GPO Denied (Security Filter) не применяется

Question

У меня проблема в моей компании.

У меня есть объект групповой политики и одна группа в фильтре безопасности, давайте назовем его группой X. В моем делегировании я установил разрешения для X (разрешить чтение и разрешить применение групповой политики).

Пользователь входит в группу X, и когда я вхожу в компьютер, этот объект групповой политики отклоняется фильтром безопасности. Как я могу устранить неполадки, чтобы определить, где он запрещает этот объект групповой политики?

Я не знаю, относится ли это к делу, но эта группа X запрещает другой объект групповой политики и разрешает этот конкретный объект.

Answer 1

Возможно, вы удалили Authenticated Users из групповой политики, если это так:

Добавьте аутентифицированных пользователей обратно с помощью вкладки "Делегирование" и выберите "Чтение" в роли (очень важно). Прошедший проверку пользователь НЕ должен иметь возможность "применять групповую политику", а просто "читать" групповую политику (в противном случае ваш фильтр, основанный на членстве в группе, не будет работать).

С июня 2016 года групповые политики извлекаются с учетной записью компьютера (включая групповые политики пользователей), поэтому необходимо разрешить компьютерам читать параметры политики.

Answer 2

Вы можете использовать gpresult /scope user /h rsop.html, чтобы просмотреть RSoP (результирующий набор политик) пользователя, который должен предоставить подробную информацию о фильтрации безопасности для рассматриваемого объекта групповой политики и о том, почему он не применяется так, как вы ожидаете.

Убедитесь, что вы удалили Прошедших проверку пользователей из Фильтрации безопасности на вкладке Область, если хотите, чтобы ваш объект групповой политики применялся только к пользователям в группе X; см. эту статью TechNet для получения дополнительной информации.