Настройки политики домена

[WindowsNT]

Ну а как вы сами собираетесь эти рабочие станции отличать друг от друга?

[Evgeniy_Spartak]

Говорят, что создать ярлыки для рабочих станций можно с помощью скрипта. Я готов в этом скрипте указать 100 имен (набить их вручную).

[WindowsNT]

Не лучшее решение. Может, хотя бы разнесёте учётные записи компьютеров по группам? Тогда можно будет пришить группы к политике.

[Evgeniy_Spartak]

Спасибо. Как вариант.

[Barmaley000]

Всех приветствую. Если, конечно, еще можно...
КД: W-2008 R2,
Задача стояла такая: на раб.станциях удалить старых ярлык из "общего раб. стола" и там же создать новый, с новым путем.
в "Политике","/конфигурация компьютера", создал два ярлыка - один на "удаление" старого, второй на "создание" нового.
Фильтры политики выставлены, связь включена, в общем, до этих изменений всё уже отработало не раз.
После ее применения на пользовательских компах (XP, Windows 7) старый ярлык удалился, а новый не создался с записью события в журнал приложений
- Элемент предпочтения компьютер "Doc на computer" в объекте групповой политики "Политика для компьютеров пользователей {GUID}" не применен по причине ошибки с кодом "0x80070002 Не удается найти указанный файл." Эта ошибка была отключена.
Самое интересное, что на подопытной виртуальной машине (Windows XP SP3) все и удаляется, и создается!
Сначала было подумал, что пути не находит - переменная окружения в XML-файле политики прописана как "%CommonDesktopDir%".
Но на виртуалке я нигде даже упоминания на эту переменную не нашел - и тем не менее политика на ней срабатывает без ошибок.
В политике, в настройках свойств ярлыка опция "Выполнять в контексте безопасности вошедшего пользователя" не доступна, т.к.
настройка в разделе "конфигурация компьютера", а не "конфигурация пользователя".
На КД в разделе "Моделирование групповой политики" промоделировал выполнение для компе, на котором политика не отрабатывает корректно.
И что - "Результирующий объект групповой политики" такой-то - "Результат - выполнено".
Что за фигня, не пойму. Уже не знаю, где еще рыть.

Да, забыл добавить - права доступа на "общую папку с общим раб. столом" конечно же, установлены, есть разрешение на запись и т.д. (удалять-то-удаляет!).

Да, забыл добавить - права доступа на "общую папку с общим раб. столом" конечно же, установлены, есть разрешение на запись и т.д. (удалять-то-удаляет!).

[Anton04]

Barmaley000,

По хорошему нужно создавать свою тему. ;)

"Политике","/конфигурация компьютера", создал два ярлыка - один на "удаление" старого, второй на "создание" нового. »

Зачем такой кавардак? Чем Вас не устраивает опция "Удалять этот элемент, когда он более не применяется"?

Создайте политику не на компьютер, а на пользователя с применением фильтра WMI. Не вариант?

[Barmaley000]

Anton04, благодарю за ответ.
Ну, по поводу "Удалять этот элемент, когда он более не применяется"? » Для того, чтобы удалить, надо оное создать. А "оное" уже было создано, давным давно, причем вручную на каждом компе. Понятно, можно было прописать а-ля "создание" с удалением. Но я просто создал "грохнуть".
Насчетна пользователя » Не надо "на пользователя", надо "на компьютер". Это должен быть общий ярлык, в общей папке, общей для всех пользователей, когда-либо вошедших/"войдущих" на машине/ну.
Политика на некоторых машинах отрабатывает корректно, это и ХР-юши, и "семерки", но на большинстве, какХР-юш, так и "семерок" - нет, с записью в журнал указанной ошибки с кодом 0x80070002.

[paranoya]

Barmaley000, обязательно нужно использовать %CommonDesktopDir%, которой нет? Так как "cd %CommonDesktopDir%" выдаёт ошибку и стоит взять за основу %ALLUSERSPROFILE%?

[Barmaley000]

Дело в том, что переменную "%CommonDesktopDir%" не я сам подставляю, а система. Я только при настройке ярлыка в редакторе политики выбираю из списка в выпадающем меню "Размещение"- "All Users\Рабочий стол". Все. Никаких переменных там нету. то, что используется именно переменная "%CommonDesktopDir%" я вычислил сам, когда полез в папку политики "...\SYSVOL\domain.local\Policies\{GUID}\Machine\Preferences\Shortcuts\" и там нашел файлик "Shortcuts.xml", в котором, собсно, в удобочитаемом виде и нашел оную.
Между прочим, как я написал в первом своем сообщении, эта политика прекрасно отрабатывает как на моей рабочей машине (W7 x64 SP1), так и на виртуальной в VMWare "XP x86 SP3", несмотря на всякие там "%CommonDesktopDir%"...

[Barmaley000]

Вот, вложение с картинкой.

[Barmaley000]

Кстати, "грех" на "%CommonDesktopDir%" - это чисто мои субъективные измышления. Проблема может быть совсем в другом! Ведь на некоторых машинах эта же политика отрабатывает, несмотря на отсутствие каких-либо, где-либо упоминаний об этой переменной.

[paranoya]

Очень похоже не то, что есть проблема с файлами для поддержки GPP на рабочих станциях.
Поэтому: sfc /scannow в первую очередь. Затем обновления системы. Либо сначала чтение журналов системы на выявление проблем, которые не дают создавать переменную окружения и затем из исправление.

[Barmaley000]

Ну, буду, конечно, проверять. В одно время вычитал, что для корректной работы некоторых более продвинутых возможностей ГП (установка приложений, например) на ХР-юши надо ставить "Клиентские расширения предпочтений групповых политик для ОС Windows XP (KB943729)
Group Policy Preference Client Side Extensions for Windows XP (KB943729)". Но, боюсь, не в данном случае. Т.к. на какие-то машины я пробовал ставить оное - бестолку.
Обновления на машины (и ХР-ю, и вынь-7) в свое время ставил от "Симпликса" - еще "UpdatePackLive-17.7.1".
Регулярно не обновляю - нет потребности, только при каких-то явных проблемах, т.к. процесс обновления довольно длительный и проводится в ручном режиме.

[paranoya]

Здесь (https://community.spiceworks.com/topic/2175172-gpo-for-new-desktop-shortcut-sometimes-not-working-0x80070005) написано, что эта переменная требует админских прав и политку с ней надо ставить в конфигурацию компьютера и связывать с OU в которой лежат все учётки компьютеров.

[Barmaley000]

paranoya, все это, конечно же, было проверено в первую очередь, и было сделано самой системой изначально, я даже ничего не настраивал - все "права-шмава" были выставлены по умолчанию, я только их перепроверил. А с "ОУ" - так я и привязал эту политику к "ОУ" в которой лежат те учетки компов, на которых эту политику обработать надо, а как иначе (риторический вопрос)?!

[Barmaley000]

Добавлю. Может вы не в курсе...
Если какие-либо учетки компов не включены в ОУ, к которой применяется политика - так эти компы и так лесом идут по фильтрам безопасности, и никаких ошибок типа "0x80070002" и в помине не будет.

[paranoya]

Barmaley000, по начальному описанию проблемы не было указано какие варианты решения применялись.
Если все нужные компьютеры находятся в одном OU, в одной группе безопасности и не попадают ни под какую фильтрацию в ГП, то нужно искать отличия на самих рабочих станциях.
Я бы для эксперимента попробовал бы сначала проблемные рабочие станции перенести в другую OU, обновить принудительно ГП с перезагрузкой и затем снова перенести в нужное OU с принудительным обновление политик и перезагрузкой.

[Barmaley000]

...то нужно искать отличия на самих рабочих станциях »
"Вот-вот, и я о том же...". Только где-какие - никак не могу понять. Чего оно, "сцуко", там "не находит" - одному ему и известно...
Для эксперимента - благодарю за идею, буду искать возможность это сделать, хотя "подопытных кроликов" найти будет непросто...

[paranoya]

Barmaley000, включи логирование групповых политик и смотри уже по логам, почему не срабатывает.

[Barmaley000]

Да включено - уже смотрел на одной из машин.
"C:\WINDOWS\Debug\UserMode\userenv.log" - ведется,
USERENV(2dc.42c) 07:50:20:047 PolicyChangedThread: UpdateUser failed with 6.
USERENV(2dc.430) 09:24:01:456 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.608) 09:29:14:875 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.430) 11:03:58:087 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.608) 11:08:12:125 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.430) 12:35:58:842 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.608) 12:55:13:219 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.430) 14:18:59:202 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.608) 14:25:14:186 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.2e0) 07:56:49:859 CUserProfile::CleanupUserProfile: Ref Count is not 0
USERENV(2dc.2e0) 07:56:49:875 CUserProfile::CleanupUserProfile: Ref Count is not 0
USERENV(2dc.2e0) 07:56:49:875 CUserProfile::CleanupUserProfile: Ref Count is not 0
USERENV(2dc.740) 07:57:36:156 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.5b0) 08:56:54:019 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.6bc) 08:56:54:097 PolicyChangedThread: UpdateUser failed with 6.
USERENV(2dc.610) 09:44:36:753 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.5b4) 10:38:54:358 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.
USERENV(2dc.610) 11:14:37:486 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.


Понятно, что ничего непонятно.
Во всем этом "логе" я так само даже упоминания на "0x80070002" не нашел...