Как применить GPO без ввода gpupdate?

Question

[Drawn]

Добрый день, в общем GPO работает, но только когда вводишь команду "gpupdate /force" на компе пользователя.
А как это можно сделать дистанционно, чтобы не ходить к пользователю, т.к. как я понял даже перезагрузка не помогает, 3-4 раза перезагружал (не вводя команду gpupdate /force на компе) ни че не появилось, ввел команду "gpupdate /force" и перезагрузил, все сработало. Win serv 2016. клиенты Win10.

Comments

[Алексей]

Вообще странное поведение, перезагрузка должна помогать

[Ziptar]

psexec cmd в помощь, чтобы не ходить

Answer 1

[ZERGeich]

Групповая политика автоматически обновляется при перезапуске компьютера-члена домена или при входе пользователя на компьютер-член домена. Кроме того, периодически обновляется групповая политика. По умолчанию это периодическое обновление выполняется каждые 90 минут со случайным смещением до 30 минут.

тут

Answer 2

[Korben5E]

ну к примеру разрешай удаленный PowerShell и делай скрипт, который переберёт все компы и дистанционно выполнит команду

Comments

[Drawn]

ну я с GPO работаю не так давно, просто интересно, а он сам может выполняться без всяких дополнительных костылей, закинул пакет msi, через какое-то время бах, и устанавливается на пк.

[Ziptar]

Drawn, ну, это именно так и работает, и никак по-другому это не работает. Не считая ручного пинка через gpupdate, разумеется. Но это именно что ручной пинок, и нужен он либо для целей тестирования, либо для целей отладки, а не для штатной работы.

[Drawn]

Ziptar, Вот что делается не так.
Я создал новую GPO чисто для установки софта ,связал его с текущим доменом, удалил "Прошедшие проверку" , добавил пару компов (Win 10), ввел gpupdate /force, обновилось.
Добавляю еще пачку компов (тоже на Win 10), ввожу gpupdate локально на компьютере, система запрашивает перезагрузку, перезагружаюсь, и ни чего не обновилось (тестировал обновление 1С).
Единственное, может быть в правах доступа какая-то фигня, я когда добавляю ПК, он спрашивает про разрешение "Чтение", "Изменить настройки" , "Изменение параметров, удаления или изменения программы".
Я выбираю чтение и все (галка "Применить ГПО есть на правах).

[Ziptar]

Drawn, вот как раз про 1с ничего не скажу, там какие-то сложности были с как таковой установкой через gpo, это могу только в гугл конкретно по этой теме отослать

[Drawn]

Ziptar, да у меня даже 7zip,msi есть тоже в GPO, оно применяется как то не понятно.
Я вот ввожу gpupdate на двух компах оно применилось хорошо (ОС идентичны по сборкам в т.ч. и версиям 1С и разрядности) а на еще двух введя gpupdate /force система просит перезагрузиться и ни че не происходит...оч странно

[Роман Безруков]

удалил "Прошедшие проверку"

- откуда вы их удалили? из настроек Security Filtering на вкладке Scope или из групп на вкладке Delegation?

[Drawn]

Роман Безруков, Фильтры безопасности (у меня тут только компы 4шт). А в делегировании там добавлены сейчас 4 ПК (2 из которых установилось вручную через gpupdate /force и 2 где не прошла установка) и тут еще имеются: Администраторы домена, СИСТЕМА, контролеры домена предприятия, администраторы предприятия.

[Роман Безруков]

Drawn, вот в Делегировании должны быть "Прошедшие проверку" с правами READ

[Роман Безруков]

Drawn, а добавленные в Делегирование компьютеры (лучше добавлять группы) должны иметь разрешения Read и Apply Group Policy

[Drawn]

Роман Безруков, Получается в фильтрах безопасности должны быть группы компьютеров (или имена компов), а в делегировании добавить еще "Прошедшие проверку" с правами READ, если установить "Прошедшие проверку" он не поставит случайным образом на все станции (которых даже в списках нет)?

[Роман Безруков]

Drawn,

в фильтрах безопасности должны быть группы компьютеров (или имена компов), а в делегировании добавить еще "Прошедшие проверку" с правами READ

- да
если установить "Прошедшие проверку" он не поставит случайным образом на все станции (которых даже в списках нет) - Вы с помощью фильтров безопасности определяете конечные объекты, на которые будет применяться политика

[Drawn]

я сейчас добавляю в делегирование группы компьютеров, но в фильтрах безопасности там остались все те же 4 компа, мне нужно эту группу и в фильтры безопасности добавить?

[Роман Безруков]

Drawn, в Делегировании - Прошедшие проверку; в фильтрах безопасности - группа

[Drawn]

Роман Безруков, Неа, не помогает, причем странное поведение, я вчера раз 17 перезагружал один комп и там сработало(я даже не добавлял "Прошедшие проверку").

[Drawn]

Роман Безруков, и вот, я у себя на компе проверил (тоже не развернулась 1С), вот как rsop.msc показывает.

[Роман Безруков]

Drawn, вот на первом скрине у вас группа Все компы имеет права только Чтение, а право Применение групповой политики (Apply Group Policy) отсутствует. Удалите эту группу из фильтров безопасности и из делегирования, ждите 15 минут, потом добавьте группу только в фильтры безопасности

[Роман Безруков]

Drawn, в логах какие ошибки?

[Drawn]

Роман Безруков, ну я удалил, но право применение стояло( я в фильтрах это добавлял) на "Применение групповых политик" "Разрешено"
А в каких логах смотреть ( на сервере или клиенте) и где именно?

[Роман Безруков]

Drawn, логи на КД и на клиенте. Политики, насколько я увидел, содержат только компьютерную часть

[Drawn]

Роман Безруков, На клиенте зашел в журналы windows - система
Параметры групповой политики для этого компьютера обработаны успешно. Были обнаружены и применены новые параметры из 0 объектов групповой политики. это все что удалось найти связанное с gpupdate или установкой MSI.
а вот на сервере:
Следующие объекты групповой политики не были применены, так как они были отфильтрованы:

update1C
Отказано (безопасность)

[Drawn]

Роман Безруков, может что-то с правами , хотя опять же, я как администратор домена, мне то оно должно было поставиться, а на другой компьютер спустя 17 перезагрузок, оно установилось само (Без gpupdate) а там учетка тоже доменная( тестовая). файл лежит в общедоступной сетевой папке с правами доступами для всех.

[Korben5E]

Drawn, одна из возможных причин в безопасности папки с дистрибутивом, когда делаешь gpupdate /force - то ты уже вошел в систему и папка тебе доступна, а компьютер должен иметь к ней доступ без тебя.
Проверь права на доступ к папке - там должны быть Компьютеры домена, и шара и безопасность папки.