[Çözüldü] GPO sorunum hakkında

Merhaba login olduğunuz user Tier OU'su altında mı ? yani GPO user bazlı mı yazıldı ?

GPO altında etkilenen user ve gruplar bölümünde ne var ?

Berkay bey , Değerli cevabınız için teşekkür ederim , görsel linklerine ulaşabilirsiniz , Tier Ou dışında , Policy , kullanıcı ve computer etkilenmemiş bir OU olması beni acayip şaşırttı ve korkuttu açıkcası. 

Çözüm için şöyle bir adımı daha denedim , oldu

Policy çekmemesi gereken bilgisayarın regedit düzenleyicisinden 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History history klasörünün ismini değiştirdim Örn : Histroy.O

Administrator gruplarından çalışmaması gereken grupları sildim ve gpupdate /force yaptım düzeldi , 

İlginç olan hala aynı Ou altında , ve sorunsuz çalışıyor , 

İşlem adımlarını arkadaşlar öyle yapabilirler , 

HKEY_CURRENT_USER\Software\Policies
Policiesold yap

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies
Policiesold yap

HKEY_LOCAL_MACHINE\SOFTWARE\Policies
Poliiesold yap

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies
Policiesold yap

• C:\WINDOWS\security\Database\secedit.sdb dosyasının adını değiştirin (sonuna .old koyabilirsiniz)
• Registry’den Group Policy tarihçesini silin.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History history klasörünün ismini değiştirdim Örn : Histroy.O

• %ALLUSERSPROFILE%\Application Data\Microsoft\Group Policy\ GPO objelerini silin.
• Gpupdate /force komutunu çalıştırın.

   

Merhaba, ben tam anlamadım soruyu

Öncelikle Server OU'su block policy inheritence işaretli olmadığı için default domain policy ilkelerini alır, üstüne bir de iligli OU da ayrı bir polic mi tanımladınız, GPO ekranına bakınca iki tane Default Domain Policy görüyorum. Yine Default Domain Policy Server's OU suna bağlı duruyor ki buna hiç gerek yok normalde zaten bunu yukarıdan alır. Sanki ortalık biraz karışmış gibi? 

@hakanuzuner Merhaba Hakan bey , 

2. default domaini test için bilerek bağladım ,

Konu şu , 

Client tier policy kuralı bağlı olmadığı OU altında ki 3 adet server bilgisayarımı etkiledi , aynı OU altındaki diğer server bilgisayarlar da sorun yok fakat 3 adet bilgisayarımda policy linkli olmamasına rağmen nasıl algıladı anlam veremedim. 

1. Link : https://hizliresim.com/e3vkk7u

1. linkte , etkilenen 3 sunucu için farklı bir OU oluşturduğumu görebilirsiniz , 

2.Link : https://hizliresim.com/adbkicb

2. link' te ise APP sunucuları bağladığım Policyimi görebilirsiniz , 

Bu policiy de bilerek etkilenmeleri için Administrators Bultin koşturuyorum , domain Admins , enterprise Admins grubunu bilerek ekledim , ve Local Allow on locally kurallarıda olması gerektiği gibi , görsel linki aşağıda 

https://hizliresim.com/ap1e9cb

Buna rağmen ilgili 3 bilgisayar , alması gereken policyi almıyor , linklenmemiş policyi anımasamaya devam ediyor , anımsamaması için Link li olmamasına rağmen ilgili policyi GP Management içerisinden sildim , 

destek olursanız çok sevinirim , bu tip senaryo farklı bir firma da tekrar karşıma çıkmıştı , sunucuları 15 dk içerisinde domainden düşürüp tekrar domaine alarak çözüm sağlamıştım fakat burada domainden düşürüp reboot edebileceğim sürem yok , 

Sorun yaşadığınız sunucularda aşağıdaki komut ile öncelikle hangi gpo ilkelerinden etkilendiğini bulun,

gpresult /R

Sonra bu ilkelerin içerisindeki ayarları kontrol edin. Eğer bunlardan farklı bir ayar var ise muhtemelen siz bu makinelere bir kere veya bir şekilde diğer ilkeyi uyguladığınız için bu sorunu yaşıyorsuunz. Bunun da temel nedeni preferences.

Bu makaleyi okumanızı öneririm

Group Policy Preferences - Hakan Uzuner

Preferences bilinçli kullanılması gereken bir ayardır, normal bir gpo ilkesindeki gibi uyguladınız, çalıştıi kaldırdınız düzeldi olmaz, preferences ilkeleri uygulandığı makineye kalıcı etki eder, ondan tersi bir ilke uygulamadığınız sürece değişmez.

@hakanuzuner 
Hakan bey değerli cevabınız için teşekkür ederim , fakat ilgili sunucularda gpresult /R yaptığımda, en son linklediğim policy dışında uygulanan policy yok , 

Şimdi sunucum da linklemediğim policy hala aktif çalışıyor , , işin garip tarafı linklemediğim halde bu sorun oluştu. Diğer sunucularım etkilenmedi sucunu Ou içerisinde sadece 3 sunucum anlamsız aksiyon gösterdi. 

sizin makaleniz üzerinden süreci deneyeceğim , fakat , 

Sunucuları farklı bir OU altına alıp , DomainAdmins Adminsitrationbultin koşturarak , Local Allow on localy policyi domain admins seçili olarak kuralladım ve ilgili bilgisayarlara bastım , ona rağmen güncel policy aktif olmuyor , 
https://hizliresim.com/ap1e9cb , policy detayım , 

Muharrem bey yanlış bir şey yaptığınıza eminim ama buradan neyi yanlış yaptığınızı bilmem çok zor. 30 yıla yakındır bu işteyim ve söylediğiniz gibi GPO'lar kafasına göre sunuculara, kullanıcılara etki etmez. Yani gpresult da zaten görmüyorsanız zaten görmediğiniz bir policy kesinlikle o sunuculara veya kullanıcılara etki etmiyordur. Ancak GPO düşündüğünüz kadar basit bir konu değil, örnek preferences için bir detay verdim, onu bir okuyun, bir de loopback process uygulanmış da olabilir, en kötü bir uzmana göstermeniz gerekli yapıyı.

@hakanuzuner bey yanlış yaptığım yada gözden kaçırdığım yada ihmal ettiğim bir süreç yok olması mümkün değil. Link lenmemiş OU altında policy nasıl çalışır , hadi çalıştı neden 3 sunucumu etkiledi diğer sunucularıma policy neden aktif değil, 3 sunucumun günahı ne 🙂 diye soruyorum kendi kendime 

Tier modeli GPO tarafındaki süreçleri daha önce kurguladım fakat gözden kaçıracak yada yanlış yapılacak bir senaryo olması imkansız koşan sunucular üzerinde Tier modelini uygulamam ayrıca ciddiyet isteyen bir süreç. farkındayım . 

değerli yorumunuz için teşekkür ederim , paylaştığınız makale umarım işime yarar .  

Bu prod ortam sanırım, ondan dikkatli bir şekilde kullanmadığın GPO ilkelerini kaldır, sonra gpupdate /force ile yani cache ve gpt.ini içerisindeki versiyon numarasına bakmadan bir daha çekip denemeni tavsiye ediyorum. Ayrıca dediğim gibi muhtemel yani 1 tahmin hakkım olsa %99 preferences diyorum, sen o ilkeyi bir şekilde bu sunuculara dokundurdun, nerede oldu bilmiyoruz muhtemel, o ilkeyi aldığı için onu geri almadığın sürece o artık düzelmez. Ancak düzeltmene rağmen hala bozuluyor ise o zaman debug açmanı öneririm. Burada OS açılırken uygulanan tüm GPO ları görürsün.

Applying Group Policy troubleshooting guidance - Windows Server | Microsoft Learn

İkinci tahminim ise loopback açık bir GPO var ise ondan olabilir.

C:\Windows\SYSVOL DC üzerinde polcy Unique ID kimliklerinden, deaktif olan policyleri sildim tekrar gpupdate /force yapıp deniyorum. şuan için herşey normal tabi 90 - 120 dakika süreçten sonra netlik kazanacak bilhassa

loopback özelliği aktif policyim bulunmuyor , tahmininizde haklısınız Hakan bey % 1 ihtimal olsa bende düşünürüm , ihtimali var sayıyor olsam bile canlı ortam da OU altında etkilenmeyen 10 sunucumdan sadece 3 ü nün etkilenmesi garip geldi , işlemi domainden düşürüp tekrar domaine alarak süreci 10 dakika gibi kısa sürede sorunsuz hale getirebilirim fakat bunun pek mümkün olmayan çalışma saatlerim olduğundan dolayı yapamadım. bakalım destekleriniz için çok teşekkür ederim , zamanınızı ayırıp yorum yazdığınız için sağolun.. sevgilerle .

Merhaba, geri dönüş ve bilgi için teşekkürler, umarım bu şekilde çözülür. Eski kafalı diyorlar ama ben pek preferences kullanmıyorum, nedeni ise değşikliklerin OS de kalıcı etki bırakması, ne varsa eski ilkelerde var. Örnek bu yetkileri restricted groups ile yapabilirsin. hem kalıcı da olmaz.

Microsoft Restricted Groups (youtube.com)