كيفية تسريع عملية تحديث سياسة المجموعة. GPUPDATE - إجراء تحديث لسياسة المجموعة للمستخدم والكمبيوتر تكوين التحديث باستخدام محرر نهج المجموعة المحلي

ملخص: يوضح Microsoft Scripting Guy، إد ويلسون، كيفية فرض تحديث نهج المجموعة باستخدام PowerShell.

تحديث نهج المجموعة في المجال

أحيانًا أقوم بإجراء تغييرات على "نهج المجموعة" على الشبكة وأحتاج إلى تطبيق التغييرات على كافة أجهزة الكمبيوتر. وأحيانًا أحتاج إلى تحديث سياسة المجموعة المحلية على جهاز الكمبيوتر الخاص بي.

لتحديث إعدادات نهج المجموعة أستخدم الأداة المساعدة تحديث GPU. لديها بعض المعلمات. بشكل افتراضي، تقوم الأداة المساعدة بتحديث سياسات الكمبيوتر والمستخدم. ولكن يمكن التحكم في ذلك باستخدام المعلمة /هدف. على سبيل المثال، إذا كنت بحاجة إلى تحديث سياسة الكمبيوتر فقط، فسوف أقوم بتحديد ذلك / الهدف: الكمبيوتر. لتحديث سياسة المستخدم فقط - /المستخدم المستهدف.

PS C:\> gpupdate /target:computer

جارٍ تحديث السياسة…

تقصير تحديث GPUينطبق فقط الإعدادات المحدثةسياسة المجموعة. لتطبيق كافة الإعدادات، استخدم المعلمة /قوة. يقوم الأمر التالي بتحديث جميع إعدادات نهج المجموعة (سواء تم تغييرها أم لا) للكمبيوتر والمستخدم.

ملاحظة: C:\> gpupdate /force

جارٍ تحديث السياسة…

اكتمل تحديث نهج الكمبيوتر بنجاح.

اكتمل تحديث سياسة المستخدم بنجاح.

أولاً، نحصل على قائمة بأجهزة الكمبيوتر الموجودة في المجال

أول شيء يجب علي فعله هو الحصول على قائمة بجميع أجهزة الكمبيوتر الموجودة في المجال. لهذا أستخدم الأمر cmdlet الحصول على ADComputerالمدرجة في الوحدة الدليل النشط.

ملاحظة: تم تضمين وحدة Active Directory مع RSAT.

أقوم بتخزين كائنات الكمبيوتر الناتجة في المتغير $cn.

$cn = الحصول على ADComputer -filt *

ثانيا، نقوم بإنشاء جلسات عن بعد

الشيء التالي الذي يجب علي فعله هو إنشاء جلسات عمل عن بعد مع جميع أجهزة الكمبيوتر. للقيام بذلك، أحتاج إلى توفير بيانات اعتماد للاتصال بأجهزة الكمبيوتر، بالإضافة إلى إنشاء الجلسات بنفسها باستخدام الأمر cmdlet جديد-PSSession.

للبدء، سأستخدم cmdlet الحصول على بيانات الاعتمادوقم بتخزين الكائن الذي تم إرجاعه بواسطته في المتغير $cred.

$cred = الحصول على بيانات الاعتماد iammred\administrator

$session = New-PSSession -cn $cn.name -cred $cred

يجب أن تتذكر أنه قد تكون هناك أجهزة كمبيوتر معطلة في المجال، لذلك قد يتم إرجاع الأخطاء عند تشغيل الأمر. لكن رغم الأخطاء.. ويندوز باورشيلينشئ جلسات مع أجهزة كمبيوتر العمل.

وجود عدد كبير من الأخطاء قد يسبب بعض القلق. وبما أن كائنات الجلسة مخزنة في المتغير $sessions، فيمكنني بسهولة التحقق من إنشائها.

الآن لنقم بتشغيل الأمر على جميع الأجهزة البعيدة

لتشغيل الأمر تحديث GPUعلى كافة الأجهزة البعيدة أستخدم الأمر cmdlet استدعاء الأمر. يستخدم الجلسات التي حفظناها في المتغير $sessions. الاسم المستعار لأمر cmdlet استدعاء الأمر – icm.

icm -Session $session -ScriptBlock (gpupdate /force)

بعد تشغيل الأمر تظهر النتائج وحدة تحكم ويندوزبوويرشيل.

التحقق من وجود تحديث لنهج المجموعة

عندما على محطة العملتم تحديث إعدادات نهج المجموعة بنجاح وتم تسجيل حدث بالرمز 1502 في سجل النظام، يمكنني استخدام الأمر cmdlet استدعاء الأمرللحصول على هذه المعلومات.

icm -Session $session -ScriptBlock (Get-EventLog -LogName system -InstanceId 1502 - الأحدث 1)

يظهر الأمر ونتائجه في الشكل أدناه.

شيء آخر مثير للاهتمام حول سياسة المجموعة

في بعض الأحيان يتعين علي الاتصال بالدعم الفني ويطلبون مني تحديث "نهج المجموعة" على جهاز الكمبيوتر المحلي الخاص بي. هذه ليست مشكلة لأنني أستطيع الركض تحديث GPUمباشرة من PowerShell. تأتي الصعوبة عندما يطلبون مني تحديث "نهج المجموعة" 5 مرات بفواصل زمنية مدتها 5 دقائق. ولكن يمكن أيضًا حل هذه المشكلة باستخدام سطر واحد من التعليمات البرمجية.

1..5 | %("تحديث GP $(Get-Date)"; gpupdate /force ; Sleep 300)

إد ويلسون، رجل البرمجة النصية لمايكروسوفت

إبداعي:

يتم استخدام الأمر GPUPDATE للتحديث سياسات المجموعةللمستخدم و/أو الكمبيوتر.

شكل سطر الأوامر:

تحديث GPU

خيارات سطر الأوامر:

/الهدف:(كمبيوتر | مستخدم)- تحديث إعدادات السياسة للمستخدم فقط (User) أو للكمبيوتر فقط (Computer). إذا لم يتم تحديده، فسيتم تحديث إعدادات كلا السياستين.

/قوة- تطبيق كافة إعدادات السياسة. إذا لم يتم تحديده، فسيتم تطبيق إعدادات السياسة التي تم تغييرها فقط.

/انتظر: القيمة- المهلة (بالثواني) حتى تكتمل معالجة السياسة. الافتراضي هو الانتظار 600 ثانية. القيمة "0" - لا تنتظر. القيمة "-1" - الانتظار غير محدود. في حالة انتهاء المهلة، تتم إعادة تنشيط نافذة موجه الأوامر، ولكن تستمر معالجة السياسة.

/إطفاء- تسجيل الخروج بعد تحديث إعدادات نهج المجموعة. مطلوب لملحقات عميل نهج المجموعة التي لا تعالج السياسة فيها خلفية، ولكن لا تتم معالجتها إلا عندما يقوم المستخدم بتسجيل الدخول، مثل تثبيت البرامج للمستخدم أو إعادة توجيه المجلدات. ليس لهذا الإعداد أي تأثير ما لم يتم استدعاء الملحقات التي تتطلب من المستخدم تسجيل الخروج.

/حذاء طويل- قم بإجراء إعادة التشغيل بعد تطبيق إعدادات نهج المجموعة. مطلوب لملحقات عميل نهج المجموعة التي لا تعالج السياسة في الخلفية ولكنها تعالجها فقط عند بدء التشغيل، مثل تثبيت برامج الكمبيوتر. ليس لهذا الإعداد أي تأثير إلا إذا تم استدعاء الملحقات التي تتطلب إعادة تشغيل النظام.

/مزامنة- يجب أن يحدث تطبيق السياسة النشطة التالي بشكل متزامن. يحدث تطبيق النهج النشط عند إعادة تشغيل جهاز الكمبيوتر أو عند قيام المستخدم بتسجيل الدخول. يمكنك استخدام هذه المعلمة لمستخدم أو لجهاز كمبيوتر أو لكليهما عن طريق تحديد المعلمة /Target. في هذه الحالة، يتم تخطي المعلمات /Force و/Wait، إذا تم تحديدها.

أمثلة على الاستخدام:

تحديث/؟- عرض تلميح حول كيفية استخدام الأمر.

com.gpupdate- يتم تحديث سياسات الكمبيوتر وسياسات المستخدم. يتم تطبيق السياسات التي تم تغييرها فقط.

gpupdate / الهدف: الكمبيوتر- يتم تحديث السياسات للكمبيوتر فقط.

gpupdate / القوة- يتم تحديث كافة السياسات.

gpupdate /Boot- تحديث سياسات المجموعة مع إعادة تشغيل الكمبيوتر.

يؤدي تعيين سياسة تحديث Windows 10 إلى تحديد الطريقة التي يتلقى بها Windows 10 التحديثات. في Windows 10، تم نقل إعدادات التحديث من لوحة التحكم إلى إعدادات النظام. في نظام التشغيل Windows 10، لا توجد مثل هذه الإعدادات التي كانت موجودة في لوحة التحكم، وبالتالي لم يعد من الممكن تعطيل التحديثات أو اختيار كيفية تلقيها. ومع ذلك، يمكنك استخدام محرر التسجيل ومحرر نهج المجموعة المحلي لتعطيل التحديثات وتعيين كيفية تلقيها.

تكوين التحديثات باستخدام محرر نهج المجموعة المحلي

قم بتشغيل محرر نهج المجموعة المحلي بالضغط على مفتاحين على لوحة المفاتيح مرة واحدة فوز+ر gpedit.mscوانقر فوق موافق.

تحديث سياسة المجموعة لنظام التشغيل Windows 10

تكوين الكمبيوتر - قوالب الإدارة - مكونات Windows - Windows Update. انقر فوق العنصر الأخير Windows Update ثم على الجانب الأيمن ابحث عن العنصر إعدادات تحديث أوتوماتيكي وتغيير إعداداته.

للقيام بذلك، في النافذة التي تفتح، تحتاج إلى وضع نقطة في الأعلى بجوار العنصر الممكّن، ثم قم بتعيين إعدادات التحديث أدناه. انقر فوق موافق. ثم افتح الإعدادات التي قمت بها إعدادات النظام - التحديث والأمان - Windows Updateواضغط على الزر البحث عن تحديثات.

بعد ذلك، ستدخل الإعدادات التي قمت بها في محرر نهج المجموعة المحلي حيز التنفيذ.

إعداد التحديثات باستخدام محرر التسجيل

قم بتشغيل محرر التسجيل بالضغط على مفتاحين على لوحة المفاتيح مرة واحدة فوز+ر. سيتم فتح نافذة التشغيل التي تدخل فيها الأمر رجديتوانقر فوق موافق.

في الجزء الأيسر من نافذة المحرر التي تفتح، قم بتوسيعها HKEY_LOCAL_MACHINE - البرنامج - السياسات - مايكروسوفت - ويندوز. قم بالتمرير فوق عنصر Windows الأخير وانقر بزر الماوس الأيمن. في المفتوحة قائمة السياقيختار إنشاء - القسم. قم بتسمية القسم الجديد تحديث ويندوز.
ثم قم بالتمرير فوق قسم WindowsUpdate الذي تم إنشاؤه حديثًا وقم مرة أخرى بإنشاء القسم الذي تسميه الاتحاد الأفريقي.
ثم حرك المؤشر فوق قسم AU الذي تم إنشاؤه حديثًا وانقر بزر الماوس الأيمن واختر من القائمة التي تفتح جديد - قيمة DWORD (32 بت). ستظهر المعلمة الجديدة التي تم إنشاؤها على الجانب الأيمن من النافذة، قم بتسميتها خيارات AU. بنفس الطريقة، عند تحريك المؤشر فوق قسم AU، قم بإنشاء ثلاث معلمات أخرى وقم بتسمية المعلمة الأولى لا يوجد تحديث تلقائي، ثانية يوم التثبيت المجدول، والثالث وقت التثبيت المجدول(خياري NoAutoRebootWithLoggedOnUsers). أنت الآن بحاجة إلى تغيير القيمة في هذه المعلمات الأربع الجديدة.

بالنسبة للمعلمة AUOptions

• 2- تلقي إشعار قبل تثبيت وتنزيل أي تحديثات.
• 3 - تلقي التحديثات والإشعارات تلقائيًا عندما تكون جاهزة للتثبيت.
• 4 - استلام التحديثات وتثبيتها تلقائيا وفق جدول زمني محدد.
• 5 - السماح للمسؤولين المحليين باختيار وضع التحديث والإشعارات بأنفسهم.

بالنسبة للمعلمة NoAutoUpdate

• 0 — ممكّن التثبيت التلقائيالتحديثات التي سيتم تنزيلها وتثبيتها وفقًا للإعدادات التي تم إجراؤها في معلمة AUOptions.
• 1- تم تعطيل التثبيت التلقائي للتحديثات.

بالنسبة للمعلمة المجدولةInstallDay

• 0 — سيتم تثبيت التحديثات يوميًا إذا تم تعيين معلمة AUOptions على 4.
• 1 - سيتم تثبيت التحديثات كل يوم اثنين إذا تم تعيين معلمة AUOptions على 4.
• 2 — سيتم تثبيت التحديثات كل يوم ثلاثاء مع تعيين معلمة AUOptions على 4.
• 3 — سيتم تثبيت التحديثات كل يوم أربعاء مع تعيين معلمة AUOptions على 4.
• 4 - سيتم تثبيت التحديثات كل يوم خميس إذا تم تعيين معلمة AUOptions على 4.
• 5 — سيتم تثبيت التحديثات كل يوم جمعة إذا تم ضبط معلمة AUOptions على 4.
• 6 — سيتم تثبيت التحديثات كل يوم سبت إذا تم ضبط معلمة AUOptions على 4.
• 7 — سيتم تثبيت التحديثات كل يوم أحد إذا تم ضبط معلمة AUOptions على 4.

بالنسبة للمعلمة SchededInstallTime

من 0 إلى 23، سيتم تثبيت التحديثات في عدة ساعات اعتمادًا على المعلمة المحددة وإذا تم تعيين المعلمة AUOptions على 4.

بالنسبة للمعلمة NoAutoRebootWithLoggedOnUsers

• 0 — عند اكتمال تثبيت التحديث، سيتم إعادة تشغيل الكمبيوتر تلقائيًا؛ ويعمل مع تعيين معلمة AUOptions على 4.
• 1 - عند اكتمال تثبيت التحديث، لن يتم إعادة تشغيل الكمبيوتر تلقائيًا؛ فهو يعمل مع تعيين معلمة AUOptions على 4.

سنعرض في هذه المقالة طريقة بسيطة لتحديث سياسات المجموعة عن بعد على العملاء (أجهزة الكمبيوتر والخوادم) المجال نشطالدليل، دون الحاجة إلى الوصول إلى وحدة التحكم الخاصة بالجهاز البعيد ودون استخدام الأمر gpupdate.

إحدى أصعب المشكلات في إدارة سياسات المجموعة الإعلانية هي اختبار السياسات بسرعة، دون إعادة تشغيل الكمبيوتر أو الوصول إلى الكمبيوتر المحلي وتشغيل الأمر.

توفر ميزة تحديث نهج المجموعة عن بعد القدرة على استخدام وحدة تحكم إدارة GPO واحدة (GPMC.msc) لإنشاء سياسات المجموعة وتحريرها وتطبيقها واختبارها.

ظهرت وظيفة تحديث نهج المجموعة عن بعد لأول مرة في Microsoft مشغل برامج وندوز 2012، جميع الإصدارات اللاحقة (Windows Server 2016، مايكروسوفت ويندوز 10)، تم تحسين هذه الوظيفة واستقرارها تدريجيًا.

متطلبات تشغيل تحديث نهج المجموعة عن بعد:

متطلبات بيئة الخادم:

• ويندوز سيرفر 2012 وما فوق
• أو Windows 10 مع تثبيت أدوات إدارة RSAT

متطلبات العملاء:

• ويندوز 7 وما فوق

متطلبات اتصالات الشبكة (جدران الحماية) بين الخادم والعملاء

• يجب أن يكون منفذ TCP 135 مفتوحًا
• ممكّن خدمة ويندوزأدوات الإدارة (خدمة إدارة Windows)
• خدمة جدولة المهام

إذا كانت بيئتك تفي بهذه المتطلبات، فافتح وحدة التحكم في إدارة نهج المجموعة (GPMC.msc)، وحدد الوحدة التنظيمية (الحاوية) التي توجد بها أجهزة الكمبيوتر المستهدفة التي تريد فرض تحديث GPO عليها.

انقر بزر الماوس الأيمن على الحاوية الصحيحةوحدد تحديث سياسة المجموعة.

في النافذة التي تفتح، ستظهر معلومات حول عدد الكائنات في هذه الوحدة التنظيمية التي سيتم تحديث كائن نهج المجموعة (GPO) عليها. لتأكيد الإجراء، انقر على زر "نعم".

في نافذة نتائج تحديث نهج المجموعة عن بعد، سترى حالة تحديث السياسة، بالإضافة إلى حالة هذه العملية (نجاح/خطأ، رمز الخطأ). وبطبيعة الحال، إذا تم إيقاف تشغيل جهاز الكمبيوتر أو كان الوصول إليه مقيدًا بجدار الحماية، فسيظهر الخطأ المقابل.

بعد تغييرات GPO، يستغرق الأمر بعض الوقت (90 دقيقة +/- 30) حتى يتم نشرها إلى أنظمة أخرى، ولكن إذا كانت هناك حاجة لتطبيقها بشكل عاجل، يقوم المسؤول بتسجيل الدخول إلى النظام البعيد وتشغيل الأمر " com.gpupdate" مع وجود عدد كبير من أجهزة الكمبيوتر، استغرقت العملية بعض الوقت، والعملية نفسها غير مريحة. الآن يمكنك أن تنسى ذلك. في وحدة التحكم الإدارية سياسة المجموعة(GPMC) ظهر عنصر جديد في قائمة السياق الخاصة بالمجال والقسم " تحديث سياسة المجموعة"(تحديث سياسة المجموعة) يسمح لك بتحديث سياسات النظام بدءًا من نظام التشغيل Windows Vista/2008 بنقرتين بالماوس. بعد تفعيل المهمة سيتم استلام قائمة بأجهزة الكمبيوتر والمستخدمين المسجلين وبعدها المهمة “ Gpupdate.exe /force" لتجنب ازدحام الشبكة، سيتم تنفيذه مع تأخير عشوائي في نطاق 0-10 دقائق. يتم عرض نتيجة المهمة في نافذة منفصلة، ​​ويمكن تحديد مدى نجاح التحديث باستخدام معالج السياسة الناتج.
تلقت الوظيفة الجديدة أيضًا الأمر cmdlet الخاص بها - استدعاء-GPUpdate، والذي يسمح لك بتحديث GP عن بعد ويوفر إمكانات أكبر من GPMC. بالمناسبة، الآن 27 cmdlets هي المسؤولة عن سياسات المجموعة، أي. واحد آخر (احصل على القائمة الكاملةيمكنك الدخول " الحصول على الأوامر -Module GroupPolicy«).
لتحديث السياسات على نظام معين على الفور، ما عليك سوى تشغيل:

PS> استدعاء-GPUpdate-الكمبيوتر< имя компьютера>

مفتاح إضافي -تأخير عشوائي في الدقائقيسمح لك بتعيين فاصل زمني للمهلة، وهو أمر مفيد إذا كان سيتم تنفيذ الأمر على أنظمة متعددة.
لكن الشيء الرئيسي هو أنه في وحدة تحكم GPMC، يمكنك فقط تحديد قسم، ولا توجد حاوية منفصلة لأجهزة الكمبيوتر هناك. هذا هو المكان الذي يأتي فيه Invoc-GPUpdate للإنقاذ، والذي يسمح لك، مع Get-ADComputer cmdlet، بتحديد الأنظمة حسب أي معيار:

PS> Get-ADComputer –filter * -Searchbase "cn=computers, dc=example,dc=org" | foreach (استدعاء-GPUpdate –الكمبيوتر $_.name –force –-RandomDelayInMinutes 5)

نقطة أخرى مهمة هي أنك تحتاج إلى فتح العديد من منافذ جدار الحماية على أنظمة العميل. لتسهيل حياة المسؤول، قدمت MS سياستين أوليتين جديدتين (إلى السياسات الثمانية الموجودة)، مما يسمح لك بإنشاء وتوزيع بسرعة الإعدادات المطلوبة:

- منافذ جدار الحماية لتحديثات سياسة المجموعة البعيدة؛
- منافذ جدار الحماية لتقارير نهج المجموعة.

والغرض منهم واضح من الاسم. نحن مهتمون بالأول. نوصي بإنشاء كائن نهج المجموعة (GPO) جديد ونقله إلى الأعلى، مما يمنحه أولوية أعلى من نطاق نهج المجموعة (GPO) الافتراضي.
العملية بسيطة. حدد المجال وحدد "إنشاء كائن نهج المجموعة في هذا المجال" من القائمة. في النافذة التي تظهر، أدخل الاسم وحدد من القائمة "منافذ جدار الحماية لتحديث نهج المجموعة عن بعد". وبدلاً من ذلك، يمكنك استخدام PowerShell.