Group Policy Object (GPO) je praktický nástroj pro doladění uživatele a prostředí operačního systému ve Windows. Na počítač a uživatele lze použít jak objekty GPO domény (pokud je počítač členem domény Active Directory), tak místní zásady skupiny (tato nastavení jsou konfigurována místně v počítači). Kvůli nesprávné konfiguraci některých nastavení GPO (nejčastěji souvisejících se zabezpečením) můžete zaznamenat různé problémy se spouštěním aplikací nebo nástrojů, chyby operačního systému (až nemožnost lokálního přihlášení do Windows) atd. Pokud nevíte, které nastavení GPO problém způsobuje, můžete resetovat nastavení zásad skupiny Windows na výchozí hodnoty.
Obsah:
- Jak obnovit specifické možnosti místních zásad skupiny pomocí Gpedit.msc
- Obnovte všechna nastavení zásad skupiny na výchozí ve Windows pomocí CMD
- Obnovte nastavení místních zásad zabezpečení na výchozí v systému Windows
- Jak obnovit místní nastavení GPO, pokud se nemůžete přihlásit k systému Windows
- Vymažte nastavení zásad skupiny podle domény v systému Windows
- Jak obnovit výchozí zásady skupiny domén
Jak obnovit specifické možnosti místních zásad skupiny pomocí Gpedit.msc
Grafická konzola Editoru místních zásad skupiny (gpedit.msc) se používá ke konfiguraci nastavení GPO na místním počítači. Tato konzole je k dispozici pouze v edicích Pro, Enterprise a Education Windows 10 a 11.
Tip.Konzolu gpedit.msc můžete nainstalovat také na edice Windows Home.
Otevřetegpedit.mscModul snap-in MMC a přejděte doVšechna nastavenísekce (Zásady místního počítače -> Konfigurace počítače - > Šablony pro správu). Tato část obsahuje všechny možnosti, které jsou dostupné pro konfiguraci v šablonách GPO pro správu (admx) nainstalovaných v počítači. Seřaďte zásady podle sloupce Stav, abyste našli všechna nakonfigurovaná nastavení (sZakázánoneboPovolenostát).
Chcete-li zakázat konkrétní parametr Zásady skupiny, musíte změnit jeho stav naNenakonfigurováno.
- Své aktuální místní nastavení GPO můžete zálohovat pomocí nástroje LGPO.exe.
- Příkaz GPResult lze použít ke generování zprávy HTML obsahující seznam všech použitých nastavení místních zásad a zásad domény v počítači:
gpresult /h c:PSGPRreport.html
Stejným způsobem můžete resetovat nastavení vKonfigurace uživatelesekce místního editoru GPO.
Toto je nejjednodušší způsob, jak najít a vrátit zpět použitá nastavení místních zásad skupiny v systému Windows
Nesprávné nastavení zásad skupiny GPO však může zabránit spuštění modulu snap-in gpedit.msc (nebo jiných programů a nástrojů), může vám bránit v místním přihlášení k počítači, může zrušit oprávnění místního správce atd. V takových případech budete muset resetovat všechna nastavení GPO v místních souborech v počítači.
Obnovte všechna nastavení zásad skupiny na výchozí ve Windows pomocí CMD
Windows ukládá místní nastavení zásad skupiny vRegistry.polsoubory. Nastavení zásad pro uživatele a počítač jsou uložena v samostatných souborech POL.
- Nastavení počítače (Sekce Konfigurace počítače) jsou uloženy v
%SystemRoot%System32GroupPolicyMachineregistry.pol - Uživatelská nastavení (Sekce Konfigurace uživatele) jsou uloženy v
%SystemRoot%System32GroupPolicyUserregistry.pol
Pokud povolíte určité možnosti v místním GPO z konzoly gpedit.msc, všechny provedené změny se uloží do souborů Registry.pol. Nová nastavení se importují do registru a použijí se v počítači při aktualizaci nastavení zásad skupiny (pomocígpupdate /forcepříkazem nebo podle plánu).
- Při spuštění počítače se nastavení registru importuje z
MachineRegistry.polsoubor doHKEY_LOCAL_MACHINE(HKLM) úl; - Uživatelská nastavení se importují z
UserRegistry.polsoubor doHKEY_CURRENT_USERpodregistr registru (HKCU), když se uživatel přihlásí do systému Windows.
Chcete-li tedy odebrat aktuální místní nastavení zásad skupiny, musíte odstranit soubory Registry.pol ve složkách GroupPolicy a GroupPolicyUsers. Z příkazového řádku můžete odstranit soubory Registry.pol a obnovit aktuální nastavení GPO:
RD /S /Q "%WinDir%System32GroupPolicyUsers"
RD /S /Q "%WinDir%System32GroupPolicy"
Aktualizujte nastavení v zásadách skupiny, abyste obnovili stará nastavení v registru:
gpupdate /force
Tyto příkazy obnoví všechna místní nastavení zásad skupiny v částech Konfigurace počítače a Konfigurace uživatele.
Otevřetegpedit.msckonzole a ujistěte se, že všechny zásady jsou nastaveny na „Není nakonfigurováno‘. Po spuštění konzoly gpedit.msc seGroupPolicyUsersaGroupPolicyadresáře budou automaticky znovu vytvořeny.
Obnovte nastavení místních zásad zabezpečení na výchozí v systému Windows
Místní bezpečnostní zásadyjsou konfigurovány v samostatnémsecpol.msckonzole MMC. Pokud chcete obnovit místní nastavení zásad zabezpečení systému Windows na výchozí hodnoty, spusťte příkaz:
secedit /configure /cfg %windir%infdefltbase.inf /db defltbase.sdb /verbose
výstraha] The%windir%infdefltbase.infsoubor je šablona, která obsahuje výchozí místní nastavení zabezpečení pro Windows. [/alert]
Restartujte počítač.
To by mělo resetovat nastavení zabezpečení systému Windows, která jsou uložena podHKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystemklíč registru.
Doporučené čtení:Jak opravit chybějící nastavení zásad skupiny v systému Windows 11
Nastavení UAC jsou také uložena v tomto klíči registru.
Pokud předchozí metoda nefungovala, zkuste ručně přejmenovat soubor základního kontrolního bodu zásad místního zabezpečení:
ren %windir%securitydatabaseedb.chk edb_old.chk
Aktualizovat nastavení zásad skupiny:
gpupdate /force
Restartujte systém Windows pomocí příkazu vypnutí:Shutdown –f –r –t 0
Jak obnovit místní nastavení GPO, pokud se nemůžete přihlásit k systému Windows
Pokud se nemůžete přihlásit k systému Windows lokálně nebo nemůžete otevřít příkazový řádek (například pokud jsou aplikace blokovány zásadou AppLocker nebo Software Restriction), můžete soubory Registry.pol smazat spuštěním z instalačního média Windows (zaváděcí USB flash disk), z libovolného LiveCD nebo pomocí prostředí Window Recovery Environment (WinRE).
- Spusťte počítač z libovolného instalačního média Windows a otevřete příkazový řádek (
Shift+F10); - Spusťte příkaz:
diskpart - Poté zobrazte seznam svazků v počítači:
list volume
V tomto případě písmeno jednotkyC:je přiřazena systémové jednotce. Písmeno jednotky se může ve vašem případě lišit. Z tohoto důvodu je třeba provést následující příkazy v kontextu vašeho systémového disku (např. D: nebo C:); - Zavřít diskpart:
exit - Spusťte následující příkazy:
RD /S /Q C:WindowsSystem32GroupPolicy
RD /S /Q C:WindowsSystem32GroupPolicyUsers
- Restartujte počítač a zkontrolujte, zda jsou všechna místní nastavení zásad skupiny obnovena do výchozího stavu.
Vymažte nastavení zásad skupiny podle domény v systému Windows
Pokud je počítač součástí domény Active Directory, lze jeho nastavení konfigurovat pomocí objektů GPO domény.
Soubory registry.pol všech použitých objektů GPO domény jsou uloženy v mezipaměti%windir%System32GroupPolicyDataStore SysVolcontoso.comPolicies. Každá zásada ukládá své soubory do samostatného adresáře s názvem, který obsahuje GUID zásady domény.
Když odeberete počítač z domény, měly by být z počítače automaticky odstraněny soubory registry.pol zásad skupiny domény. Někdy se stane, že počítač opustil doménu, ale nastavení GPO domény se na něj stále vztahuje.
V takovém případě byste měli vymazat mezipaměť zásad skupiny domény v počítači. Můžete použít následující skript BAT:
DEL /S /F /Q “%ALLUSERSPROFILE%MicrosoftGroup PolicyHistory*.*”
REG DELETE HKLMSOFTWAREMicrosoftWindowsCurrentVersionGroup Policy /f
REG DELETE HKLMSoftwarePoliciesMicrosoft /f
REG DELETE HKLMSOFTWAREMicrosoftWindowsCurrentVersionPolicies /f
REG DELETE HKCUSOFTWAREMicrosoftWindowsCurrentVersionPolicies /f
REG DELETE HKCUSoftwarePoliciesMicrosoft /f
REG DELETE "HKCUSoftwareMicrosoftWindowsCurrentVersionGroup Policy Objects" /f
DEL /F /Q C:WINDOWSsecurityDatabasesecedit.sdb
klist purge
gpupdate /force
exit
Všimněte si také, žeC:ProgramDataMicrosoftGroup PolicyHistorysložka obsahuje nastavení předvoleb zásad skupiny, která byla použita v počítači.
Pokud jste zkontrolovaliPokud tuto položku již nepoužíváte, odstraňte jimožnost v možnostech položky Předvolby GP, pak vám mezipaměť GPO v této složce umožní vrátit se do předchozího stavu po deaktivaci zásady.
Jak obnovit výchozí zásady skupiny domén
V doméně jsou dva výchozí objekty GPO se známými GUID:
- Výchozí zásady domény
{31B2F340-016D-11D2-945F-00C04FB984F9} - Výchozí zásady řadiče domény
{6AC1786C-016F-11D2-945F-00C04FB984F9}
Podle pokynů společnosti Microsoft by tyto GPO neměly být upravovány. Doporučuje se vytvořit kopii těchto zásad v konzole Správa zásad skupiny (gpmc.msc) a podle potřeby upravte nastavení.
Použijte vestavěnýdcgpofix.exenástroj k obnovení těchto GPO na jejich výchozí nastavení.
Otevřete zvýšený příkazový řádek na DC a spusťte příkaz:
dcgpofix /target:Domain– resetovat výchozí GPO domény
dcgpofix /target:DC– resetovat výchozí objekt GPO řadiče domény
Nebo resetujte oba výchozí objekty GPO najednou:
dcgpofix /target:both
Může se objevit chyba:
The Active Directory schema version for this domain and the version supported by this tool do not match. The GPO can be restored using the /ignoreschema command-line parameter. However, it is recommended that you try to obtain an updated version of this tool that might have an updated version of the Active Directory schema. Restoring a GPO with an incorrect schema might result in unpredictable behavior.
V tomto případě musíte přidat/ignoreschemamožnost vynutit reset výchozích GPO:
dcgpofix /ignoreschema /target:Domain
Tip. Výše popsané metody umožňují obnovit nastavení zásad skupiny ve všech verzích systému Windows. Všechna nastavení provedená pomocí Editoru zásad skupiny budou resetována. Změny provedené přímo v registru pomocí regedit.exe, souborů REG, prostředí PowerShell nebo GPP registru domény se však neresetují.
