Почему не открывается оснастка gpedit.msc у обычных пользователей?

Question

[Gynaecologist]

Здравствуйте, на машинах в домене, если пытаться открыть редактор групповых политик gpedit.msc обычным пользователем (администратором - все в порядке), получаю ошибку "У вас нет разрешения на выполнение этой операции"

spoiler

при этом другие оснастки открываются (compmgmt.msc, certmgr.msc и другие).
Я уже приводил политику всего компа к состоянию по умолчанию (удалял папки c:\Windows\System32\GroupPolicy\
и GroupPolicyUsers\, перед этим вынул сетевой кабель, чтобы возможна политика не прореплицировалась с контроллера) - ошибка сохраняется.
Кроме того, даже если просто запустить пустой mmc.exe и попытаться добавить модуль "Редактор объектов групповой политики", получаю такую же ошибку, значит дело явно не в правах NTFS на сам файл gpedit.msc.

spoiler

В журналах событий ("приложение", "система", "безопасность") никакие события, проливающие свет, не появляются, даже когда включил весь возможный аудит. Ошибка появляется на всех машинах домена.

Comments

[Роман Безруков]

открыть редактор групповых политик gpedit.msc обычным пользователем

цель упражнения какая? локальная политика применяется самой первой и перекрывается доменными политиками.
Если вам нужны результаты моделирования/применения политик, то из-под обычного пользователя можно запустить rsop.msc и/или gpresult

[Gynaecologist]

Роман Безруков,
оснастка rsop.msc при открытии сразу предупреждает, что не покажет примененную политику уровня "компьютер"
вывод команды gpresult /z так же не показывает ничего про компьютер, результаты сразу идут про пользователя.

spoiler

Вопрос скорее, спортивный: почему это в принципе происходит, вероятно какой-то глюк во всей AD. Что-то блокирует даже чтение примененных политик.
Цель упражнения - понятное дело, конкретным пользователем смотреть, какие политики затемнены и применены AD-шными GPO, а те пользовательские политики, что не управляются с контроллера, донастроить непосредственно на машине.

[Gynaecologist]

Роман Безруков,
проверил на другой работе: поведение такое же - обычному пользователю не доступна ни оснастка gpedit.msc, ни чтение политик о компьютере =(

можете у себя проверить?

[Роман Безруков]

Gynaecologist,

почему это в принципе происходит, вероятно какой-то глюк во всей AD

вы серьезно? зачем обычному пользователю (условно, девочке-секретарше) знать какие политики применяются к ее компьютеру? Запустите RSOP от админа и проверьте применяемые политики для нужного пользователя - это можно сделать как локально, так и удаленно

те пользовательские политики, что не управляются с контроллера, донастроить непосредственно на машине

ну либо я чего-то не понимаю в этой задаче, либо есть какой-то скрытый смысл. Предположим, у вас 100 доменных ПК - вы очень быстро забудете какие локальные политики настроены на каждом, а если комп сгорел и его надо заменить - сможете вспомнить какая локальная политика была на нем?

Answer 1

[Довольный Айтишникъ]

Групповая политика это такая политика, которая рулит всем доменом и вполне логично, что простых смертных туда система не пускает, даже если он локальный админ на своём компе. Хотите чтоб могли - включайте пользователей в администраторы домена, но потом не удивляйтесь скорому пришествию пушистого зверька.