Os GPOs do Windows Update não estão sendo aplicados

Question

Eu tenho um domínio em execução no Windows Server 2008 R2 - um pouco antigo, claro, mas funcionou muito bem.

Recentemente, notei que as máquinas da empresa parecem baixar atualizações da Internet, em vez do nosso servidor interno do WSUS.

Eu comecei a investigar e percebi que as políticas do WSUS não estão sendo aplicadas (teste com rsop.msc ).

As políticas estão configuradas corretamente - afinal, elas estavam funcionando antes.

Gostaria de saber se isso acontece porque temos mais e mais sistemas executando o Windows 10, mas isso parece errado, já que tenho certeza de que meu Windows 10 também baixou atualizações do WSUS local há algumas semanas - você pode classificar quando esse é o caso quando o Windows mostra que algumas configurações são gerenciadas por um administrador do sistema.

gpupdate /force é executado sem gerar erros nas máquinas clientes também.

Além disso, um GPO específico relacionado ao WSUS ainda está funcionando. Ele define a segmentação do lado do cliente.

O que poderia estar errado? Como eu poderia tentar depurar esses GPOs relacionados ao WSUS?

    

Answer 1

Para a política de grupo, você deve primeiro examinar o que é aplicado (ou não) e por que deveria ser o comando GPRESULT. É bastante semelhante ao bom rsop.msc, mas eu acho que há algum benefício adicional em algumas configurações.

Comece por analisar as políticas de grupo aplicadas e as que são filtradas: (pode deixar a opção "/ S < target PC >" se o fizer a partir do computador com problemas)

gpresult /S <target machine name> /R

Isso fornecerá a você uma análise dos GPOs, e meu problema mais comum é que alguém tentou modificar o WMI Filtering no GPO que eu esperava aplicar e eles conseguiram excluir o PC (nesse caso, você verá uma mensagem "NEGADO (Filtro WMI)"

A próxima coisa que você pode fazer é verificar as configurações de todos os GPOs aplicados para garantir que eles sejam o que você esperava. (O / F sobrescreve qualquer arquivo gpresult.htm existente ou você pode apenas alterar o nome do arquivo.)

gpresult /S <target machine name> /H gpresult.htm /F

Em seguida, abra o gpresult.htm no Internet Explorer (com certeza, você pode usar outros navegadores, mas ele tem um componente ActiveX para a prática expansão / redução de seções que é melhor no IE). Dê um passeio pelos resultados e veja quais valores são / não estão sendo aplicados ao PC.

Esse é o lugar fácil para começar e, entre esses dois comandos, você geralmente poderá identificar seu problema.