Dlaczego gpedit i odpowiednie wpisy rejestru nie są synchronizowane?

Jestem na Windows 10 Pro. Zauważyłem, że kiedy stosuję niektóre zasady za pomocą gpedit, odpowiednie wpisy są tworzone w rejestrze. Jeśli cofnę, wpisy zostaną również usunięte z rejestru.

Spodziewałem się więc, że zadziała to również na odwrót, ale jeśli ręcznie ustawię te same zasady za pomocą rejestru, odpowiednie wpisy gpedit nadal będą wyświetlane jako „nieskonfigurowane”.

Czy coś brakuje? czy zasada gpedit to coś więcej niż wpis rejestru? więc ... gdzie są przechowywane?

Ponieważ zmiany, które wprowadzasz w edytorze zasad grupy, wpływają na to, co widzisz w rejestrze, logiczne jest założenie, że odwrotność jest również prawdą. Jednak to nie działa w ten sposób.

Ustawienia lokalnych zasad grupy (do których myślę, że odnosisz się w swoim poście) są przechowywane w registry.polplikach znajdujących się w C:\Windows\system32\GroupPolicy. Pliki te zastępują odpowiednie klucze w rejestrze za każdym razem, gdy system przeprowadza odświeżanie zasad grupy. Edytor nigdy nie czyta rejestru, aby zobaczyć, jakie zawiera ustawienia.

Odświeżanie zasad grupy jest uruchamiane za każdym razem, gdy wystąpi jedno z następujących zdarzeń:

• W regularnych odstępach czasu odświeżania (domyślnie co 90 minut)
• Zdarzenie logowania lub wylogowania użytkownika (tylko zasady użytkownika)
• Ponowne uruchomienie komputera (tylko zasady komputera)
• Odświeżanie uruchamiane ręcznie za pośrednictwem gpupdate
• Polecenie odświeżenia zasad wydane przez administratora z kontrolera domeny (jeśli komputer jest przyłączony do domeny).

Należy pamiętać, że jeśli komputer jest przyłączony do domeny, zasady domeny zostaną zastosowane po przetworzeniu plików lokalnych zasad grupy (co oznacza, że ​​niektóre ustawienia mogą zostać zastąpione przez zasady domeny). W lokalnym edytorze zasad grupy nie będzie można zobaczyć zasad domeny.

Działa to w ten sposób z trzech powodów:

• Zasady grupy zostały zaprojektowane z myślą o „wypychaniu” z kontrolera domeny Active Directory. Komputery nie mają na celu kontrolowania zasad z powrotem do kontrolera domeny.

• Pojęcie zasad i usługi Active Directory zostało opracowane w czasach, gdy połączenia telefoniczne były bardzo powszechne, a łącza szerokopasmowe nie. W przypadku zmian rejestru, aby powrócić do kopii lustrzanej kontrolera domeny, w tej sytuacji prawdopodobnie zużyłoby dużo bardzo ograniczonej przepustowości, a sytuacje, w których systemy tylko sporadycznie rozmawiałyby z kontrolerem domeny poprzez sesje dial-up tutaj i nie były niespotykane w NT4 dni wierzę.

• Prawdopodobnie zauważyłeś, że wiele zasad ma ustawienie „Nieskonfigurowane”, „Włączone” lub „Wyłączone”. Zasady grupy mają ustawienie „Nieskonfigurowane”, dzięki czemu ustawienie lokalne pozostaje niezmienione przez zasady. Oznacza to w szczególności, że Ty, aplikacja lub lokalny administrator możesz modyfikować odpowiednie wpisy rejestru, a zasady tego nie zmienią. Możesz nie chcieć kontrolować każdego aspektu systemu za pomocą zasad.

Tak więc rejestr lokalny i zasady grupy nie synchronizują się z komputerem-> AD zgodnie z projektem. Lokalne zasady grupy gpedit.mscdziałają w ten sam sposób, nawet jeśli nie są synchronizowane z żadnym kontrolerem domeny.