Verificação eficiente de alterações de política em todos os computadores?

Question

Em uma estrutura AD complicada com várias OUs bloqueando a herança, existe uma maneira eficiente para garantir que uma determinada configuração seja realmente propagada (por exemplo, políticas de auditoria, alguma chave de registro, etc.) para todas as máquinas?

Neste ponto, revisamos as configurações de cada computador via gpresult e as combinamos em um grande relatório. Tem que haver uma maneira melhor.

    

Answer 1

Revisar recursos individuais é uma maneira tediosa de fazer isso. Revise sua estrutura de UO com Get-GPInheritance e procure por aqueles em que GpoInheritanceBlocked está definido. Essas são as áreas que você precisa se concentrar. Se o bloco não for mais necessário para qualquer GPO, considere removê-lo. Se for necessário, para alguns, mas nem todos os GPOs vincularão novamente os GPOs importantes que não devem ser bloqueados para essas OUs, de forma que eles ainda sejam aplicados. Este PowerShell fornecerá uma lista de unidades organizacionais onde a herança foi bloqueada.

#require module ActiveDirectory
get-adObject -ldapfilter "(objectCategory=organizationalUnit)" | foreach {
    get-GPInheritance $_.distinguishedName | where { $_.GpoInheritanceBlocked -eq $true} | foreach {
        $_.Path
    }
}

    

Answer 2

Os GPOs não se propagam. Se você quiser saber se um GPO está sendo aplicado a um determinado computador ou usuário, execute gpresult ou execute o assistente de Resultados da Diretiva de Grupo, visando o computador ou usuário específico.