As Preferências de Política de Grupo não se comportam como esperado

Question

Eu tenho duas políticas que devem modificar o cenário, e elas não parecem ser processadas do jeito que eu acredito que deveriam.

As duas políticas controlam a visibilidade das ferramentas administrativas na configuração do menu Iniciar.

Show_Admin_Tools:

• Aplica-se a administradores de domínio e nada mais
• Vinculado apenas na raiz
• Posição da ordem de links = 1

Hide_Admin_Tools:

• Aplica-se a usuários autenticados
• Vinculado apenas na raiz
• Posição do pedido de link = 2

Não há processamento de loopback, as políticas não são aplicadas e a herança não é bloqueada.

Quando o gpupdate é executado como um administrador ... o link Ferramentas Administrativas não é exibido no Menu Iniciar. Se for ativado manualmente, ele será removido novamente na atualização do GP. A verificação dos resultados da Diretiva de Grupo em uma máquina mostra três aplicativos de GPO na seguinte seqüência: primeiro o GPO Usuários Autenticados, depois o GPO de Administradores do Domínio e, em seguida, o GPO Usuários Autenticados novamente.

Infelizmente, não posso fornecer um gráfico do resultado do GP, devido a problemas de segurança.

Alguém pode explicar por que o GPO de Usuários Autenticados se aplicaria por último, mesmo que ele já tenha sido aplicado e a ordem de links pareça sugerir que a política de ferramentas de exibição deve ter precedência? Como uso as políticas de grupo para exibir as ferramentas administrativas dos administradores e ocultá-las para todos os outros?

    

Answer 1

"Como uso as políticas de grupo para exibir as ferramentas administrativas dos administradores e ocultá-las para todos os outros?"

Adicione uma ACE de negação para administradores de domínio para "Aplicar diretiva de grupo" no GPO Hide_Admin_Tools.

    

Answer 2

Verifique também se você não aplicou uma ou mais políticas (bloqueio amarelo no ícone), não é necessário (não sei exatamente como isso muda a precedência). Além disso, o processamento de loopback da política de grupo do google. Eu não tenho ideia exatamente do que ele faz (já que não é necessário na maioria das situações), mas também afeta a precedência, então você pode querer ter certeza de que está desativado.