» Групповые политики (Group Policy, GPO): документация, ссылки

Greenfox Resultant Set of Policy просмотри, Override случаем нигде нету?

Добавлено:
gizzzmo
За этой машиной не только вражеский пользователь работает?

KocmonpaBнет, там терминал и порядка 30 пользователей работают одновременно.

KocmonpaB
в том то и дело что нет... :/
не знаю чем ещё промониторить....
Самое что смешное что смотрю на своей машине иногда политика всё же применяется, тем же "gpupdate /force" Но если после этого зайти в соот-й ключ реестра, удалить установленые политикой пермишины и снова применить политику (gpupdate) или просто комп ребутнуть, то пермишины не появяться... Понять не могу как это работает... Может там нюансы есть какие при прменении реестровых пермишенов???

gizzzmo
Политика запуска программ. Правда если догадается переименовать.

Добавлено:
greenfox
Давай подробнее как делал, полголовы хорошо, а одна лучше.

KocmonpaB
да стандартно вроде... Создал тестовый OU, запихнул туда нужные ПК в том числе и свой. В св-вах OU задал (создал) соот-ю GP новую. В ней прописал одно значение - в частности вписал пермишины на ветку "HKEY_LOCAL_MACHINE\Software\TestPO" (TestPO для примера, типа софтина). Пермишены для того что бы domain users имели полные права на эту ветку. Соот-но в GP прописал эту ветку, пермишены на неё (доменным юзверям, админам и системной записи) с соот-й чекбоксом "configure this key then" (ниже пробовал оба варианта). Собственно вот.

Вот есь у меня мысля, пока эксперементировал обратил внимание что на моей тачке в частности изменения всё же происходят когда политику эту меняешь. Там же вроде версия политики (GPC) меняется при изменении? Т.е. если скажем добавить какой пермишен или удалить (изменив тем самым версию) то она вроде применяется. Но если тупо попытаться применить её - то нет. Надо бы конечно проверить инфу ещё, но вроде пару раз внимание обращал на это.

greenfox
В качестве эксперимента, попробуй добавить и пользователя в OU.
эта политика у тебя не перекрывается случайно доменной? попробовать поставить галку чтобы не перекрывалась она.

Добавлено:
Хотя наверное ты все это вже попробовал.

KocmonpaB
не помогло... доменная политика есть, но (как и по умолчанию) она применяется первой и соот-но не переписывает политику OU (а наоборот). Проверил версию с GPC - действительно, при изменении политики (и соот-но её версии) она применяется нормально единожды. Не могу понять, куда копать....

ps версию с "кинуть туда же пользователя" попробую конечно, но вроде реестровые пермищины только на уровне ПК применяются...

KocmonpaB
Цитата:

Политика запуска программ. Правда если догадается переименовать.

- Запретить средствами AD хеш миранды тоже не вариант, релизов много, везде хеши разные да и к тому же она ей нужна для внутренней аськи.
Не катит... в миранде используется плагин внутренней аськи.
Кароче я так понял путей решения проблемы нет(

gizzzmo Похоже только прокси.

KocmonpaB
угу, походу придется переводить все внешние аськи на выход через прокси, и закрывать правило прямого выхода. Тока тогда получится блок по имени доменного пользователя. Жесть блин.

Доброго всем времени суток. Просмотрел все что можно по групповым политикам но не нашел ответа на свой вопрос. Суть примерна такая же как по вопросу от Ponimas http://forum.ru-board.com/topic.cgi?forum=8&topic=8921&start=60#10


Цитата:

Автор: Ponimas, Отправлено:06:20 19-06-2006

в редакторе групповых политик почему-то отсутствуют некоторые пункты
...
как сделать так, чтоб они появились.

Ставил с нуля (и не один раз, и не только я) win2k3 с интегрированным sp1. Без никаких настроек, установки софта, захожу в gpedit.msc и ситуация такая:
http://img523.imageshack.us/img523/2903/gp1xk1.jpg
отсутствуют некоторые оснастки груповой политике, в частности в конфигурация компьютера->административные шаблоны-> ????
Попытки добавить шаблоны ни привели ни к чему - просто напросто их нет в каталоге windows/inf где они по умолчанию и должны находится.
Подсобите советом - почему?и как это исправить? И можно ли импортировать груповые политики хрюши?

Как можно с помощью GPO установить один скринсейвер на все компьютеры организации? допустим с помощью ГПО копирую файл в директорию на каждый комп, но как системе указать чтобы он был дефолтным скринсейвером? Есть како-нибудь код?

Господа, подскажите в чем может быть трабл:
есть W2003 + AD
раб. станции WinXPPro + SP2
правлю тут:
конфиг. комп\конфиг.винд\параметры безопас\службы
настраиваю службы и она не применяются
хотя другие политики применяются нормально
что делать?

Одна странность. Подключил к домену новый компьютер, создал нового пользователя. Файлы этого пользователя на сервере не кешируется, и при запуске его система по этому поводу сильно ругается. Как поправить?

privet vsem

ivinite chto pishu latinskimi net ruskai klaviaturi

u menia est domain i neskolko iserov.
pastavil vtaroi server toje win 2003 kak sdelat sviaz mejdu etimi serverami

userav vpixival v domein abichnim network identifikation wizardam

a setim chto i kak sdelat ne znaiu
pamagite dobrie ludi


spasibo zaranie

Windows 2000 server + AD+DNS+DHCP
кто-то сталкивался с такой проблемой. Запускаю на контроллере домена Политику безопасности домена. Выдает следующее http://rf.foto.radikal.ru/0710/6d/983767d842f9.png

попробовал создать новую политику для домена через Active Directory-пользователи и компьютеры--свойства--Групповая политика. Поместил ее в самый верх, для наивысшего приоритета. Настроил ее, но она не применяется.

В логах есть следующие ошибки
SYSTEM LOG
1-- http://ra.foto.radikal.ru/0710/28/c18045c4c33a.png
2-- http://ra.foto.radikal.ru/0710/6f/b7dfe58fd6fd.png

там же ,Active Directory-пользователи и компьютеры--свойства--безопасность, есть какая-то, видимо ранее кем-то удаленная учетка. См http://rq.foto.radikal.ru/0710/09/dea063b00967.jpg

Пытался просто сбросить политику на дефолтную-не помогло. Сбрасывал при помощи recreateDefPol.exe

Господа. Кто -нить знает где взять дополнительны административные шаблоны. Например мне надо проадминить в групповых политиках настройки Internet Explorera - панель управления обозревателем - "страница подключения", а в стандартных шаблонах на DC только "страница безопастности" и "страница дополнительно". Так где же их берут? Самому писать времени нету...

rivkin_max
Конфигурация пользователя\Конфигурация Windows\Настройка Internet Explorer\Подключение

Возможно ли изменить локальную политику применяемую контроллером домена на рабочей станции. Проблема в том, что после включения в домен я не могу зайти в систему по PDP так как в локальной политике в параметре Allow log on through Terminal Services никого не прописано. И изменить этот параметр никак не могу. Захожу локально под администратором , а этот пункт неактивный, не дает никого добавить. Есть какой-нибудь способ обойти спускаемую политику?

Где взять локализованные ADM на 2003 Enterprise (желательно SP2)? Если у кого есть, поделитесь.

Добрые умные люди )), читаю сею ветку уже дофига времени, проблему не решил, НЕ работает политика, отключить "публикация общих ресурсов", на контроллере домена.
после применения политики, на клиенских машинах шары все равно создавать можно, остальные политики применяются, не работает "публикация общих ресурсов"

Друзья, как изменить значение ключа реестра на всех компах в домене?

Интересует ключ winlogon.

Заранее благодарю!

Добрый день уважаемые гуру.... вот уже 2а дня бьюсь головой об бубен и все никак не получается сделать.... Проблема следующая. Есть win2k3 c поднятым на нем AD и KWF. И есть один юзер для всех с настроенной GPO... Вобщем суть проблеммы. Если заходить на рабочие станции под админми есть и аська и инет, а если под юзверем, то есть инет, а аськи нет... вернее она вроде как пытается конектиться, но на этом все и заканчивается... она так и виснет. Прошу указать на мою ошибку в настройках GPO... И не пинайте меня сильно

Если аськовый клиент QIP, то он хочет полные права на свою папку (C:\Program Files\Qip\) и пока не дашь работать не будет.

masakari
Болльшое спасибо за помощь... все заработало... А я уже все правила начал по одному проверять... эх спасибо еще раз

Цитата:

Друзья, как изменить значение ключа реестра на всех компах в домене?

Интересует ключ winlogon.

Заранее благодарю!

сделать файлег с расшЫрением REG и кинуть в доступную всем папОчку.
останется только в логон скриптик прописать и все его сожрут.

Подскажите как решить проблему. XP SP2 включаю в домен. К ней применяются политики домена. После исключения тачки из домена политики изменить нельзя. Как можно стать владельцем локальной политики? После таких же манипуляций с включением и исключением из домена W2000 все политики нормально изменяются. Как это сделать в XP?

Люди добрые, разъясните дубинушке твердолобому в чем соль...., пожаааалуйста, уже сутки бьюсь и никакого толка (((
Суть:
есть сервак, на нем контроллер домена (на самом деле все очень просто: на нем все(AD,DC...)) на нем же запускаем принт сервер, далее запихиваем туда принтер и развертываем его в гпо на определенный контейнер, прописываю в политике на пользователя в сценарии входа: pushprinterconnections.exe с параметром -log (вроде как все должно теперь работать и принтер должен добавляться), но не тут-то было, более того: никаких логов нет, более того нет даже папки в темпе пользователя ppc че-то там...
делаю то же самое в гпо но уже для компьютеров.... результат тоно такой же, в %win%\temp\pp что-то там так же ничего нет, включая папки..... то же самое делаю уже на дефолт домен гпо.... результат такой же..... что не так? ПОЧЕМУ????
расскажите плиз!

Добавлено:
да! естественно перезагружал рабочую станцию и не раз, более того даже в домен ее перезавел, и даже сервак рестартил....

Добавлено:
ой, ребят, сорри про папки я че-то заглючил (%windir%\temp\ppcMachine.log (при подключении для компьютера) и %temp%\ppcUser.log) но этих файлов все равно нет (

Master_Leonid
А что говорит %systemroot%\Debug\UserMode\Userenv.log?
Что говорит rsop.msc?
Про статью Московица вы наверняка знаете, но навсякий случай.

JekaRus

Цитата:

Как можно стать владельцем локальной политики?

Любой член группы Builtin\Administrators может редактировать локальную политику.
Если же вы в домене, проверьте, что вы являетесь членом группы Group Policy Creator Owners.

такой необычный вопрос - есть такая структура ou

Office->Department1-> там пользователи
->Department2 ну итд.
есть еще
Groups->1C там только группа в которой 1с юзеры из разных департаментов
->Roaming и т.д там только группы с пользователями по соответствующим признакам

на 1С,Roaming есть свои gpo, но она не применяется применяется для членов группы только та что на департамент, где юзверь.

Как бы сделать так чтобы применялись обе ?

или посоветуюте как лучше организовать... не хочется лепить все в кучу и назначать отдельные gpo с помощью прав на группы...