Подозрительное поведение групповой политики

Question

Я использую Windows 8.1 x64.

Я должен начать с того, что я не являюсь частью домена и этот компьютер используется только мной.

У меня есть два аккаунта на машине. Моя стандартная учетная запись пользователя, которой я почти все пользуюсь, и учетная запись администратора, которую я использую, чтобы удостовериться, что программное обеспечение не устанавливается без моего разрешения, и добавить дополнительные возможности безопасности и устранения неполадок.

Дважды в последнее время, когда я заходил в свою стандартную учетную запись, мне сообщали об ошибке

Windows не может подключиться к клиентской службе групповой политики

Я не смог получить доступ к учетной записи пользователя, но смог войти через мою учетную запись администратора. Я искал в Интернете и нашел различные ресурсы, пытаясь решить проблему. Пока что у меня есть:

• Проверяется, запущены ли службы групповой политики
• Запустил Regedit и проверил, что ключи в HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES являются правильными и содержат папку "gpsvc"
• Я также проверил другие записи реестра локального компьютера в соответствии с онлайн-инструкцией, такой как netsvc

После выполнения инструкций, таких как https://social.technet.microsoft.com/Forums/windowsserver/en-us/86ff5743-c0f6-4731-a6c2-ae08686e70e8/windows-could-not-connect-to-the-group-policy -client-service?forum = winserverGP подробности этой ссылки Я исправил ошибку.

Я знаю, что эта проблема часто вызывается проблемами во время обновления Windows. Я не знаю, что у меня было что-то подобное, но последнее обновление действительно приводило к зависанию ноутбука при выключении в течение долгого времени, но при запуске не было ошибки, я подозреваю, что что-то повреждено.

Есть ли способ проверить и предотвратить сохранение этой проблемы.

Answer 1

Я считаю, что механизм групповой политики достаточно хорош и безопасен, и на самом деле весьма полезен на машинах, не связанных с доменом , особенно по сравнению с другими нежелательными ОС. Да, gpupdate(.exe) будет иногда запускаться, чтобы распространять в реестр любые параметры политики локального компьютера, которые вы настроили. Поскольку это односторонняя операция (т. Е. Изменение соответствующих параметров реестра не меняет политику локального компьютера), периодическая проверка гарантирует, что ранее распространенные изменения не были изменены вручную в реестре. При запуске обновления GP все конфликтующие значения реестра будут сброшены до значений, определенных политикой.

По нескольким причинам я не рекомендую отключать механизм обновления GP. Во-первых, и, следуя вышесказанному, если вы это сделаете, а затем каким-либо образом случайно запускается обновление GP, групповая политика всегда будет "побеждать" над всеми связанными настройками реестра, возможно, перезаписывая ряд записей реестра вручную без согласия. Когда gpupdate не имеет возможности работать в течение длительного времени, ручное редактирование реестра, которое вступило в конфликт с GP, все больше подвергается опасности из-за их общего накопления: запоздалое gpupdate устранит отставание, возможно, со сложными результатами. , поскольку затронутые настройки, вероятно, будут логически различными.

Вы можете утверждать, что этого не произойдет, если вы никогда не коснетесь выбранных политик, оставив их все «Не настроено». Однако теперь вам нужно быть всегда бдительным в отношении любых автоматических действий, агентов или установщиков, которые могут, предположительно, после получения (то есть установки) разрешения изменить либо политику (ожидающую включения обновления GP), либо реестр, например что они расходятся.

Также обратите внимание, что существуют специальные записи политики, относящиеся к разрешениям пользователя и безопасности, которые не имеют опции "Не настроен", поэтому они будут перезаписывать соответствующие части реестра, когда gpupdate запускается независимо от того, что. В целом, я бы предпочел быть уверенным, что обновление GP в любое время и по любой причине будет безвредным.

В самом деле, я предлагаю использовать gpedit.msc преимущественно вместо regedit - для тех настроек, которые доступны в первом. Редактор политики содержит полезные справочные сообщения, возможно, он менее хрупок, чем REG_DWORD, REG_MULTI_SZ и т.д., И с упомянутой выше односторонней природой обновления вам не придется беспокоиться о распространении политики, перезаписывающем изменения реестра. В целом, по моему опыту, gpupdate легок и ненавязчив на машине без присоединения к домену. Хотя он запускается автоматически время от времени, единственный раз, когда я на самом деле заметил, что он работает, это когда я сам его явно вызывал.