Group Policy Object (GPO) is een handig hulpmiddel voor het afstemmen van de gebruiker en de besturingssysteemomgeving in Windows. Zowel domeingroepsbeleidsobjecten (als de computer lid is van een Active Directory-domein) als lokaal groepsbeleid (deze instellingen worden lokaal op de computer geconfigureerd) kunnen op de computer en op de gebruikers worden toegepast. Als gevolg van onjuiste configuratie van sommige GPO-instellingen (meestal gerelateerd aan beveiliging), kunt u verschillende problemen ervaren met het uitvoeren van toepassingen of hulpprogramma's, fouten in het besturingssysteem (tot aan de onmogelijkheid om lokaal aan te melden bij Windows), enz. Als u niet weet welke GPO-instelling het probleem veroorzaakt, kunt u de instellingen voor Groepsbeleid van Windows terugzetten naar de standaardwaarden.
Inhoud:
- Hoe u specifieke lokale groepsbeleidsopties kunt resetten met Gpedit.msc
- Zet alle groepsbeleidsinstellingen terug naar de standaardinstellingen in Windows met CMD
- Reset de lokale beveiligingsbeleidsinstellingen naar de standaardinstellingen in Windows
- Hoe u lokale GPO-instellingen kunt resetten als u zich niet kunt aanmelden bij Windows
- Wis op het domein toegepaste groepsbeleidsinstellingen in Windows
- Hoe u het standaard domeingroepsbeleid kunt herstellen
Hoe u specifieke lokale groepsbeleidsopties kunt resetten met Gpedit.msc
De grafische console voor de Editor voor lokaal groepsbeleid (gpedit.msc) wordt gebruikt om GPO-instellingen op de lokale computer te configureren. Deze console is alleen beschikbaar in de Pro-, Enterprise- en Education-edities van Windows 10 en 11.
Tip.U kunt de gpedit.msc-console ook installeren op Windows Home-edities.
Open degpedit.mscMMC-module en navigeer naar hetAlle instellingensectie (Lokaal computerbeleid -> Computerconfiguratie – > Beheersjablonen). Deze sectie bevat alle opties die beschikbaar zijn voor configuratie in de administratieve (admx) GPO-sjablonen die op de computer zijn geïnstalleerd. Sorteer het beleid op de kolom Staat om alle geconfigureerde instellingen te vinden (metGehandicaptofIngeschakeldstaat).
Om de specifieke groepsbeleidparameter uit te schakelen, moet u de status ervan wijzigen inNiet geconfigureerd.
- U kunt een back-up maken van uw huidige lokale GPO-instellingen met behulp van het hulpprogramma LGPO.exe.
- De opdracht GPResult kan worden gebruikt om een HTML-rapport te genereren met een lijst met alle toegepaste lokale en domeinbeleidsinstellingen op een computer:
gpresult /h c:PSGPRreport.html
Op dezelfde manier kunt u de instellingen in hetGebruikersconfiguratiesectie van de lokale GPO-editor.
Dit is de gemakkelijkste manier om toegepaste instellingen voor lokaal groepsbeleid in Windows te vinden en ongedaan te maken
Onjuiste GPO-instellingen voor Groepsbeleid kunnen er echter voor zorgen dat de module gpedit.msc (of andere programma's en tools) niet wordt uitgevoerd, kunnen voorkomen dat u zich lokaal op de computer aanmeldt, kunnen uw lokale beheerdersrechten intrekken, enz. In dergelijke gevallen moet u alle GPO-instellingen in de lokale bestanden op de computer opnieuw instellen.
Zet alle groepsbeleidsinstellingen terug naar de standaardinstellingen in Windows met CMD
Windows slaat lokale groepsbeleidsinstellingen op in hetRegister.polbestanden. De beleidsinstellingen voor de gebruiker en de computer worden opgeslagen in afzonderlijke POL-bestanden.
- De computerinstellingen (Computerconfiguratie sectie) zijn opgeslagen
%SystemRoot%System32GroupPolicyMachineregistry.pol - De gebruikersinstellingen (Sectie Gebruikersconfiguratie) zijn opgeslagen
%SystemRoot%System32GroupPolicyUserregistry.pol
Als u bepaalde opties in een lokaal groepsbeleidsobject inschakelt vanuit de gpedit.msc-console, worden alle wijzigingen die u aanbrengt, opgeslagen in de Registry.pol-bestanden. De nieuwe instellingen worden in het register geïmporteerd en op de computer toegepast wanneer de groepsbeleidsinstellingen worden bijgewerkt (met behulp van degpupdate /forcecommando of volgens schema).
- Wanneer u uw computer opstart, worden de registerinstellingen geïmporteerd uit het
MachineRegistry.polbestand in deHKEY_LOCAL_MACHINE(HKLM) bijenkorf; - Gebruikersinstellingen worden geïmporteerd uit het
UserRegistry.polbestand in deHKEY_CURRENT_USER(HKCU) registercomponent wanneer de gebruiker zich aanmeldt bij Windows.
Als u de huidige lokale groepsbeleidsinstellingen wilt verwijderen, moet u daarom de Registry.pol-bestanden in de mappen GroupPolicy en GroupPolicyUsers verwijderen. U kunt Registry.pol-bestanden verwijderen en de huidige GPO-instellingen opnieuw instellen vanaf de opdrachtprompt:
RD /S /Q "%WinDir%System32GroupPolicyUsers"
RD /S /Q "%WinDir%System32GroupPolicy"
Werk de instellingen in Groepsbeleid bij om de oude instellingen in het register opnieuw in te stellen:
gpupdate /force
Met deze opdrachten worden alle lokale groepsbeleidsinstellingen in de secties Computerconfiguratie en Gebruikersconfiguratie opnieuw ingesteld.
Open degpedit.mscconsole en zorg ervoor dat al het beleid is ingesteld op 'Niet geconfigureerd'. Nadat u de gpedit.msc-console hebt uitgevoerd, wordt hetGroupPolicyUsersEnGroupPolicymappen worden automatisch opnieuw aangemaakt.
Reset de lokale beveiligingsbeleidsinstellingen naar de standaardinstellingen in Windows
Lokaal veiligheidsbeleidzijn afzonderlijk geconfigureerdsecpol.mscMMC-console. Als u de lokale Windows-beveiligingsbeleidsinstellingen naar de standaardwaarden wilt terugzetten, voert u de opdracht uit:
secedit /configure /cfg %windir%infdefltbase.inf /db defltbase.sdb /verbose
waarschuwing] De%windir%infdefltbase.infbestand is een sjabloon die de standaard lokale beveiligingsinstellingen voor Windows bevat. [/waarschuwing]
Start uw computer opnieuw op.
Dit zou de Windows-beveiligingsinstellingen moeten resetten die zijn opgeslagen onder deHKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystemregistersleutel.
De UAC-instellingen worden ook opgeslagen in deze registersleutel.
Probeer handmatig de naam van het basiscontrolepuntbestand voor het lokale beveiligingsbeleid te wijzigen als de vorige methode niet werkte:
ren %windir%securitydatabaseedb.chk edb_old.chk
Groepsbeleidinstellingen bijwerken:
gpupdate /force
Start Windows opnieuw op met de opdracht shutdown:Shutdown –f –r –t 0
Hoe u lokale GPO-instellingen kunt resetten als u zich niet kunt aanmelden bij Windows
Als u zich niet lokaal bij Windows kunt aanmelden of als u de opdrachtprompt niet kunt openen (bijvoorbeeld als toepassingen worden geblokkeerd door het AppLocker- of Software Restriction-beleid), kunt u de Registry.pol-bestanden verwijderen door op te starten vanaf een Windows-installatiemedium (een opstartbaar USB-flashstation), vanaf een LiveCD of door de Window Recovery Environment (WinRE) te gebruiken.
- Start uw computer op vanaf elk Windows-installatiemedium en open de opdrachtprompt (
Shift+F10); - Voer de opdracht uit:
diskpart - Geef vervolgens de lijst met volumes op de computer weer:
list volume
In dit geval de stationsletterC:is toegewezen aan het systeemstation. In uw geval kan de stationsletter anders zijn. Om deze reden moeten de volgende opdrachten worden uitgevoerd in de context van uw systeemstation (bijvoorbeeld D: of C:); - Sluit schijfpart:
exit - Voer de volgende opdrachten uit:
RD /S /Q C:WindowsSystem32GroupPolicy
RD /S /Q C:WindowsSystem32GroupPolicyUsers
- Start uw computer opnieuw op en controleer of alle lokale groepsbeleidsinstellingen zijn teruggezet naar hun standaardstatus.
Wis op het domein toegepaste groepsbeleidsinstellingen in Windows
Als de computer deel uitmaakt van een Active Directory-domein, kunnen de instellingen ervan worden geconfigureerd met behulp van domeingroepsbeleidsobjecten.
De register.pol-bestanden van alle toegepaste domeingroepsbeleidsobjecten worden in de cache opgeslagen in de%windir%System32GroupPolicyDataStore SysVolcontoso.comPolicies. Bij elk beleid worden de bestanden opgeslagen in een aparte map met een naam die de GUID van het domeinbeleid bevat.
Wanneer u een computer uit een domein verwijdert, moeten de register.pol-bestanden van het domeingroepsbeleid automatisch van de computer worden verwijderd. Soms komt het voor dat een computer het domein heeft verlaten, maar dat de GPO-instellingen van het domein er nog steeds op worden toegepast.
In dit geval moet u de cache van het groepsbeleid op de computer wissen. U kunt het volgende BAT-script gebruiken:
DEL /S /F /Q “%ALLUSERSPROFILE%MicrosoftGroup PolicyHistory*.*”
REG DELETE HKLMSOFTWAREMicrosoftWindowsCurrentVersionGroup Policy /f
REG DELETE HKLMSoftwarePoliciesMicrosoft /f
REG DELETE HKLMSOFTWAREMicrosoftWindowsCurrentVersionPolicies /f
REG DELETE HKCUSOFTWAREMicrosoftWindowsCurrentVersionPolicies /f
REG DELETE HKCUSoftwarePoliciesMicrosoft /f
REG DELETE "HKCUSoftwareMicrosoftWindowsCurrentVersionGroup Policy Objects" /f
DEL /F /Q C:WINDOWSsecurityDatabasesecedit.sdb
klist purge
gpupdate /force
exit
Merk ook op dat deC:ProgramDataMicrosoftGroup PolicyHistorymap bevat de voorkeursinstellingen voor Groepsbeleid die op de computer zijn toegepast.
Als u deVerwijder dit item als het niet langer wordt toegepastoptie in de GP-voorkeuren itemopties, dan kunt u met de GPO-cache in deze map terugkeren naar de vorige status nadat u het beleid hebt uitgeschakeld.
Hoe u het standaard domeingroepsbeleid kunt herstellen
Er zijn twee standaard groepsbeleidsobjecten met bekende GUID's in het domein:
- Standaarddomeinbeleid
{31B2F340-016D-11D2-945F-00C04FB984F9} - Standaard domeincontrollerbeleid
{6AC1786C-016F-11D2-945F-00C04FB984F9}
Volgens de richtlijnen van Microsoft mogen deze GPO's niet worden bewerkt. Het wordt aanbevolen dat u een kopie van dit beleid maakt in de console Groepsbeleidsbeheer (gpmc.msc) en wijzig de instellingen indien nodig.
Gebruik de ingebouwdedcgpofix.exetool om deze GPO's naar hun standaardinstellingen te herstellen.
Open een opdrachtprompt met verhoogde bevoegdheid op de DC en voer de opdracht uit:
dcgpofix /target:Domain– het standaarddomeingroepsbeleidsobject opnieuw instellen
dcgpofix /target:DC– het standaardgroepsbeleidsobject voor domeincontroller opnieuw instellen
Of reset beide standaard GPO's tegelijk:
dcgpofix /target:both
Er kan een fout verschijnen:
The Active Directory schema version for this domain and the version supported by this tool do not match. The GPO can be restored using the /ignoreschema command-line parameter. However, it is recommended that you try to obtain an updated version of this tool that might have an updated version of the Active Directory schema. Restoring a GPO with an incorrect schema might result in unpredictable behavior.
In dit geval moet u de/negeerschemaoptie om een reset van de standaard GPO's te forceren:
dcgpofix /ignoreschema /target:Domain
Tip. Met de hierboven beschreven methoden kunt u de groepsbeleidsinstellingen in alle versies van Windows opnieuw instellen. Alle instellingen die zijn gemaakt met de Groepsbeleid-editor worden opnieuw ingesteld. Wijzigingen die rechtstreeks in het register zijn aangebracht met behulp van regedit.exe, REG-bestanden, PowerShell of GPP's van het domeinregister worden echter niet opnieuw ingesteld.
