнительные опции по перекрытию и наследованию, и ждете, когда настроенный вами механизм наконец заработает. Но что-то идет не так, либо вообще ничего не происходит. Вы в замешательстве, но расстраиваться рано.

В составе Windows XP и Windows Server 2003 существует ряд утилит, которые помогут администратору в устранении проблем с групповыми политиками. Рассмотрим их подробнее.

Очень часто на форумах приходится видеть жалобы о том, что у кого-то не применяется групповая политика, хотя все параметры выставлены. Как уже говорилось, в процессе работы политики применяются в фоновом режиме через заданный интервал времени. А некоторые из них вообще требуют перезагрузки компьютера. Однако существует возможность принудительного применения групповых политик на конкретной машине. Ее обеспечивает утилита командной строки gpupdate. Она имеет несколько параметров, при помощи которых можно определить, как будет проведено обновление политик. Например, используя параметр /Target, можно указать, какие политики должны быть обновлены: пользователя, компьютера или и те и другие.

Для того чтобы посмотреть, какие политики применяются на конкретной машине, используется утилита gpresult. Без заданных параметров она выдает следующую информацию для текущего пользователя на данной машине:

n  контроллер домена, с которого получены объекты групповой политики;

n  когда и какие политики применялись;

n  какие политики не применялись из-за фильтрации;

n  членство в группах.

RSoP (Resultant Set of Policy, результирующие установки групповых политик) – это графический аналог утилиты gpresult с более широкими возможностями. RSoP – это инструмент составления запросов, с помощью которого администратор может получать информацию об отдельных системах, какие политики на них были применены, в каком порядке и с каким старшинством.

RSoP работает в двух режимах: режиме регистрации и режиме моделирования. В первом случае она берет информацию из базы CIMOM (Common Information Management Object Model, объектная модель управления общей информацией), используя WMI запросы. Это возможно, потому что при входе компьютера в сеть и применения к нему групповых политик все настройки и изменения записываются в CIMOM.

В режиме моделирования вы можете построить запрос и получить информацию о гипотетическом результате применения групповых политик. Режимы регистрации и моделирования могут применяться для отдельных пользователей и компьютеров. Для сайтов, доменов и OU возможно выполнить только моделирующие запросы. Для групп безопасности запросы RSoP не могут быть выполнены. Хотя членство в определенной группе может повлиять на конечный результат применения политик. Запустить выполнение запроса вы можете на контроллере домена из оснастки Active Directory Users and Computers (см. рис. 4).