Os GPOs aplicam-se apenas ao logon interativo?

Question

Estou tentando habilitar o registro automático de certificados e a credencial móvel através de um GPO em um domínio ADS (os DCs são o Windows Server 2008 R2). Eu posso fazer logon interativamente como um usuário recém-criado (em um servidor membro, Windows Server 2012), e a política é aplicada a esse usuário. No entanto, quando um novo usuário criado de forma idêntica faz logon como uma identidade de serviço, o GPO não é aplicado, como posso confirmar inspecionando seu registro, que é carregado sob HKU\<SID> enquanto o serviço está sendo executado.

Eu começo a suspeitar que os GPOs não são aplicados aos logons de serviço por design, mas não posso confirmar ou negar isso. Isso é verdade e, se não, como posso diagnosticar por que o GPO não é aplicado ao usuário de identidade do serviço?

    

Answer 1

Sim, é verdade.

A especificação das configurações da política do usuário indica que

The User Policy Settings specify capabilities and behaviors for interactively logged-on users.

Se você não estiver conectado interativamente, estará fora do escopo.

além disso:

Quando as políticas de grupo são atualizadas periodicamente pelo cronômetro de atualização periódica, a documentação diz :

This timer is triggered periodically to check for an updated policy for the computer or for each user who is interactively logged on to the computer[...]