Erzwingen Sie ein Gruppenrichtlinien-Update mit GPUpdate/Force

Das Erzwingen eines Group Policy-Updates stellt sicher, dass neue oder geänderte Einstellungen sofort angewendet werden, anstatt auf den standardmäßigen Aktualisierungszyklus von 90–120 Minuten zu warten. Administratoren können Updates mithilfe des Befehls gpupdate /force, der Group Policy Management-Konsole oder PowerShell mit Invoke-GPUpdate auslösen. Obwohl /force alle GPOs erneut anwendet, kann dies Domain-Controller belasten, daher sollte es selektiv verwendet werden, wenn eine dringende Neuapplikation erforderlich ist.

Stellen Sie sich vor, Sie erhalten einen Anruf von dem Sicherheitsspezialisten, der Ihre Firewalls und Proxy-Server verwaltet. Er teilt Ihnen mit, dass er einen zusätzlichen Proxy-Server für Benutzer hinzugefügt hat, die ins Internet gehen. Sie fügen eine neue GPO hinzu, die alle Benutzer betrifft, damit sie den neuen Proxy-Server über Internet Explorer nutzen können. Normalerweise dauert es zwischen 90 und 120 Minuten, bis eine neue GPO angewendet wird, aber Sie benötigen die neuen Einstellungen sofort und können Ihren Benutzern nicht sagen, dass sie sich abmelden und wieder anmelden sollen, um sie anzuwenden. In solchen Fällen möchten Sie vielleicht die normale Wartezeit umgehen, bevor die Hintergrundrichtlinienverarbeitung beginnt. Sie können dies tun, indem Sie die Eingabeaufforderung, die Group Policy Management Console (GPMC) oder PowerShell verwenden.

Was ist GPUupdate

Gruppenrichtlinien sind ein wertvolles Feature von Active Directory, das Administratoren ermöglicht, eine Vielzahl von Einstellungen auf Benutzer und Computer anzuwenden. Es ist für die Sicherheit und Produktivität entscheidend, dass Änderungen an Gruppenrichtlinienobjekten (GPOs) und neue GPOs zeitnah angewendet werden.

Dementsprechend wird die Gruppenrichtlinie automatisch aktualisiert, wann immer ein Domänenmitglied-Computer neu gestartet wird oder sich ein Benutzer an diesem anmeldet. Sie wird auch automatisch in einem definierten Hintergrundaktualisierungsintervall aktualisiert (standardmäßig alle 90 Minuten mit einer zufälligen Abweichung von bis zu 30 Minuten).

Manchmal müssen Administratoren jedoch GPO-Einstellungen sofort auf Clientsysteme anwenden, beispielsweise wenn sie eine neue Richtlinie erstellen oder eine wichtige Änderung an einer bestehenden Richtlinie vornehmen. Darüber hinaus möchten sie manchmal nicht nur Änderungen anwenden, sondern auch GPOs, die nicht geändert wurden, erneut anwenden, um unerwünschte Änderungen auf lokalen Maschinen rückgängig zu machen.

Dieses Dokument führt Sie durch die Methoden, mit denen Sie eine Aktualisierung der Gruppenrichtlinie erzwingen können.

GPUpdate vs GPUpdate /force-Befehl

Der Befehl gpupdate /force gehört zu den am häufigsten verwendeten Befehlen zur Aktualisierung der Gruppenrichtlinie. Der Schalter /force ermöglicht es Administratoren, alle Richtlinieneinstellungen erneut anzuwenden. Es ist jedoch wichtig zu bedenken, dass die Verwendung des Schalters /force eine erhebliche Belastung für die Domänencontroller (DCs) darstellen würde, insbesondere wenn es eine große Anzahl von Gruppenrichtlinienobjekten (GPOs) in der Umgebung gibt.

Wenn Sie über eine umfangreiche Mandantschaft oder eine große Anzahl von GPOs verfügen, ist es vorzuziehen, gpupdate ohne den Schalter /force auszuführen, um neue Richtlinieneinstellungen zu implementieren. Dieser Ansatz wird nur Änderungen oder neue Gruppenrichtlinien empfangen, wodurch die Arbeitslast sowohl auf dem Client als auch auf den Domänencontrollern reduziert wird.

Wie man ein Gruppenrichtlinien-Update erzwingt

Um ein Gruppenrichtlinien-Update zu erzwingen, können Sie eine der folgenden Optionen verwenden:

• Der Befehl gpupdate /force command
• Die Group Policy Management Console (GPMC)
• PowerShell

Voraussetzung: Konfigurieren Sie Firewalls, bevor Sie GPOs anwenden

Bevor Sie die erneute Anwendung von GPOs mit einer dieser Optionen erzwingen, stellen Sie sicher, dass die Firewalls eingehenden Netzwerkverkehr auf den entsprechenden Ports zulassen (standardmäßig TCP-Port 135), wie im Microsoft documentation detailliert beschrieben.

Erzwingen Sie ein Gruppenrichtlinien-Update mithilfe der Eingabeaufforderung

gpupdate ist ein Microsoft Command Shell-Befehl zur Aktualisierung der Gruppenrichtlinie auf Active Directory-Computern. Er ist in allen Windows-Betriebssystemversionen enthalten.

/force Parameter

Das Ausführen des Befehls gpupdate ohne Parameter wendet nur geänderte Richtlinieneinstellungen und neue GPOs an. Manchmal müssen jedoch auch alle GPOs, die sich nicht geändert haben, erneut angewendet werden – beispielsweise um unerwünschte Änderungen, die von lokalen Administratoren vorgenommen wurden (oder von Angreifern, die ihre Konten kompromittiert haben), rückgängig zu machen.

In diesem Fall müssen Sie den /force Parameter wie folgt verwenden:

gpupdate /force

Es gibt zwei wichtige Überlegungen, die Sie im Auge behalten sollten, wenn Sie diesen Parameter verwenden, um Group Policy settings zu aktualisieren:

• Sie müssen physisch zu jedem Benutzerrechner gehen und den Befehl gpupdate /force manuell ausführen. (Um Computer remote zu aktualisieren, verwenden Sie PowerShell, wie unten beschrieben.)
• Die Verwendung des /force-Schalters kann zu einer erheblichen Belastung der DCs und Clients führen, insbesondere wenn es eine große Anzahl von GPOs in einer Umgebung gibt. In solchen Fällen ist es vorzuziehen, gpupdate ohne den /force-Parameter auszuführen.

Zusätzliche Parameter

Die Ausführung von gpupdate während ein Benutzer an einem Computer angemeldet ist, übernimmt sofort die neuen GPO-Einstellungen von Windows (vorausgesetzt natürlich, dass der Domain-Controller die replizierten GPO-Informationen hat).

Wenn der Benutzer nicht angemeldet ist, werden in Windows XP und später standardmäßig GPO-Einstellungen nur beim nächsten Anmeldezeitpunkt verarbeitet. Aber wenn Sie die richtigen Schalter verwenden, kann gpupdate herausfinden, ob neu geänderte Elemente ein Abmelden oder Neustarten erfordern, um aktiv zu sein:

• /Logoff– Mit diesem Schalter wird ermittelt, ob eine Richtlinienänderung das Abmelden des Benutzers erfordert. Falls nicht, werden die neuen Einstellungen sofort übernommen; falls doch, wird der Benutzer automatisch abgemeldet und die Group Policy settings werden angewendet, wenn sie sich wieder anmelden.
• /boot– Ebenso ist ein Neustart erforderlich, wenn Fast Boot aktiviert ist, um GPOs mit Softwareverteilungseinstellungen anzuwenden. Die Ausführung von gpupdate mit dem /boot-Schalter wird überprüfen, ob eine Richtlinie etwas erfordert, das einen Neustart verlangt und den Computer automatisch neu starten. Wenn das aktualisierte GPO keinen Neustart erfordert, werden die GPO-Einstellungen angewendet und der Benutzer bleibt angemeldet.

Beide Schalter /Logoff und /boot sind optional.

Weitere nützliche Schalteroptionen sind in Verbindung mit /force verfügbar

• /Logoff– Melden Sie den Benutzer nach der Aktualisierung der Gruppenrichtlinieneinstellungen ab.
• /Sync – Ändern Sie die Vordergrundverarbeitung (Start/Anmeldung) auf synchron.
• /Target – Gibt an, ob Richtlinieneinstellungen nur für Benutzer oder nur für Computer aktualisiert werden sollen. Standardmäßig werden sowohl Benutzer- als auch Computerrichtlinieneinstellungen aktualisiert.
• /Boot – Starten Sie die Maschine neu, nachdem die Gruppenrichtlinieneinstellungen angewendet wurden.

Erzwingen Sie ein Gruppenrichtlinien-Update mithilfe der Group Policy Management Console (GPMC)

Der zweite Weg, um ein Windows Gruppenrichtlinien-Update zu erzwingen, ist die Verwendung der Group Policy Management Console. Während der gpupdate-Befehl alle Richtlinien für alle OUs aktualisiert, bietet Ihnen die GPMC die Möglichkeit, das Update auf eine spezifische OU zu beschränken. Gehen Sie folgendermaßen vor:

1. Öffnen Sie die GPMC (Group Policy Management Console)
2. Verknüpfen Sie die GPO mit einer OU.
3. Klicken Sie mit der rechten Maustaste auf die gewünschte OU und wählen Sie die Option „Gruppenrichtlinienaktualisierung“.
4. Bestätigen Sie die Aktion im Dialogfeld 'Force Group Policy Update', das erscheint, indem Sie auf Ja klicken.

Erzwingen Sie das Remote-Update der Gruppenrichtlinie auf Computern mithilfe von Powershell

Um Gruppenrichtlinien remote zu aktualisieren, müssen Sie Powershell verwenden. Seit Windows Server 2012 können Sie das Cmdlet Invoke-GPUpdate. verwenden, um eine Remote-Aktualisierung der Gruppenrichtlinie auf Windows-Clientcomputern zu erzwingen. Sie müssen sowohl PowerShell als auch die Gruppenrichtlinienverwaltungskonsole installiert haben. Das Cmdlet erzeugt keine Ausgabe.

Beispiele für die Verwendung von Involve-GPUpdate für Remote Group Policy Update

Ein weiterer Vorteil der Verwendung des Invoke-GPUpdate Cmdlets ist, dass die Option „RandomDelayInMinutes“ es Ihnen ermöglicht, die Verzögerung anzupassen. Wenn Sie ein sofortiges Gruppenrichtlinien-Update wünschen, setzen Sie es auf 0, wie hier gezeigt:

      Invoke-GPUpdate –Computer LHE-LT-ADAM -RandomDelayInMinutes 0
      

In diesem Fall wurde ein Computer, der als „LHE-LT-ADAM“ identifiziert wurde, unmittelbar nach dem Start eines Gruppenrichtlinien-Updates neu gestartet. Das Cmdlet erzeugt keine Ausgabe. Der einzige Nachteil bei der Verwendung dieses Parameters ist, dass die Benutzer ein Cmd-Bildschirm-Popup erhalten.

Wenn Sie ein Update auf allen Computern erzwingen möchten, führen Sie den untenstehenden Code aus. Er wird alle Computer aus der Domäne holen, sie in eine Variable legen und die Befehle für jedes Objekt ausführen.

      $compgpoupd = Get-ADComputer -Filter *
$compgpoupd | ForEach-Object -Process {Invoke-GPUpdate -Computer $_.name -RandomDelayInMinutes 0 -Force}

      

Der einzige Nachteil bei der Verwendung des Parameters RandomDelayInMinutes ist, dass bei den Benutzern ein CMD-Bildschirm-Popup erscheint.

Dieser Code wird alle Computer aus der Domäne abrufen, sie in eine Variable legen und die Befehle für jedes Objekt ausführen.

Konfigurieren Sie Firewalls, bevor Sie GPOs anwenden

Stellen Sie sicher, dass die Firewalls eingehenden Netzwerkverkehr auf bestimmten Ports zulassen, bevor Sie Ihre GPMC öffnen. Ab Windows Server 2012 gibt es eine Starter-GPO im Gruppenrichtlinien-Editor namens „The Group Policy Remote Update Firewall Ports“, die überprüft, ob der TCP-Port 135 für die Verwaltung von Remote-Aufgaben geplant ist.

Um die Windows-Firewall mit erweiterter Sicherheit über eine GPO zu aktivieren:

1. Starten Sie die Schnittstelle für die Group Policy Management.
2. Im Navigationsbereich erweitern Sie folgendes: Forest (YourForestName) => Domains (YourDomainName) => Group Policy Objects: (YourDomainName) => klicken Sie mit der rechten Maustaste auf das zu bearbeitende GPO und wählen Sie Edit.
   

1. Über die Navigationsleiste des Group Policy Management Editor, wählen Sie Computerkonfiguration => Richtlinien => Windows-Einstellungen => Sicherheitseinstellungen => Windows-Firewall mit erweiterter Sicherheit => Erweiterte Sicherheit für die Windows-Firewall.
   

Hintergrundaktualisierung von Gruppenrichtlinienobjekten

Alle Group Policy-Clients verarbeiten GPOs, wenn das Intervall für die Hintergrundaktualisierung erreicht ist – sie verarbeiten jedoch nur jene GPOs, die neu sind oder sich seit der letzten Anforderung durch den Client geändert haben.

Allerdings funktioniert der Gruppenrichtlinien-Motor bei Sicherheitseinstellungen anders. Er fordert einen speziellen Hintergrundaktualisierung nur für security policy Einstellungen an. Dies wird als background security refresh bezeichnet und gilt für jede Version von Windows Server. Alle 16 Stunden fragt jeder Gruppenrichtlinien-Client Active Directory nach allen GPOs, die Sicherheitseinstellungen enthalten (nicht nur diejenigen, die sich geändert haben) und wendet diese Sicherheitseinstellungen erneut an. Dies stellt sicher, dass wenn eine Sicherheitseinstellung auf dem Client geändert wurde (hinter dem Rücken des Gruppenrichtlinien-Motors), sie automatisch innerhalb von 16 Stunden auf die richtige Einstellung zurückgesetzt wird.

Hintergrundaktualisierungsprozess für lokale Gruppenrichtlinienobjekte

Wie bereits erwähnt, kann ein wichtiger Grund dafür, dass Sie eine Aktualisierung der Gruppenrichtlinie erzwingen müssen, darin bestehen, dass lokale Administratoren (oder Gegner, die ihre Konten kompromittiert haben!) Änderungen an den Einstellungen auf ihren Maschinen vornehmen können, die eine von Ihnen mit einer GPO festgelegte Richtlinie außer Kraft setzen. Diese Änderungen können die Produktivität oder sogar die Sicherheit beeinträchtigen. Beispielsweise könnte ein lokaler Admin Ihre GPO-Einstellung, die USB-Laufwerke verbietet, außer Kraft setzen, was sowohl Datendiebstahl als auch die Einführung von Malware ermöglicht.

Daher sollten Sie lokale Administratorrechte nur dann gewähren, wenn sie wirklich benötigt werden. Regulären Benutzern sollten niemals lokale Adminrechte gegeben werden.

Obligatorische erneute Anwendung von Gruppenrichtlinieneinstellungen, die nicht sicherheitsrelevant sind

Wie oben erwähnt, gilt das regelmäßige Hintergrund-Update nur für neue und geänderte GPOs. Sie können jedoch das regelmäßige Hintergrund-Update so ändern, dass bestimmte Einstellungen erneut angewendet werden, auch wenn sich die GPOs nicht geändert haben. Dies ist eine gute Methode, um Schwachstellen zu beheben, die nicht sicherheitsrelevant sind.

Insbesondere können Sie vorschreiben, dass die folgenden Bereiche der Gruppenrichtlinie bei jeder anfänglichen Richtlinienverarbeitung und bei jeder Hintergrundaktualisierung erneut angewendet werden:

• Registrierung (Administrative Vorlagen)
• Wartung von Microsoft Edge
• IP-Sicherheit
• EFS-Wiederherstellungsrichtlinie
• Drahtlosrichtlinie
• Speicherkontingent
• Skripte
• Sicherheit
• Ordnerumleitung
• Softwareinstallation
• Wired Policy

Wie Netwrix helfen kann

Gruppenrichtlinien sind ein äußerst mächtiges Instrument zur Verwaltung der Einstellungen Ihrer Windows-Infrastruktur. Aber sie sind auch komplex. Tatsächlich wird nach Jahren von Fusionen und Übernahmen, Mitarbeiterfluktuation, technologischen Veränderungen und so weiter die Gruppenrichtlinie nahezu unmöglich, effektiv mit manuellen Methoden und nativen Tools zu verwalten.

Netwrix Endpoint Policy Manager vereinfacht das Management von Gruppenrichtlinien und ermöglicht Ihnen, Ihre GPOs aufzuräumen und zu konsolidieren. Dadurch wird Ihre Organisation schnellere Anmeldungen, höhere Sicherheit, bessere Verfügbarkeit und weniger Fehlkonfigurationen genießen.

Fazit

Das Aktualisieren der Gruppenrichtlinieneinstellungen in Ihrer IT-Umgebung ist entscheidend für Produktivität, Sicherheit, Compliance und mehr. Obwohl GPO-Änderungen automatisch beim nächsten Aktualisierungsintervall angewendet werden; können Sie auch eine Aktualisierung erzwingen, um sie sofort anzuwenden. Als zusätzliche Sicherheitsmaßnahme können Sie sicherstellen, dass bestimmte Gruppenrichtlinieneinstellungen immer wieder angewendet werden, auch wenn sie sich nicht geändert haben, um unerwünschte Änderungen durch lokale Administratoren rückgängig zu machen.

FAQ

Wie aktualisiert man Gruppenrichtlinien?

Um die Gruppenrichtlinie manuell zu aktualisieren, können Administratoren den Befehl gpupdate /force verwenden, die Gruppenrichtlinienverwaltungskonsole (GMPC) oder PowerShell. Der Schalter /force ermöglicht es den Administratoren, alle Richtlinieneinstellungen erneut anzuwenden

Was bewirkt gpupdate /force?

Gruppenrichtlinien werden automatisch gemäß einem Hintergrundaktualisierungsplan aktualisiert. Manchmal muss jedoch ein Update oder eine neue Richtlinie schneller wirksam werden, oder die Organisation muss unangemessene Richtlinienänderungen, die von lokalen Administratoren vorgenommen wurden, rückgängig machen. In solchen Fällen kann ein Administrator den Befehl gpupdate mit dem /force Parameter verwenden, um ein Gruppenrichtlinienupdate sofort anzuwenden.

Wie lange dauert es, mit gpupdate /force die Gruppenrichtlinie zu aktualisieren?

Die Zeit, die benötigt wird, um eine Gruppenrichtlinie zu erzwingen, hängt von der Anzahl der angewendeten Richtlinien ab. Das Aktualisieren einer kleinen Anzahl von Richtlinien kann nur wenige Minuten dauern, aber typischerweise beinhaltet der Prozess eine 90-minütige Anwendungszeit plus eine 30-minütige Verzögerung zur Arbeitslastverteilung.