Нельзя открывать доли файлов или оснастки групповой политики на контроллере домена

New and changed functionality

Group Policy designs can become very complex. Various factors, such as the large number of policy settings and preference items available, the interaction between multiple policies, and inheritance options, can make it difficult to determine if Group Policy is functioning correctly on each computer.

In Windows Server 2012, Group Policy focused on improving the Group Policy troubleshooting experience. Windows Server 2012 R2 expands the support for IPv6 networking, adds policy caching to reduce sign-in times in synchronous mode, and provides more detailed event logging. For more details about these changes and more information about the additional changes in functionality that are not listed here, see What’s New in Group Policy in Windows Server 2012 and What’s New in Group Policy in Windows Server.

Способ 3: Проверка «Локальной политики безопасности»

В приложении «Локальная политика безопасности» есть несколько параметров, влияющих на установку программного обеспечения. Если их настройки сбились, изменились сторонними средствами или администратором, возможно появление рассматриваемой в этой статье проблемы. Для проверки параметров выполните следующие действия:

1. В меню «Пуск» через поиск отыщите приложение «Средства администрирования Windows».

Появится меню «Администрирование», где дважды кликните по пункту «Локальная политика безопасности».

В окне управления выделите «Политики ограниченного использования программ». Если появилось уведомление, что политики не определены, щелкните по папке ПКМ и выберите пункт «Создать политику ограниченного использования программ».

Теперь в каталог добавится несколько объектов, среди которых следует найти «Применение» и сделать по нему двойной клик ЛКМ.

Примените политику «Всех пользователей, кроме локальных администраторов» и сохраните данную настройку.

Сейчас можно не перезагружать операционную систему, а сразу перейти к проверке эффективности выполненных инструкций. Не меняйте настройку обратно, даже если результат все еще окажется неудовлетворительным.

Как отключается антивирус Microsoft Security Essentials

Сейчас какой-либо антивирусный продукт установлен практически на каждом персональном компьютере. И действительно, каждый день путешествуя с сайта на сайт совсем не хитрое дело скачать какой-нибудь файл, который может причинить вред компьютеру или предоставить злоумышленнику доступ к вашим данным. Однако антивирусы не всегда одинаково полезны и иногда мешают нам выполнять заведомо безопасные операции, и поэтому возникает необходимость их отключения. Сегодня я и расскажу о том, как отключить Microsoft Security Essentials (про его удаление читайте тут).

Для того чтобы деактивировать защиту компьютера и выключить отслеживание действий запускаемых программ, вам потребуется:

1. Щелкнуть левой кнопкой по значку треугольника в правой части панели задач.
2. Единожды щелкнуть по значку антивируса и дождаться, когда откроется его окно.
3. Перейти на вкладку «Параметры».
4. Убрать отметку с пункта о том, что защита в реальном времени включена.
5. Сохранить изменения и закрыть окно программы.

Чтобы у вас не было проблем с тем, как отключить Microsoft Security Essentials, я подготовил небольшую иллюстрацию, где отметил и значок программы в области уведомлений, и нужные элементы окна, с которыми вам придется взаимодействовать.

Важно! После того, как действие, которому мешал антивирус, будет выполнено, не забудьте включить защиту обратно, чтобы не подвергать компьютер дополнительному риску. Разобравшись с тем, как отключить Microsoft Security Essentials на время, стоит поговорить о такой его функции, как «Исключения»

Данная возможность пригодится вам в том случае, если файл, который по каким-то причинам не нравится программе, открывается вами часто, однако в других случаях антивирус ведет себя исправно и ругается только на действительно вредоносные объекты

Разобравшись с тем, как отключить Microsoft Security Essentials на время, стоит поговорить о такой его функции, как «Исключения». Данная возможность пригодится вам в том случае, если файл, который по каким-то причинам не нравится программе, открывается вами часто, однако в других случаях антивирус ведет себя исправно и ругается только на действительно вредоносные объекты.

Используя настройки Essentials, можно добавить этот файл в список исключений, после чего его проверка при запуске производиться не будет. Все настройки производятся в боковой панели приложения.

Важно! Устанавливайте данные параметры предельно аккуратно и с умом. Например, не стоит добавлять в список исключений все файлы формата *.exe или *.bat, поскольку именно эти форматы являются исполняемыми приложениями и неизвестные объекты с этими расширениями вполне могут оказаться вирусом

Вот и всё, что можно было рассказать по вопросу о том, как временно отключить Microsoft Security Essentials.

Совет! Если вы не планируете включать защиту обратно, производите периодические проверки всей системы на наличие угроз, чтобы избежать потери собственных данных.

Также я нашел в интернете видеоматериал, в полной мере иллюстрирующее все вышеописанное. С помощью него вы наглядно увидите все действия по приостановлению мониторинга системы и уж точно не запутаетесь, как отключить антивирусник Microsoft Security Essentials – видео находится чуть ниже. Также, вы можете узнать больше про антивирус Kaspersky, прочитав статью здесь. До скорого!

Принцип работы с групповыми политиками

Рассматриваемый в этой статье инструмент позволяет применять множество самых разнообразных параметров. К сожалению, большинство из них понятно только профессионалам, использующим групповые политики в рабочих целях. Однако и обычному пользователю есть что настроить, используя некоторые параметры. Разберем несколько простых примеров.

Изменение окна безопасности Windows

Если в Виндовс 7 зажать сочетание клавиш Ctrl + Alt + Delete, то будет запущено окно безопасности, где осуществляется переход к диспетчеру задач, блокировка ПК, завершение сеанса системы, смена профиля пользователя и пароля.

Каждая команда за исключением «Сменить пользователя» доступна для редактирования путем изменения нескольких параметров. Выполняется это в среде с параметрами или путем изменения реестра. Рассмотрим оба варианта.

1. Откройте редактор.
2. Перейдите в папку «Конфигурация пользователя», «Административные шаблоны», «Система» и «Варианты действий после нажатия Ctrl + Alt + Delete».

Откройте любую необходимую политику в окне справа.

В простом окне управления состоянием параметра поставьте галочку напротив «Включить» и не забудьте применить изменения.

Пользователям, у которых нет редактора политик, все действия нужно будет выполнять через реестр. Давайте рассмотрим все действия пошагово:

1. Перейдите к редактированию реестра.

Подробнее: Как открыть редактор реестра в Windows 7

Перейдите к разделу «System». Он находится по этому ключу:

Там вы увидите три строки, отвечающие за появление функций в окне безопасности.

Откройте необходимую строку и поменяйте значение на «1», чтобы активировать параметр.

После сохранения изменений деактивированные параметры больше не будут отображаться в окне безопасности Windows 7.

Изменения панели мест

Многие используют диалоговые окна «Сохранить как» или «Открыть как». Слева отображается навигационная панель, включая раздел «Избранное». Данный раздел настраивается стандартными средствами Windows, однако это долго и неудобно. Поэтому лучше воспользоваться групповыми политиками для редактирования отображения значков в данном меню. Редактирование происходит следующим образом:

1. Перейдите в редактор, выберите «Конфигурация пользователя», перейдите к «Административные шаблоны», «Компоненты Windows», «Проводник» и конечной папкой будет «Общее диалоговое окно открытия файлов».

Здесь вас интересует «Элементы, отображаемые в панели мест».

Поставьте точку напротив «Включить» и добавьте до пяти различных путей сохранения в соответствующие строки. Справа от них отображается инструкция правильного указания путей к локальным или сетевым папкам.

Теперь рассмотрим добавление элементов через реестр для пользователей, у которых отсутствует редактор.

1. Перейдите по пути:

Выберите папку «Policies» и сделайте в ней раздел comdlg32.

Перейдите в созданный раздел и сделайте внутри него папку Placesbar.

В этом разделе потребуется создать до пяти строковых параметров и назвать их от «Place0» до «Place4».

После создания откройте каждый из них и в строку введите необходимый путь к папке.

Слежение за завершением работы компьютера

Когда вы завершаете работу за компьютером, выключение системы происходит без показа дополнительных окон, что позволяет не быстрее выключить ПК. Но иногда требуется узнать почему происходит выключение или перезапуск системы. В этом поможет включение специального диалогового окна. Включается оно с помощью редактора или путем изменения реестра.

1. Откройте редактор и перейдите к «Конфигурация компьютера», «Административные шаблоны», после чего выберите папку «Система».

В ней нужно выбрать параметр «Отображать диалог слежения за завершением работы».

Откроется простое окно настройки, где необходимо поставить точку напротив «Включить», при этом в разделе параметры во всплывающем меню необходимо указать «Всегда». После не забудьте применить изменения.

Данная функция включается и через реестр. Вам нужно совершить несколько простых действий:

1. Запустите реестр и перейдите по пути:

Найдите в разделе две строки: «ShutdownReasonOn» и «ShutdownReasonUI».
Введите в строку с состоянием «1».

В этой статье мы разобрали основные принципы использования групповых политик Виндовс 7, объяснили значимость редактора и сравнили его с реестром. Ряд параметров предоставляет пользователям несколько тысяч различных настроек, позволяющие редактировать некоторые функции пользователей или системы. Работа с параметрами осуществляется по аналогии с приведенными выше примерами.

Опишите, что у вас не получилось.
Наши специалисты постараются ответить максимально быстро.

Симптомы

Рассмотрим следующие сценарии.

Сценарий 1:

• У вас есть контроллер домена, который работает с Windows Server.
• Создается центральный хранилище файлов административных шаблонов групповой политики (.admx files) на компьютере. Дополнительные сведения см. в материалах «Созданиефайлов административного шаблона центра хранения групповой политики» в Windows Vista.
• Вы присоединяется к компьютеру с Windows 10 на основе домена.
• На компьютере с Windows 10 скопируйте файлы в каталоге %systemroot%\PolicyDefinitions, вклейте их в центральный магазин ADMX и переопределяйте все существующие файлы *.admx и *.adml. Затем откройте консоль управления групповой политикой (GPMC) для редактирования политики.
• Вы щелкните узел Политики в конфигурации компьютера или конфигурации пользователя.

Сценарий 2:

• У вас есть компьютер с Windows 10 RTM (сборка 10240).
• Вы обновляете компьютер до более поздних сборки Windows 10.

В этих сценариях вы получаете следующее сообщение об ошибке:

Примечание

Местообладатель <.root> представляет доменное имя.

Например, сообщение об ошибке напоминает сообщение на следующем скриншоте:

Примечание

Вы можете не заметить эту проблему при обновлении с Windows 7 или Windows 8.1 до Windows 10 версии 1511 (пропуск Windows 10 RTM).

ОБЪЯСНЕНИЕ 1

Режим обработки замыкания групповой политики (Loopback Policy Processing)
Если управлять пользовательскими профилями через групповые политики, то можно заметить, что некоторые настройки, например, перенаправление папок, располагаются в разделе User configuration (Конфигурация пользователя) политики.
А это значит, что если пользовательская учетная запись находится в организационном подразделении (Organization Unit, OU), на которое распространяется действие такой политики, то применяться эти настройки будут при входе пользователя в систему независимо от того, локальный это компьютер или сервер RDS. Такое поведение может быть нежелательным, вполне разумно иметь одни пользовательские настройки для сервера, другие — для локального компьютера.
Но если поместить политику с настроенными разделами User Configuration в раздел OU с серверами, то она не будет обрабатываться, так как учетные записи пользователей не находятся в этом OU.
Чтобы это произошло, существует специальная политика Loopback Policy Processing (Режим обработки замыкания пользовательской групповой политики), располагающаяся в разделе Computer Configuration (Конфигурация компьютера) -» Policies (Политики) -> Administrative Templates (Административные шаблоны) -> System (Система) -> Group Policy (Групповая политика).
У нее два режима работы — Replace (Замена) и Merge (Слияние). В первом случае происходит замещение пользовательских политик из OU пользователя, во втором — объединение с ними.

Например, на рис. 5 изображен домен с двумя организационными подразделениями — OU1 и OU2.
В первом находятся объекты учетных записей пользователей и их локальные компьютеры, во втором — объекты серверов RDS.
Если пользователь осуществляет вход в систему на локальном компьютере, то он оказывается под действием доменной групповой политики (Default domain policy), затем политики GP1 локального компьютера (которая была применена при его включении) и политики GP2 пользователя (примененной при входе в систему).
Если пользователь осуществляет вход на сервер RDS, то будут действовать доменная политика, политика сервера GP3 и политика пользователя GP2.
Если же включить Loopback Policy Processing, то при входе на сервер RDS будут действовать доменная политика, политика сервера GP3 и политика пользователя GP2+GP4 (в режиме Merge) или только GP4 (в режиме Replace).
При возникновении любых конфликтов настроек между политиками OU пользователя и OU сервера в режиме Merge политика в OU сервера будет иметь более высокий приоритет.

Используя несколько серверов RDS в кластере, просто необходимо управлять пользовательскими профилями. К счастью, для этого есть достаточно много возможностей со своими сильными и слабыми сторонами. Остается только выбрать то сочетание, которое лучше всего будет подходить для каждого конкретного случая.

( взято тут: http://www.xnets.ru/plugins/content/content.php?content.240.4  )

More information

To set user configuration per computer, follow these steps:

1. In the Group Policy Microsoft Management Console (MMC), select Computer Configuration.
2. Locate Administrative Templates, select System, select Group Policy, and then enable the Loopback Policy option.

This policy directs the system to apply the set of GPOs for the computer to any user who logs on to a computer affected by this policy. This policy is intended for special-use computers where you must modify the user policy based on the computer that’s being used. For example, computers in public areas, in laboratories, and in classrooms.

Note

Loopback is supported only in an Active Directory environment. Both the computer account and the user account must be in Active Directory. If a Microsoft Windows NT 4.0 based domain controller manages either account, the loopback does not function. The client computer must be a running one of the following operating systems:

• Windows XP Professional
• Windows 2000 Professional
• Windows 2000 Server
• Windows 2000 Advanced Server
• Windows Server 2003

When users work on their own workstations, you may want Group Policy settings applied based on the location of the user object. So we recommend you to configure policy settings based on the organizational unit in which the user account resides. When a computer object resides in a specific organizational unit, the user settings of a policy should be applied based on the location of the computer object instead of the user object.

Note

You cannot filter the user settings that are applied by denying or removing the AGP and Read rights from the computer object specified for the loopback policy.

Normal user Group Policy processing specifies that computers located in their organizational unit have the GPOs applied in order during computer startup. Users in their organizational unit have GPOs applied in order during logon, regardless of which computer they log on to.

This processing order may not be appropriate in some cases. For example, when you don’t want applications that have been assigned or published to the users in their organizational unit to be installed when the user is logged on to a computer in a specific organizational unit. With the Group Policy loopback support feature, you can specify two other ways to retrieve the list of GPOs for any user of the computers in this specific organizational unit:

• Merge Mode

  In this mode, when the user logs on, the user’s list of GPOs is typically gathered by using the GetGPOList function. The GetGPOList function is then called again by using the computer’s location in Active Directory. The list of GPOs for the computer is then added to the end of the GPOs for the user. It causes the computer’s GPOs to have higher precedence than the user’s GPOs. In this example, the list of GPOs for the computer is added to the user’s list.

• Replace Mode

  In this mode, the user’s list of GPOs isn’t gathered. Only the list of GPOs based on the computer object is used.

To configure a setting for computer that is joined to a domain

The following procedure describes how to configure a security policy setting for a Group Policy Object when you are on a workstation or server that is joined to a domain.

You must have the appropriate permissions to install and use the Microsoft Management Console (MMC), and to update a Group Policy Object (GPO) on the domain controller to perform these procedures.

1. To open the MMC and add the Group Policy Object Editor, on the Start screen, type mmc.msc.

2. On the File menu of the MMC, click Add/Remove snap-in, and then click Add.

3. In Add Standalone Snap-in, double-click Group Policy Object Editor.

4. In Select Group Policy Object, click Browse, browse to the GPO you would like to modify, and then click Finish.

5. Click Close, and then click OK.

   This procedure added the snap-in to the MMC.

6. In the console tree, locate GroupPolicyObject Policy, click Computer Configuration, click Windows Settings, and then click Security Settings.

7. Do one of the following:

   • Click Account Policies to edit the Password Policy or Account Lockout Policy.

   • Click Local Policies to edit an Audit Policy, a User Rights Assignment, or Security Options.

   • Click Event Log to edit event log settings.

8. In the details pane, double-click the security policy setting that you want to modify.

   Note

   If this security policy has not yet been defined, select the Define these policy settings check box.

9. Modify the security policy setting and then click OK.

To configure a security policy setting using the Local Group Policy Editor console

You must have the appropriate permissions to install and use the Microsoft Management Console (MMC), and to update a Group Policy Object (GPO) on the domain controller to perform these procedures.

1. Open the Local Group Policy Editor (gpedit.msc).

   

   

   

   

   

   

   

   

   

2. In the console tree, click Computer Configuration, click Windows Settings, and then click Security Settings.

3. Do one of the following:

   • Click Account Policies to edit the Password Policy or Account Lockout Policy.
   • Click Local Policies to edit an Audit Policy, a User Rights Assignment, or Security Options.

4. In the details pane, double-click the security policy setting that you want to modify.

   Note

    If this security policy has not yet been defined, select the Define these policy settings check box.

5. Modify the security policy setting, and then click OK.

Note

If you want to configure security settings for many devices on your network, you can use the Group Policy Management Console.

Клиент групповой политики препятствует входу в систему

Ошибка возникает при попытке войти в профиль пользователя Windows после ввода логина и пароля. Появляется окно с ошибкой и примечанием «Отказано в доступе» или «Невозможно загрузить профиль пользователя». Вход под аккаунтом администратора обычно осуществляется, однако в трее выскакивает системное уведомление «Window не удаётся подключиться к службе «ProfSvc»».

Причин проблемы может быть много: начиная от вирусной атаки и заканчивая разовым системным сбоем службы. ProfSvc — служба профилей пользователей, отвечающая за загрузку и выгрузку данных профилей. Если она остановлена или отключена, вход и выход из Windows будет невозможен, а системные компоненты и приложения будут сообщать об ошибках. Проблема актуальна для всех версий Windows, поскольку служба является стандартным компонентом всех популярных версий Windows: XP, Vista, 7, 8, 10, Windows Server.

Practical applications

By using Group Policy, you can significantly reduce your organization’s total cost of ownership. Various factors, such as the large number of policy settings available, the interaction between multiple policies, and inheritance options, can make Group Policy design complex. By carefully planning, designing, testing, and deploying a solution based on your organization’s business requirements, you can provide the standardized functionality, security, and management control that your organization needs.

Here are some Windows Server 2012 scenarios that use Group Policy to implement a solution:

Причина

Эта проблема возникает из-за того, что файл LocationProviderADM.admx был переименован в Microsoft-Windows-Geolocation-WLPAdm.admx в Windows 10 RTM.

• Сценарий 1

  После копирования файлов .admx из Windows 10 в центральный магазин, содержащий файл LocationProviderADM.ADMX, который находится в более ранней версии Windows, существует два файла .admx, которые содержат те же параметры, но имеют разные имена. Это вызывает ошибку «пространство имен уже определено».

• Сценарий 2

  При обновлении с Windows 10 RTM до Windows 10 версии 1511 новый файл LocationProviderAdm.admx копируется в папку, сохраняя при этом старый файл Microsoft-Windows-Geolocation-WLPAdm.admx. Таким образом, существует два файла ADMX, которые адресуют одно и то же пространство имен политик.

To configure a setting for a domain controller

The following procedure describes how to configure a security policy setting for only a domain controller (from the domain controller).

1. To open the domain controller security policy, in the console tree, locate GroupPolicyObject Policy, click Computer Configuration, click Windows Settings, and then click Security Settings.

2. Do one of the following:

   • Double-click Account Policies to edit the Password Policy, Account Lockout Policy, or Kerberos Policy.

   • Click Local Policies to edit the Audit Policy, a User Rights Assignment, or Security Options.

   • Click Event Log to edit event log settings.

3. In the details pane, double-click the security policy that you want to modify.

   Note

   If this security policy has not yet been defined, select the Define these policy settings check box.

4. Modify the security policy setting, and then click OK.

Important

Always test a newly created policy in a test organizational unit before you apply it to your network.
When you change a security setting through a GPO and click OK, that setting will take effect the next time you refresh the settings.

To configure a setting for a domain controller

The following procedure describes how to configure a security policy setting for only a domain controller (from the domain controller).

1. To open the domain controller security policy, in the console tree, locate GroupPolicyObject Policy, click Computer Configuration, click Windows Settings, and then click Security Settings.

2. Do one of the following:

   • Double-click Account Policies to edit the Password Policy, Account Lockout Policy, or Kerberos Policy.
   • Click Local Policies to edit the Audit Policy, a User Rights Assignment, or Security Options.

3. In the details pane, double-click the security policy that you want to modify.

   Note

    If this security policy has not yet been defined, select the Define these policy settings check box.

4. Modify the security policy setting, and then click OK.

Important

• Always test a newly created policy in a test organizational unit before you apply it to your network.
• When you change a security setting through a GPO and click OK, that setting will take effect the next time you refresh the settings.