A política de grupos de impressoras não está aparecendo em computadores Windows atualizados?

Question

Temos cerca de 20 políticas de mapeamento de impressão há anos em uma organização com ~ 300 clientes. Esta empresa não faz atualizações do Windows há mais de 2 anos. No fim de semana, fomos autorizados a enviar TODAS as atualizações do Windows necessárias para nos atualizar (após o teste). Acontece que perdemos uma situação de borda; todo o subconjunto de políticas do grupo de implantação de impressoras não é mais para clientes.

As políticas não mudaram, mas não aparecem. Se fizermos RSOP ou gpresult, eles nem serão mostrados como não aplicados. Nossos computadores isentos ainda recebem e executam a política normalmente, incluindo um computador recém-criado com uma imagem antiga.

Ao executar "gpupdate / force", recebemos um erro nos computadores afetados, com o seguinte texto:

The following warnings were encountered during user policy processing: The Group Policy Client Side Extension Folder Redirection was unable to apply one or more settings because the changes must be processed before system startup or user logon. The system will wait for Group Policy processing to finish completely before the next startup or logon for this user, and this may result in slow startup and boot performance. Computer Policy update has completed successfully.

For more detailed information, review the event log or run GPRESULT /H GPReport.html from the command line to access information about Group Policy results.

Certain User policies are enabled that can only run during logon.

OK to logoff?. (Y/N)

Permitir o logoff, reinicialização, etc. não altera o resultado. Execuções subseqüentes do comando mostram a mesma mensagem. A saída GPResult não menciona as políticas da impressora ou quaisquer falhas.

Isso está acontecendo no Windows 7 e no Windows 10. Algumas políticas mapeiam computadores por meio de "Impressoras Implantadas" e outras por meio de "Painel de Controle". Nem aparece mais nada.

Agora estamos passando pelo processo de desinstalação das atualizações 1 por 1 para ver o que mudou (há 278), mas estamos completamente perplexos quanto ao que poderia fazer com que a política nem sequer se propagasse. Nada mudou em nossos controladores de domínio do Windows Server 2008, e as políticas são exibidas em todos os 3.

Quaisquer pensamentos sobre solução de problemas serão bem-vindos.

    

Answer 1

Meu colega resolveu isso. Veja este artigo: link

O KB3163622 parece quebrar o modo como as políticas de segurança são aplicadas:

What happened: MS16-072 changes the security context with which user group policies are retrieved. This by-design behavior change protects customers’ computers from a security vulnerability. Before MS16-072 is installed, user group policies were retrieved by using the user’s security context. After MS16-072 is installed, user group policies are retrieved by using the machines security context.

Why it happened: This issue may occur if the Group Policy Object is missing the Read permissions for the Authenticated Users group or if you are using security filtering and are missing Read permissions for the domain computers group.

How to fix it: To resolve this issue, use the Group Policy Management Console (GPMC.MSC) and follow one of the following steps:

• Add the Authenticated Users group with Read Permissions on the Group Policy Object (GPO).
• If you are using security filtering, add the Domain Computers group with read permission.

    

Answer 2

Meu palpite seria que as políticas não tivessem a entidade de segurança Usuários autenticados com permissão de leitura.