Group policy wordt doorgevoerd, ondankt verwijdering

[BP_LOZ]

Ik ben bezig voor een nieuwe omgeving [WIN2008] met het creeren van verschillende GPO's.

Nu had ik ingesteld op een bepaalde OU dat verschillende configuratiescherm-items niet zichtbaar mochten zijn, dat toegang tot regedit geblokkeerd was en de LAN-properties geblokkeerd zouden zijn.

Nu heb ik deze policy verwijderd, maar een gedeelte van de policy word nog steeds doorgevoerd. De configuratieschem onderdelen blijven onzichtbaar. Toegang tot de registry en de LAN properties zijn weer mogelijk.

Al uitgevoerd:
Clients en server herstart.
Gpupdate /force uitgevoerd.
Gpresult uitgevoerd. De GPO staat niet op de kaart.
Profiel gebruiker verwijderd.

Maar het wordt nog gekker.
Wanneer ik in een nieuw GPO besluit dat ik het blokkeren van de LAN-properties alsnog wil doorvoeren gebeurd dit ook niet.

Gpresult geeft aan dat de policy is doorgevoerd, maar hij wordt niet uitgevoerd. Altijd vechten met GPO's

[Turdie]

Je zou dit kunnen uitvoeren,zodat wij kunnen zien wat er fout gaat

code:

 gpresult /z >results.txt

[BP_LOZ]

guidovb999 schreef op vrijdag 14 maart 2008 @ 22:50:
Je zou dit kunnen uitvoeren,zodat wij kunnen zien wat er fout gaat

code:

 gpresult /z >results.txt

Gpresult uitgevoerd. De GPO staat niet op de kaart.

[Liberteh]

Toevallig geen andere GPO's op de OU toegepast die je misschien over het hoofd gezien hebt? Want technisch is het onmogelijk dat de GPO nog steeds toegepast wordt (nadat deze verwijderd is en je de user opnieuw aangemaakt hebt, zoals je beweerd.)

[SlinkingAnt]

Probeer anders is met rsop.msc te achterhalen welke policy het is.

Indien je met policy's aan het spelen bent, is rsop je beste vriend

[BFS]

Wellicht Policy Tattooing?

[Verwijderd]

Niet nog een GPO in een hoger liggende OU staan?

[sjongenelen]

wat is "verwijderd"?

je hebt de onderste GPO 'weggegooid'. Hierin stonden instellingen. je laat het nu overnemen door de Domein GPO (gok ik), die op alles staat ingestelds als "undefined" of 'niet veranderen' (weet niet meer wat er staat)

je moet dus expliciet weer zeggen het weer mogelijk moet zijn

[ Voor 11% gewijzigd door sjongenelen op 17-03-2008 09:40 ]

[ThePrutser]

TheNymf schreef op maandag 17 maart 2008 @ 09:39:

je moet dus expliciet weer zeggen het weer mogelijk moet zijn

OFF TOPIC:
Dat heb ik nog nooit meegemaakt voor bestaande GPO settings. Dit klopt wel voor zelfgemaakte GPO settings waarin je bijvoorbeeld zelf registry settings aanpast. Zo werkt het in ieder geval in 2003, maar ik kan me niet voorstellen dat dit in 2008 verandert is.

Als je een GPO unlinked dawel helemaal verwijdert van een OU dan vervallen de settings en hoef je niet de gedane setting ongedaan te maken.

ON TOPIC:
(met stomheid geslagen)
Anyway, staat er ook niks in de event logs betreffende het mislukken van uitvoer van een GPO?

[ Voor 9% gewijzigd door ThePrutser op 17-03-2008 10:17 ]

[BP_LOZ]

Ik ben dus met stomheid geslagen.
Een clean install vertoont dit gedrag niet!

M.a.w. lokaal staat er nog van alles in de registry blijkbaar.

[Verwijderd]

en even gpupdate draaien op het werkstation?

[BP_LOZ]

Verwijderd schreef op maandag 17 maart 2008 @ 10:41:
en even gpupdate draaien op het werkstation?

Met Gpupdate /force zit ik continu te spelen. Het is gewoon een feit dat eerder doorgevoerde policies niet of gedeeltelijk worden verwijderd van de client. De vraag is nu alleen nog, hoe kan dit.

[Verwijderd]

Hoe zien je OU's er eigenlijk uit?

[BP_LOZ]

Per setting heb ik een policy gemaakt. Zo heb ik de volgende policies:

Default Domain Controllers Policy
Default Domain Policy
Desktop Theme
Disable Registry Access
Login /Logoff Scripts
Redirect Documents
Restricted Groups
WSUS Settings

Hierbij had ik nog
Disable LAN settings
IE Settings

De 2 bovengenoemde zijn niet meer aanwezig op de DC, maar worden toch nog doorgevoerd op systemen die deze settings eerder hebben mogen ontvangen. Reboots, profielen verwijderd, gpresult, gpupdate, rsop.msc en alle andere leuke controle mogelijkheden geven gewoon aan dat deze settings nog actief zijn.

Nieuwe systemen hebben hier geen last van en krijgen alle settings die ze horen te krijgen.

Deze hang ik aan de betreffende OU die deze nodig heeft. Alleen de settings Desktop Theme, Login /Logoff Scripts, Default Domain Controllers Policy en Default Domain gelden voor het gehele domein.

Dan heb ik de volgende OU's
Domain Policy
Facilities
Finance
General Management
HR
Logistics
MIS
Program
Quality
Repair
Supply
Customer Service
Material Management
Terminal Server Users
Bedrijf X Workstations

[ Voor 11% gewijzigd door BP_LOZ op 17-03-2008 11:24 ]

[Verwijderd]

Heb je het logboek al gechecked van een werkstation waar dit probleem zich voordoet?

Zo ja, vergelijkbaar met onderstaande events?

code:

Event Type:      Error
Event Source:      SceCli
Event Category:      None
Event ID:      1001
Date:            10/23/2007
Time:            2:22:53 PM
User:            N/A
Computer:      PC1
Description:
Security policy cannot be propagated. Cannot delete GP cache.

For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.

------ and --------
Event Type:      Error
Event Source:      Userenv
Event Category:      None
Event ID:      1085
Date:            10/23/2007
Time:            2:22:53 PM
User:            NT AUTHORITY\SYSTEM
Computer:      PC1
Description:
The Group Policy client-side extension Security failed to execute. Please look for any errors reported earlier by that extension.