Как правильно обновить шаблоны групповых политик (на примере политик Chrome)?

Question

[Dim]

Когда то давно, в центральное хранилище политик были скопированы admx шаблоны политик для хрома. Допустим была актуальная версия 56. На основе шаблонов были созданы политики, которые работают.

Сейчас актуальная версия хрома 65, шаблоны обновились - появились новые опции, порезали старые.

Если тупо взять и заменить шаблоны в хранилище на новые, то редактор политик при открыти начнет ругаться что в политике параметры указаны, а в шаблоне такого уже нет, ну и отчеты по параметрам откажется строить...

Так какой верный путь обновления хранилища шаблонов и связанных с ними политик?

Answer 1

[Вадим Чопоров]

Именно такой, как вы и описали - просто берем шаблоны и заменяем текущие в папке policy definitions. Обратная совместимость - это дело вендора, предоставляющего политики. Ну, или, что более вероятно - попробуйте повторно загрузить из другого источника, возможно просто битая политика, т.к. замена шалонов должна приводить, в крайнем случае, к не отображению ряда параметров. если они не указаны в новых шаблонах.
Если же новые шаблоны реально ломают оснастку - там в ошибке есть ссылка на конкретные проблемные шаблоны. И, если реально будет крашится при других шаблонах - можно сравнить шаблоны, из старых и новых, и вручную поправить - это просто xml файлы, правда большеватые.

Comments

[Dim]

решение ищу, а не крайних) Вы имеете ввиду, что при обновлении шаблоны вендор должен не тупо удалять настройки, а только добавлять новые и помечать старые deprecated?
Просто по опыту, те политики, с которыми я работал - Microsoft, Google - часто ломают остнаску. Там даже в рамках апдейтов одной только W10 уже каша начинается/

Я не доконца понимаю механизм взаимодействия объектов политики и шаблонов. Политика создается из шаблона один раз, или обращается к нему каждый раз при редактировании объекта?

т.е. смотрите кейс:
1. Имеем мы (например) шаблон политик хрома v1.
2. На его основании создается политика, как я понимаю в папке с политиками появляется xml в котором тот же шаблон+ изменения.
3. Обновляем часть клиентов на новую версию ПО v2. При этом часть настроек у программы пропадает, но остается в объекте политики (и применяется к старым клиентам) .
4. Теперь обновляем шаблон и получается что в шаблоне старых настроек уже нет, но в объекте они ведь были настроены? Применяются ли настройки из обьекта если в шаблоне их нет? Как их отредактировать?

[Вадим Чопоров]

Dim, нет - шаблоны - это только отображение политик в оснастке. Новые шаблоны - не меняют в работе ничего, они меняют только отбражение.
Все изменения политик - это прямые изменеия ключей реестра в системе. Изменение поведения ПО, и устаревание настроек ГПО - это решение вендора отказаться от старых ключей реестра, и ввод новых в новой версии ПО. Таким образом отредактировать можно все - просто правя в преференсах реестр даже без шаблонов, но шалоны делают это все "красиво" и с подробным описанием влияния и возможных значений на понятном языке.

[Dim]

Вадим Чопоров, подскажите тогда как интерпретировать такую ошибку, после обновления шаблона?

[Вадим Чопоров]

Что то не так в шаблоне ..\chrome.admx. Указывает, что есть проблемы с настройками куки. Попробуйте найти подобный раздел (policy class="Both" displayName="$(string.DefaultCookiesSetting)") в старом шаблоне, сравните эти 2 секции. Попробуйте секцию из старого шаблона подкинуть в секцию нового. По опыту - далеко не всегда проблема в 1 секции, потому после замены - проверяйте повторно отображение в оснастке. На какой строке будет стопиться. Можно даже просто удалить такую секцию, смотреть дальше как будет вести себя - удалением, вы просто уберете опцию из отображения.

PS Не забывайте, когда вы исправите шаблон - нужно немного подождать, пока пройдет репликация на все контроллеры - а то можете увидеть пролему с еще неотреплицированной политикой, соответственно, той же ошибкой.