Результирующая политика

Оснастка «Результирующая политика» (RSoP) является дополнением к групповой политике, а также интегрированной частью оснастки «Управление изменением и настройкой» RSoP собирает данные Active Directory, групповой политики и IntelliMirror, чтобы помочь снизить время, затрачиваемое на устранение неполадок, связанных с объектами групповой политики (GPO). Эта оснастка проверяет внедрение политики, сценарии развертывания установки программ и развертывание сценариев.

  • Перед выполнением тем RSoP см. Контрольный список: Подготовка к выполнению RSoP.
  • Справочные сведения по выполнению конкретных задач см. в разделе Инструкции.
  • Сведения общего характера см. в разделе Основные понятия.
  • Сведения об устранении неполадок см. в разделе Устранение неполадок.


Контрольный список: Подготовка к выполнению RSoP

Запуск в режиме входа

Действие | Справочные сведения
Убедитесь, что установлена файловая система NTFS. |
Настройте локальную политику. | Политика локальной группы
Настройте групповую политику | Чтобы запустить групповую политику из оснастки «Active Directory — пользователи и компьютеры»


Инструкции

  • Доступ к данным RSoP для существующего компьютера и пользователя (режим входа)
  • Запуск средства «gpresult»
  • Просмотр отчета RSoP в формате HTML
  • Управление результирующей политикой
  • Просмотр параметров политики с помощью RSoP


Доступ к данным RSoP для существующего компьютера и пользователя (режим входа)

Рисунок Microsoft Windows

Чтобы получить доступ к данным RSoP для существующего компьютера и пользователя (режим входа)

  1. Откройте Консоль управления (MMC).
  2. В меню Консоль выберите команду Добавить или удалить оснастку.
  3. На вкладке Изолированная оснастка нажмите кнопку Добавить.
  4. В диалоговом окне Добавить изолированную оснастку выберите оснастку Результирующая политика и нажмите кнопку Добавить.
  5. В окне мастера мастера результирующей политики нажмите кнопку Далее.
  6. Выберите Режим входа и нажмите кнопку Далее. (Не выбирайте Режим планирования).
  7. На странице Выбор компьютера выберите компьютер. Для поиска другого компьютера выберите Другой компьютер и нажмите кнопку Обзор. Закончив ввод данных, нажмите кнопку Далее.
  8. В окне Выбор пользователя выберите пользователя и нажмите кнопку Далее.
  9. В окне Сводка выбранных параметров нажмите кнопку Далее и дождитесь окончания обработки.
  10. В диалоговом окне Добавить изолированную оснастку нажмите кнопку Закрыть.
  11. В диалоговом окне Добавить/Удалить оснастку нажмите кнопку OK.
  12. Для просмотра данных выберите папки RSoP в дереве консоли.

Примечания

  • Для открытия консоли управления MMC нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите клавишу ENTER.
  • Отображаются только пользователи и компьютеры, выполнившие вход в домен.
  • Чтобы запустить RSoP для существующего пользователя и компьютера, необходимо войти в локальную систему в качестве данного пользователя или являться членом локальной группы администраторов, администратором домена, администратором предприятия либо необходимо делегировать полномочия RSoP подразделению, содержащему учетные записи компьютера и пользователя.
  • Режим планирования будет использоваться в следующих версиях.

См. также


Запуск средства «gpresult»

Рисунок Microsoft Windows

Чотбы запустить средство gpresult

  1. Откройте окно Командная строка.
  2. Введите gpresult /z >gp.txt для перенаправления выходных данных в текстовой файл.
  3. Введите notepad gp.txt для открытия файла.

Примечания

  • Для открытия окна командной строки нажмите кнопку Пуск, выберите пункт Выполнить, введите команду cmd и нажмите кнопку ОК.
  • Для получения полного списка параметров командной строки щелкните ссылку «См. также».

См. также


Просмотр отчета RSoP в формате HTML

Рисунок Microsoft Windows

Просмотр отчета RSoP в формате HTML

  1. Нажмите кнопку Пуск и выберите команду Справка и поддержка.
  2. В группе Выберите задание щелкните ссылку Использование служебных программ для просмотра информации о компьютере и диагностики неполадок.
  3. В списке Служебные программы щелкните ссылку Расширенные сведения о системе.
  4. В списке Расширенные сведения о системе щелкните ссылку Просмотр примененных параметров групповой политики.
  5. Перейдите к результатам, которые требуется просмотреть.
  6. Чтобы скрыть сведения, щелкните стрелку в правом верхнем углу категории.

См. также


Управление результирующей политикой

  • Сохранение запроса RSoP
  • Сохранение данных запроса RSoP
  • Повторное использование существующего запроса RSoP


Сохранение запроса RSoP

Рисунок Microsoft Windows

Чтобы сохранить запрос RSoP

  1. После создания запроса выберите в меню Консоль команду Сохранить.
  2. В поле Имя файла введите имя файла и нажмите кнопку Сохранить.

Примечания

  • Консоль, открытая из оснастки «Active Directory — пользователи и компьютеры» или «Active Directory — сайты и службы», не может быть сохранена.
  • Запрос сохраняется в файле с расширением .msc.

См. также


Сохранение данных запроса RSoP

Рисунок Microsoft Windows

Чтобы сохранить данные запроса RSoP

  1. В существующем запросе RSoP в дереве консоли щелкните Корень консоли, а затем в панели сведений дважды щелкните узел учетная запись пользователя в узле учетная запись компьютера — RSoP.
  2. В меню Вид выберите команду Архивные данные в файле консоли.
  3. В меню Консоль выберите команду Сохранить.
  4. В поле Имя файла введите имя для файла и нажмите кнопку Сохранить.

Примечания

  • Консоль, открытая из оснастки «Active Directory — пользователи и компьютеры» или «Active Directory — сайты и службы», не может быть сохранена.
  • Запрос сохраняется в файле с расширением .msc.

См. также


Повторное использование существующего запроса RSoP

Рисунок Microsoft Windows

Чтобы повторно использовать существующий запрос RSoP

  1. Откройте Консоль управления (MMC).
  2. В меню Консоль выберите команду Открыть.
  3. В диалоговом окне Открыть выберите сохраненный ранее запрос и нажмите кнопку Открыть.
  4. Для просмотра данных выберите папки в дереве консоли.

Примечание

  • Для открытия консоли управления MMC нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите клавишу ENTER.

См. также


Просмотр параметров политики с помощью RSoP

  • Просмотр отдельных параметров политики с помощью RSoP
  • Просмотр списка всех объектов групповой политики, связанных с запросом RSoP
  • Просмотр области управления, связанной с запросом RSoP
  • Просмотр сведений о редакции объекта групповой политики в RSoP


Просмотр параметров индивидуальной политики с помощью RSoP

Рисунок Microsoft Windows

Чтобы просмотреть параметры индивидуальной политики с помощью RSoP

  1. Откройте запрос RSoP Результаты запроса отображаются в панели сведений консоли управления ММС.
  2. В дереве консоли дважды щелкните узел учетная запись пользователя в узле учетная запись компьютера — RSoP, а затем щелкните папку под ним. Параметры индивидуальной политики будут отображены в панели сведений.

Примечания

  • Для получения сведений об открытии RSoP щелкните ссылку «См. также».
  • Для получения сведений о папках «Установка программного обеспечения», «Конфигурация Windows», «Административные шаблоны», «Дополнительные параметры реестра» и их содержимом щелкните ссылку «См. также».

См. также


Просмотр списка всех объектов групповой политики, связанных с запросом RSoP

Рисунок Microsoft Windows

Чтобы просмотреть список всех объектов групповой политики, связанных с запросом RSoP

  1. Откройте запрос RSoP Результаты запроса отображаются в панели сведений консоли управления ММС.
  2. Правой кнопкой мыши щелкните узел Конфигурация компьютера или Конфигурация пользователя и выберите команду Свойства.
  3. На вкладке Общие установите флажок Отображать все GPO и состояние фильтрации.

    В столбце Объект групповой политики будет отображен список объектов групповой политики. Состояние фильтрации отображается в столбце Фильтрация в виде значения Применено или Не применяется (пусто).

Примечания

  • Для получения сведений об открытии RSoP щелкните ссылку «См. также».
  • Список, включает объекты групповой политики, не применяющиеся для запрошенного объекта.

См. также


Просмотр области управления, связанной с запросом RSoP

Рисунок Microsoft Windows

Чтобы просмотреть область управления, связанную с запросом RSoP

  1. Откройте запрос RSoP. Результаты запроса отображаются в панели сведений консоли управления ММС.
  2. Правой кнопкой мыши щелкните узел Конфигурация компьютера или Конфигурация пользователя и выберите команду Свойства.
  3. На вкладке Общие установите флажок Отображать область управления.

    4. В столбце Область управления будут отображены записи CNAME по каждому объекту групповой политики в Active Directory.

Примечание

  • Для получения сведений об открытии RSoP щелкните ссылку «См. также».

См. также


Просмотр сведений о редакции объекта групповой политики в RSoP

Рисунок Microsoft Windows

Чтобы просмотреть сведения о редакции объекта групповой политики в RSoP

  1. Откройте запрос RSoP. Результаты запроса отображаются в панели сведений консоли управления ММС.
  2. Правой кнопкой мыши щелкните узел Конфигурация компьютера или Конфигурация пользователя и выберите команду Свойства.
  3. На вкладке Общие установите флажок Отображать информацию о редакции.

    4. Сведения о редакции будут отображены в столбце Редакция.

Примечание

  • Для получения сведений об открытии RSoP щелкните ссылку «См. также».

См. также


Основные понятия

В данном разделе приводятся общие сведения о модуле результирующей политики (RSoP).

  • Режим входа
  • Результаты RSoP
  • Общие сведения о RSoP


Режим входа

Режим входа модуля результирующей политики (RSoP) помогает администраторам просматривать имеющуюся политику, установленные приложения и параметры безопасности.

Режим входа в основном используется в следующих ситуациях:

  • необходимо изучить неверные или измененные параметры политики;
  • необходимо просмотреть, как группы безопасности влияют на параметры политики;
  • необходимо изучить, как локальная политика влияет на групповую политику.

Иногда возникает необходимость опросить систему для разрешения проблем развертывания или поиска недостатков системы безопасности. Для этого необходимо указать учетную запись пользователя и компьютера, в которых имеются данные неполадки.

При выполнении запроса RSoP в отчете RSoP сообщается о всех приложениях, доступных для установки, о папках, которые будут перенаправлены (включая цель перенаправления), о каждом параметре политики, который будет использован для пользователя или компьютера, и о влиянии группы безопасности на данную политику. При использовании RSoP отображаются существующие неполадки.

Например, параметр шаблона групповой политики «Всегда производить установку с повышенными привилегиями» можно отключить, в то время как служба установки программного обеспечения выполняет попытки установить программы в каталоги, недоступные для пользователей. Поскольку указание на данную проблему содержится в отчете RSoP, снижается время, необходимое для поиска и устранения данной неполадки.

Дополнительные сведения см. в следующих разделах.

  • Доступ к данным RSoP для существующих компьютера и пользователя (режим входа)
  • Просмотр отдельных параметров политики с помощью RSoP


Результаты RSoP

В этом разделе рассмотрены следующие темы.

  • Результаты настройки программ
  • Результаты настройки Windows
  • Результаты административных шаблонов
  • Результаты дополнительных параметров реестра
  • Результаты HTML в модуле RSoP


Результаты настройки программ

Результаты модуля результирующей политики (RSoP) по настройке программ отображаются в панели сведений консоли управления (MMC). В панели сведений для настройки программ присутствуют пять стандартных столбцов, описанных в следующей таблице.

Столбец | Сведения
Имя | Имя развернутого пакета
Версия | Версия программы развернутого пакета
Состояние развертывания | Указание, является ли пакет назначенным или опубликованным
Источник | Расположение источника развернутого пакета
Источник | Имя объекта групповой политики, развернувшего пакет

Чтобы добавить другие столбцы на панель сведений для настройки программ, выполните следующие действия.

  1. Щелкните правой кнопкой область сведений, перейдите к пункту Вид и выберите команду Добавить или удалить столбцы.
  2. В списке Доступные столбцы щелкните столбцы, которую требуется добавить, и нажмите кнопку Добавить.
  3. Когда все нужные столбцы будут отображаться в списке Отображаемые столбцы, нажмите кнопку OK. Добавленные столбцы будут отображаться в панели сведений для настройки программ.

В верхней части панели сведений для настройки программ имеются три кнопки, описанные в следующей таблице.

Кнопка | Функция
Установленные приложения | Список установленных программ
Доступные приложения | Список всех доступных программ
Удаленные приложения | Список всех удаленных программ

Дополнительные сведения о других результатах RSoP см. в следующих разделах:

  • Результаты настройки Windows
  • Результаты административных шаблонов
  • Результаты дополнительных параметров реестра
  • Результаты HTML в модуле RSoP


Результаты настройки Windows

Результаты модуля результирующей политики (RSoP) по настройке Windows отображаются в панели сведений консоли управления (MMC). Настройка Windows содержит три возможные категории.

  • Результаты сценариев
  • Результаты настройки Internet Explorer
  • Результаты настройки безопасности

Результаты сценариев

В панели сведений имеются четыре стандартных столбца, описанные в следующей таблице.

Столбец | Описание
Имя | Имя сценария
Параметры | Список всех параметров, связанных со сценарием
Последнее выполнение | Дата последнего запуска сценария
Имя GPO | Имя объекта групповой политики, которому назначен сценарий

Результаты настройки Internet Explorer

Результаты настройки Internet Explorer отображаются аналогично результатам групповой политики, за исключением того, что присутствует одна или нескольких вкладок Приоритет.

Вкладка Приоритет указывает, какие объекты групповой политики влияют на данный параметр, в порядке от новых к старым.

Результаты настройки безопасности

Результаты настройки безопасности в настройках Windows раздела «Конфигурация компьютера» отображаются аналогично результатам для групповой политики, за исключением того, что при двойном щелчке параметра появляются вкладки Безопасность и Приоритет.

Вкладка | Описание
Безопасность | Аналогично отображаемой в групповой политике, но недоступна
Приоритет | Отображение приоритета объекта групповой политики, от новых к старым

Дополнительные сведения о других результатах RSoP см. в следующих разделах:

  • Результаты настройки программ
  • Результаты административных шаблонов
  • Результаты дополнительных параметров реестра
  • Результаты HTML в модуле RSoP


Результаты административных шаблонов

Результаты модуля результирующей политики (RSoP) по административным шаблонам отображаются в панели сведений консоли управления (MMC). Сведения, отображаемые в панели сведений, аналогичны сведениям для групповой политики, за исключением того, что отображаются только параметры, значения по умолчанию которых были изменены. Кроме того, имеется один дополнительный столбец, описанный в следующей таблице.

Столбец | Сведения, содержащиеся в столбце
Имя GPO | Имя последнего объекта групповой политики, воздействовавшего на данный параметр политики

Для получения дополнительных сведений о параметре дважды щелкните параметр на панели данных. Откроется диалоговое окно, содержащее три вкладки, описанные в следующей таблице.

Вкладка | Сведения, содержащиеся на вкладке
Параметр | Аналогично отображаемому в групповой политике, но недоступен
Объяснение | Описание функции параметра
Приоритет | Отображение приоритета объекта групповой политики, от новых к старым

Дополнительные сведения о других результатах RSoP см. в следующих разделах:

  • Результаты настройки программ
  • Результаты настройки Windows
  • Результаты дополнительных параметров реестра
  • Результаты RSoP HTML


Результаты дополнительных параметров реестра

Результаты оснастки «Результирующая политика» (RSoP) по дополнительным параметрам реестра отображаются в панели сведений консоли управления (MMC). Дополнительные параметры реестра представляют собой набор параметров реестра, связанных с политикой, не имеющие связанного административного шаблона Поскольку связанный административный шаблон отсутствует, отсутствует объяснение параметра, за исключением следующих элементов:

  • раздел реестра;
  • объект групповой политики, задающий раздел.

Дополнительные сведения о других результатах RSoP см. в следующих разделах:

  • Результаты настройки программ
  • Результаты настройки Windows
  • Результаты административных шаблонов
  • Результаты HTML в модуле RSoP


Результаты HTML в модуле RSoP

Отчет по результатам HTML в модуле (RSoP) содержит общие сведения в следующих категориях:

  • имя пользователя и связанный домен;
  • имя компьютера, связанный домен и текущий узел;
  • членство компьютера и пользователя в группах безопасности;
  • время последнего применения политики и место, откуда она применялась.

Кроме того, отображаются дополнительные сведения в следующих категориях:

  • Сценарии: вход, выход, запуск, завершение работы;
    • имя;
    • параметры;
    • исходный объект GPO;
  • перенаправление папки;
    • имя папки;
    • путь перенаправления;
    • тип
    • исходный объект GPO;
  • установка программного обеспечения (установленные программы и программы, доступные в списке «Установка и удаление программ»);
    • имя;
    • версия;
    • исходный путь;
    • тип;
    • исходный объект GPO;
  • параметры реестра;
    • размещение;
    • имя ключа;
    • значение.

Примечание

  • Результаты запроса по HTML для сведений RSoP извлекаются в режиме входа RSoP.

Дополнительные сведения о других результатах RSoP см. в следующих разделах:

  • Результаты настройки программ
  • Результаты настройки Windows
  • Результаты административных шаблонов
  • Результаты дополнительных параметров реестра


Общие сведения о RSoP

Результирующая политика (RSoP) является дополнительным элементом групповой политики, упрощающим внедрение политики и устранение неполадок. RSoP представляет собой модуль запросов, опрашивающий существующие политики и формирующий отчет по запросу. Опрашиваются политики на базе узла, домена, контроллера домена и подразделения. RSoP собирает эти сведения из базы данных CIMOM (как правило, называемую «WMI»).

В дополнение к проверке политики, заданной групповой политикой, модуль RSoP также проверяет установку всего программного обеспечения, связанного с определенным пользователем или компьютером, и формирует отчет по результатам этих запросов. Модуль RSoP предоставляет сведения о всех параметрах политики, установленных администратором. В эти сведения входят административные шаблоны, перенаправление папки, параметры Internet Explorer, безопасности и сценариев.

При применении политики на нескольких уровнях (например, уровне узла, домена, контроллера домена и подразделения) может возникать конфликт результатов. Если установлена конфликтующая политика, при ее исследовании и изменении могут возникать трудности. Модуль RSoP способствует определению конечного набора применяемых политик и определению приоритета политик, упрощая устранение неполадок.

Дополнительные сведения см. в следующих разделах.

  • RSoP, IntelliMirror, база данных CIMOM и WMI
  • RSoP, Active Directory и приоритет политики
  • RSoP, групповая политика и установка программ
  • RSoP и вопросы безопасности
  • Средство Gpresult (gpresult.exe)


RSoP, IntelliMirror, база данных CIMOM и WMI

IntelliMirror — это набор средств настройки рабочего стола и управления конфигурацией. IntelliMirror сочетает преимущества централизованного управления с производительностью и гибкостью распределенных вычислений.

Модуль результирующей политики (RSoP) взаимодействует с несколькими функциями IntelliMirror.

  • Active Directory (Дополнительные сведения см. в разделе RSoP, Active Directory и приоритет политики.)
  • Групповая политика (Дополнительные сведения см. в разделе RSoP, групповая политика и установка программ.)
  • База данных CIMOM и WMI

Модуль RSoP чаще всего использует следующие средства: базу данных CIMOM.

При загрузке компьютера в сеть сведения, такие как оборудование компьютера, параметры установки программного обеспечения, параметры управления обозревателя Internet Explorer, сценарии, параметры перенаправления папок, а также параметры безопасности записываются в базу данных CIMOM (как правило, называемую «WMI»). При запуске RSoP в режиме входа выполняется зеркальный снимок этой базы данных и выводится отчет о примененных параметрах групповой политики.

RSoP и брандмауэр Windows

В Microsoft Windows XP Service Pack 2 брандмауэр Windows включен по умолчанию. Входящие запросы закрытых портов блокируются брандмауэром Windows. Эта блокировка обеспечивает использование модуля RSoP в сети. Запросы, получаемые с локального компьютера, не блокируются. Сведения об открытии треубемых портов с помощью брандмауэра см. на веб-узле корпорации Майкрософт (http://www.microsoft.com/) в разделе Changes to Functionality in Microsoft Windows XP Service Pack 2.

Дополнительные сведения см. в разделе Общие сведения о RSoP.


RSoP, Active Directory и приоритет политики

Служба каталогов Active Directory собирает сведения о всех объектах сети, включая пользователей, компьютеры и принтеры, и распространяет эти сведения в сети. Например, можно выполнить поиск в Active Directory цветных принтеров, расположенных рядом с компьютером, группы пользователей, управляемой конкретным субъектом, или общей папки, которой было назначено уникальное ключевое слово.

Групповая политика использует объекты групповой политики (GPO) в службе каталогов Active Directory для хранения параметров пользователей и компьютеров, предоставляющих администраторам следующие возможности:

  • развертывание разделов реестра (административные шаблоны);
  • развертывание программ (установка программного обеспечения);
  • развертывание безопасности: Safer, IP-безопасность (IPSec);
  • развертывание сценариев: вход, выход, запуск, завершение работы (сценарии);
  • настройка обозревателя сети (настройка Internet Explorer).

После установки политики для объекта она применяется при следующем входе объекта в домен. При входе объекта в домен параметры политики применяются в следующем порядке:

  • политика подразделения;
  • политика контроллера домена (если контроллер домена содержится в контейнере контроллеров домена);
  • политика уровня домена;
  • политика уровня узла;
  • локальная политика.

Объектом GPO могут быть переопределены атрибуты, заданные ранее примененным объектом GPO. Кроме того, администратор может назначить политику узлу или домену для содержания атрибута «запрета перезаписи» таким образом, чтобы каждый объект GPO, применяемый последним, был защищен от перезаписи другими политиками.

Когда параметр GPO переопределяется другим GPO, это означает, что последний объект GPO имеет приоритет. Если объект GPO обладает атрибутом «запрета перезаписи», он содержится во всех последовательно применяемых политиках. Модуль RSoP следует приведенным шагам применения политик и отслеживает уровень приоритета каждого объекта GPO. Таким образом, при возникновении неполадок может быть отслежен приоритет каждой политики.

Дополнительные сведения см. в разделе Общие сведения о RSoP.


RSoP, «Групповая политика» и «Установка программного обеспечения»

Для эффективного использования модуля групповой политики (RSoP) рекомендуется просмотреть способ хранения параметров политики в оснастке Групповая политика и способ использования этих параметров при входе в систему.

Оснастка «Групповая политика» используется для определения поведения программ, сетевых ресурсов и операционной системы для пользователей и компьютеров организации. Используя объекты службы каталогов Active Directory, групповая политика изменяет значения записей в реестре. При запуске пользователем компьютера эти параметры загружаются автоматически. При внесении изменений, не относящихся к реестру, расширения групповой политики преобразуют определенные типы данных и задают для них значения на клиентском компьютере. После этого данные изменения записываются компьютерами в базу данных CIMOM (Common Information Management Object Model). RSoP является модулем запросов, проверяющим параметры существующей политики для объекта, перечисленные в базе данных CIMOM. Затем модуль RSoP выводит эти параметры в отчет в форме, аналогичной отображению в оснастке «Групповая политика». Этот процесс, при котором модуль RSoP запрашивает у существующего пользователя или компьютера отчет об имеющейся политике, называется «режимом входа». Дополнительные сведения см. в разделе Режим входа.

Важной частью групповой политики являются расширения конфигурации программ, отслеживающие службу «Установка программ». При создании отчета RSoP часть групповой политики, относящаяся к установке программного обеспечения, содержит сведения о доступных для любого заданного пользователя или компьютера программах и все внесенные и принятые изменения параметров программного обеспечения. Отображая сведения обо всем программном обеспечении, обновлениях и изменениях конфигурации, доступных данному пользователю, модуль RSoP упрощает планирование сценариев развертывания и их внедрение.

Дополнительные сведения см. в разделе Общие сведения о RSoP.


RSoP и вопросы безопасности

Существует три области применения, в которых результирующая политики (RSoP) может помочь в вопросах безопасности:

  • шаблоны безопасности;
  • фильтрация групповой политики;
  • индивидуальные параметры безопасности.

Шаблоны безопасности

Оснастка «Шаблоны безопасности» используется для создания и назначения шаблонов безопасности для одного или нескольких компьютеров. Шаблон безопасности представляет собой фал, содержащий конфигурацию безопасности. Он может быть применен к локальному компьютеру или импортирован в объект групповой политики (GPO) в службе Active Directory. При импорте шаблона безопасности в GPO, шаблон обрабатывается групповой политикой, производятся соответствующие изменения членов данного GPO, которыми могут являться пользователи или компьютеры.

Данные изменения проверяются модулем RSoP. При опросе системы и отображении результирующей политики в модуле RSoP отображаются неправильно использованные и измененные параметры политики, а также приоритет, что позволяет устранять бреши в безопасности системы.

Дополнительные сведения см. в разделе Административные шаблоны.

Фильтрация групповой политики

Администраторы могут использовать группы безопасности для дальнейшего указания влияния объекта групповой политики на компьютеры и пользователей. Администраторы имеют возможность выполнять фильтрацию любого GPO на компьютерах, являющихся членами определенных групп безопасности. Поскольку в RSoP группы безопасности рассматриваются в согласовании, данные группы отражаются в отчете RSoP.

Дополнительные сведения см. в разделе Использование групп безопасности для фильтрации групповой политики.

Индивидуальные параметры безопасности

Администраторы имеют возможность определять политику безопасности в службе Active Directory, содержащую параметры безопасности для каждой области безопасности. Кроме того, они имеют возможность определять политику безопасности на локальном компьютере. При возникновении конфликтов параметры безопасности, определенные в Active Directory, всегда переопределяют любые параметры безопасности, заданные локально. RSoP используется для просмотра результирующей политики для любого пользователя или компьютера.

RSoP и брандмауэр Windows

В Microsoft Windows XP Service Pack 2 брандмауэр Windows включен по умолчанию. Входящие запросы закрытых портов блокируются брандмауэром Windows. Эта блокировка обеспечивает использование модуля RSoP в сети. Запросы, получаемые с локального компьютера, не блокируются. Сведения об открытии треубемых портов с помощью брандмауэра см. на веб-узле корпорации Майкрософт (http://www.microsoft.com/) в разделе Changes to Functionality in Microsoft Windows XP Service Pack 2.

Дополнительные сведения см. в следующих разделах.

  • Описания параметров безопасности
  • Общие сведения о RSoP


Средство Gpresult (gpresult.exe)

Gpresult является средством командной строки, запускаемым на компьютере для проверки групповой политики. Программа Gpresult предоставляет основные сведения об операционной системе, пользователе и компьютере, описанные в следующих разделах.

Операционная система

  • Введите: Windows 2000 Professional, Windows XP Professional, Windows 2000 Server, контроллер домена
  • Номер сборки и сведения о пакетах обновления
  • Установлены ли службы терминалов и, если установлены, режим их использования

Сведения о пользователе

  • Имя пользователя и расположение в службе каталогов Active Directory (если применяется)
  • Имя домена и тип (Windows 2000 или Windows NT)
  • Имя узла
  • Имеет ли пользователь локальный профиль или перемещаемый, а также расположение профиля
  • Членство в группах безопасности
  • Привилегии безопасности

Сведения о компьютере

  • Имя компьютера и расположение в службе каталогов Active Directory (если применяется)
  • Имя домена и тип (Windows 2000 или Windows NT)
  • Имя узла
  • Сведения о применяемой политике

Кроме того, средство Gpresult предоставляет следующие сведения о групповой политике:

  • Сведения о последнем применении данной политики и контроллер домена, с помощью которого применялась политика — для пользователя и компьютера
  • Полный список примененных объектов групповой политики (GPO) и сведения о них, включая сводку по содержимому каждого объекта
  • Использованные параметры реестра и сведения о них
  • Перенаправленные папки и сведения о них
  • Сведения об управлении программным обеспечением, включая сведения о назначенных и опубликованных приложениях
  • Сведения о дисковых квотах
  • Параметры безопасности IP (IPSec)
  • Сценарии

Пошаговые инструкции по запуску средства gpresult см. в разделе Чтобы запустить средство gpresult.

Сведения о ключах и параметрах командной строки см. в разделе Средство Gpresult.


Устранение неполадок

В этом разделе рассмотрены следующие темы:

  • Сообщения об ошибках RSoP
  • Сбор данных


Сообщения об ошибках RSoP

Неудача при выполнении запроса Active Directory для указанного пользователя.

Причина. Неудача при поиске пользователя. Возможные причины.

  • Контроллер домена, содержащий этот объект, недоступен.
  • Выполнение данного запроса невозможно из-за неполадок в сети.
  • У клиента нет доступа к чтению свойств запрошенного объекта.

Решение.

  1. Убедитесь, что контроллер домена доступен.
  2. Проверьте сетевые подключения, отклики и пропускную способность.
  3. Убедитесь, что у клиента есть доступ к чтению свойств запрошенного объекта.

Неудача при выполнении запроса Active Directory для указанного компьютера.

Причина. Неудача при поиске компьютера. Возможные причины.

  • Контроллер домена, содержащий этот объект, не отвечает на запросы сведений.
  • Выполнение данного запроса невозможно из-за неполадок в сети.
  • У клиента нет доступа к чтению свойств запрошенного объекта.

Решение.

  1. Убедитесь, что контроллер домена доступен.
  2. Проверьте сетевые подключения, отклики и пропускную способность.
  3. Убедитесь, что у клиента есть доступ к чтению свойств запрошенного объекта.

Неудача при выполнении запроса Active Directory для указанного контейнера пользователя.

Причина. Неудача при поиске контейнера пользователя. Возможные причины.

  • Контроллер домена, содержащий этот объект, недоступен.
  • Выполнение данного запроса невозможно из-за неполадок в сети.
  • У клиента нет доступа к чтению свойств запрошенного объекта.

Решение.

  1. Убедитесь, что контроллер домена доступен.
  2. Проверьте сетевые подключения, отклики и пропускную способность.
  3. Убедитесь, что у клиента есть доступ к чтению свойств запрошенного объекта.

Неудача при выполнении запроса Active Directory для указанного контейнера компьютера.

Причина. Неудача при поиске контейнера компьютера. Возможные причины.

  • Контроллер домена, содержащий этот объект, не отвечает на запросы сведений.
  • Выполнение данного запроса невозможно из-за неполадок в сети.
  • У клиента нет доступа к чтению свойств запрошенного объекта.

Решение.

  1. Убедитесь, что контроллер домена доступен.
  2. Проверьте сетевые подключения, отклики и пропускную способность.
  3. Убедитесь, что у клиента есть доступ к чтению свойств запрошенного объекта.

На выбранном компьютере не включен журнал результирующего набора политики. Продолжить?

Причина. Клиент пытается послать запрос компьютеру, на котором включен параметр политики «Отключить протоколирование RSoP».

Решение. Отключите параметр политики «Отключить протоколирование RSoP».

Оснастке RSoP не удалось перечислить пользователей на выбранном компьютере из-за указанной ниже ошибки.

Причина. Оснастка RSoP не может создать переченя пользователей на конкретном контроллере домена, как правило, из-за того, что пользователь клиента не имеет разрешений на чтение на этом контроллере домена.

Решение. Попытайтесь использовать другой контроллер домена или получите разрешения на чтение для пользователя.

Выбранный компьютер не поддерживает протоколирования RSoP. Протоколирование RSoP поддерживается пост-Windows 2000 версиями операционной системы.

Причина. Клиент пытается опросить компьютер с операционной системой Windows 2000, но Windows 2000 не поддерживает журнал результирующего набора политики.

Решение. Опросите другой компьютер или обновите ОС компьютера до Windows XP Professional.

Дополнительные сведения об ошибках см. в Сбор данных.


Сбор данных

RSoP не отображает путь сценария.

Причина. Сценарий, указанный в объекте групповой политики (GPO) без явного пути, хранится в объекте GPO.

Решение. Отображаемое в RSoP имя сценария содержит имя объекта GPO, следующее за именем сценария. Чтобы найти сценарий и просмотреть путь к нему, откройте оснастку «Групповая политика», при запросе выберите объект GPO и просмотрите папки сценариев в папке «Конфигурация Windows» узла «Конфигурация компьютера» или «Конфигурация пользователя».

См. также. Сценарии.

RSoP не отображает время выполнения сценариев.

Причина. В RSoP может отображаться пустое значения времени выполнения по следующим двум причинам:

  1. Не удалось выполнить сценарий. В таком случае в журнале событий приложения отображается запись, содержащая имя сценария и причину сбоя.
  2. Сценарий пока не выполнен.

Постоянно появляется сообщение «Отказано в доступе».

Причина. Пользователь, выполняющий запрос, не имеет доступа либо к учетной записи контейнер/пользователь, либо к учетной записи контейнер/контейнер, либо к обеим сразу.

Решение. Попросить пользователя, имеющего полномочия RSoP на объект запроса, делегировать полномочия RSoP пользователю, выполняющему запрос.

При выборе параметра «Отображать все GPO и состояния фильтрации» отображается набор чисел имени объекта групповой политики (GPO) и значение состояние «Отключено».

Причина. Связанный объект GPO удален из контейнера, но ссылка все еще существует.

Решение. Удалите ссылку GPO из контейнера в запросе.

См. также: Чтобы просмотреть список всех объектов групповой политики, связанных с запросом RSoP.

Невозможно получить данные RSoP по сети от клиентов, работающих под управлением Windows XP Service Pack 2.

Причина. В Microsoft Windows XP Service Pack 2 брандмауэр Windows включен по умолчанию. Входящие запросы закрытых портов блокируются брандмауэром Windows. Эта блокировка обеспечивает использование модуля RSoP в сети. Запросы, получаемые с локального компьютера, не блокируются.

Решение. Необходимо открыть конкретные порты с помощью брандмауэра с целью запуска RSoP.

См. также. Раздел Changes to Functionality in Microsoft Windows XP Service Pack 2 на веб-узле корпорации Майкрософт (http://www.microsoft.com/).

Дополнительные сведения см. в разделе Сообщения об ошибках RSoP.