Erzwingen Sie ein Group Policy-Update mit GPUpdate/Force

Das Erzwingen eines Group Policy-Updates stellt sicher, dass neue oder geänderte Einstellungen sofort angewendet werden, anstatt auf den standardmäßigen Aktualisierungszyklus von 90–120 Minuten zu warten. Administratoren können Updates mithilfe des Befehls gpupdate /forceExpand, der Group Policy Management-Konsole oder PowerShell mit Invoke-GPUpdateExpand auslösen. Obwohl /forceExpand alle GPOs erneut anwendet, kann dies Domain-Controller belasten, daher sollte es selektiv verwendet werden, wenn eine dringende Neuapplikation erforderlich ist.

Stellen Sie sich vor, Sie erhalten einen Anruf von dem Sicherheitsspezialisten, der Ihre Firewalls und Proxy-Server verwaltet. Er teilt Ihnen mit, dass er einen zusätzlichen Proxy-Server für Benutzer hinzugefügt hat, die ins Internet gehen. Sie fügen eine neue GPO hinzu, die alle Benutzer betrifft, damit sie den neuen Proxy-Server über Internet Explorer nutzen können. Normalerweise dauert es zwischen 90 und 120 Minuten, bis eine neue GPO angewendet wird, aber Sie benötigen die neuen Einstellungen sofort und können Ihren Benutzern nicht sagen, dass sie sich abmelden und wieder anmelden sollen, um sie anzuwenden. In solchen Fällen möchten Sie vielleicht die normale Wartezeit umgehen, bevor die Hintergrundrichtlinienverarbeitung beginnt. Sie können dies tun, indem Sie die Eingabeaufforderung, die Group Policy Management Console (GPMC) oder PowerShell verwenden.

Was ist GPUupdate

Gruppenrichtlinien sind ein wertvolles Feature von Active Directory, das Administratoren ermöglicht, eine Vielzahl von Einstellungen auf Benutzer und Computer anzuwenden. Es ist für die Sicherheit und Produktivität entscheidend, dass Änderungen an Gruppenrichtlinienobjekten (GPOs) und neue GPOs zeitnah angewendet werden.

Dementsprechend wird die Gruppenrichtlinie automatisch aktualisiert, wann immer ein Domänenmitglied-Computer neu gestartet wird oder sich ein Benutzer an diesem anmeldet. Sie wird auch automatisch in einem definierten Hintergrundaktualisierungsintervall aktualisiert (standardmäßig alle 90 Minuten mit einer zufälligen Abweichung von bis zu 30 Minuten).

Manchmal müssen Administratoren jedoch GPO-Einstellungen sofort auf Clientsysteme anwenden, beispielsweise wenn sie eine neue Richtlinie erstellen oder eine wichtige Änderung an einer bestehenden Richtlinie vornehmen. Darüber hinaus möchten sie manchmal nicht nur Änderungen anwenden, sondern auch GPOs, die nicht geändert wurden, erneut anwenden, um unerwünschte Änderungen auf lokalen Maschinen rückgängig zu machen.

Dieses Dokument führt Sie durch die Methoden, mit denen Sie eine Aktualisierung der Gruppenrichtlinie erzwingen können.

GPUpdate vs GPUpdate /force-Befehl

Der Befehl gpupdate /force gehört zu den am häufigsten verwendeten Befehlen zur Aktualisierung der Gruppenrichtlinie. Der Schalter /force ermöglicht es Administratoren, alle Richtlinieneinstellungen erneut anzuwenden. Es ist jedoch wichtig zu bedenken, dass die Verwendung des Schalters /force eine erhebliche Belastung für die Domänencontroller (DCs) darstellen würde, insbesondere wenn es eine große Anzahl von Gruppenrichtlinienobjekten (GPOs) in der Umgebung gibt.

Wenn Sie über eine umfangreiche Mandantschaft oder eine große Anzahl von GPOs verfügen, ist es vorzuziehen, gpupdate ohne den Schalter /force auszuführen, um neue Richtlinieneinstellungen zu implementieren. Dieser Ansatz wird nur Änderungen oder neue Gruppenrichtlinien empfangen, wodurch die Arbeitslast sowohl auf dem Client als auch auf den Domänencontrollern reduziert wird.

Wie man ein Gruppenrichtlinien-Update erzwingt

Um ein Gruppenrichtlinien-Update zu erzwingen, können Sie eine der folgenden Optionen verwenden:

• Der Befehl gpupdate /force command
• Die Group Policy Management Console (GPMC)
• PowerShell

Voraussetzung: Konfigurieren Sie Firewalls, bevor Sie GPOs anwenden

Bevor Sie die erneute Anwendung von GPOs mit einer dieser Optionen erzwingen, stellen Sie sicher, dass die Firewalls eingehenden Netzwerkverkehr auf den entsprechenden Ports zulassen (standardmäßig TCP-Port 135), wie im Microsoft documentation detailliert beschrieben.

Erzwingen Sie ein Gruppenrichtlinien-Update mithilfe der Eingabeaufforderung

gpupdate ist ein Microsoft Command Shell-Befehl zur Aktualisierung der Gruppenrichtlinie auf Active Directory-Computern. Er ist in allen Windows-Betriebssystemversionen enthalten.

/force Parameter

Das Ausführen des Befehls gpupdate ohne Parameter wendet nur geänderte Richtlinieneinstellungen und neue GPOs an. Manchmal müssen jedoch auch alle GPOs, die sich nicht geändert haben, erneut angewendet werden – beispielsweise um unerwünschte Änderungen, die von lokalen Administratoren vorgenommen wurden (oder von Angreifern, die ihre Konten kompromittiert haben), rückgängig zu machen.

In diesem Fall müssen Sie den /force Parameter wie folgt verwenden:

gpupdate /force

Es gibt zwei wichtige Überlegungen, die Sie im Auge behalten sollten, wenn Sie diesen Parameter verwenden, um Group Policy settings zu aktualisieren:

• Sie müssen physisch zu jedem Benutzerrechner gehen und den Befehl gpupdate /force manuell ausführen. (Um Computer remote zu aktualisieren, verwenden Sie PowerShell, wie unten beschrieben.)
• Die Verwendung des /force-Schalters kann zu einer erheblichen Belastung der DCs und Clients führen, insbesondere wenn es eine große Anzahl von GPOs in einer Umgebung gibt. In solchen Fällen ist es vorzuziehen, gpupdate ohne den /force-Parameter auszuführen.

Zusätzliche Parameter

Die Ausführung von gpupdate während ein Benutzer an einem Computer angemeldet ist, übernimmt sofort die neuen GPO-Einstellungen von Windows (vorausgesetzt natürlich, dass der Domain-Controller die replizierten GPO-Informationen hat).

Wenn der Benutzer nicht angemeldet ist, werden in Windows XP und später standardmäßig GPO-Einstellungen nur beim nächsten Anmeldezeitpunkt verarbeitet. Aber wenn Sie die richtigen Schalter verwenden, kann gpupdate herausfinden, ob neu geänderte Elemente ein Abmelden oder Neustarten erfordern, um aktiv zu sein:

• /Logoff– Mit diesem Schalter wird ermittelt, ob eine Richtlinienänderung das Abmelden des Benutzers erfordert. Falls nicht, werden die neuen Einstellungen sofort übernommen; falls doch, wird der Benutzer automatisch abgemeldet und die Group Policy settings werden angewendet, wenn sie sich wieder anmelden.
• /boot– Ebenso ist ein Neustart erforderlich, wenn Fast Boot aktiviert ist, um GPOs mit Softwareverteilungseinstellungen anzuwenden. Die Ausführung von gpupdate mit dem /boot-Schalter wird überprüfen, ob eine Richtlinie etwas erfordert, das einen Neustart verlangt und den Computer automatisch neu starten. Wenn das aktualisierte GPO keinen Neustart erfordert, werden die GPO-Einstellungen angewendet und der Benutzer bleibt angemeldet.

Beide Schalter /Logoff und /boot sind optional.

Weitere nützliche Schalteroptionen sind in Verbindung mit /force verfügbar

• /Logoff– Melden Sie den Benutzer nach der Aktualisierung der Gruppenrichtlinieneinstellungen ab.
• /Sync – Ändern Sie die Vordergrundverarbeitung (Start/Anmeldung) auf synchron.
• /Target – Gibt an, ob Richtlinieneinstellungen nur für Benutzer oder nur für Computer aktualisiert werden sollen. Standardmäßig werden sowohl Benutzer- als auch Computerrichtlinieneinstellungen aktualisiert.
• /Boot – Starten Sie die Maschine neu, nachdem die Gruppenrichtlinieneinstellungen angewendet wurden.

Erzwingen Sie ein Gruppenrichtlinien-Update mithilfe der Group Policy Management Console (GPMC)

Der zweite Weg, um ein Windows Gruppenrichtlinien-Update zu erzwingen, ist die Verwendung der Group Policy Management Console. Während der gpupdate-Befehl alle Richtlinien für alle OUs aktualisiert, bietet Ihnen die GPMC die Möglichkeit, das Update auf eine spezifische OU zu beschränken. Gehen Sie folgendermaßen vor:

1. Öffnen Sie die GPMC (Group Policy Management Console)
2. Verknüpfen Sie die GPO mit einer OU.
3. Klicken Sie mit der rechten Maustaste auf die gewünschte OU und wählen Sie die Option „Gruppenrichtlinienaktualisierung“.
4. Bestätigen Sie die Aktion im Dialogfeld 'Force Group Policy Update', das erscheint, indem Sie auf Ja klicken.

Erzwingen Sie das Remote-Update der Gruppenrichtlinie auf Computern mithilfe von Powershell

Um Gruppenrichtlinien remote zu aktualisieren, müssen Sie Powershell verwenden. Seit Windows Server 2012 können Sie das Cmdlet Invoke-GPUpdate. verwenden, um eine Remote-Aktualisierung der Gruppenrichtlinie auf Windows-Clientcomputern zu erzwingen. Sie müssen sowohl PowerShell als auch die Gruppenrichtlinienverwaltungskonsole installiert haben. Das Cmdlet erzeugt keine Ausgabe.

Beispiele für die Verwendung von Involve-GPUpdate für Remote Group Policy Update

Ein weiterer Vorteil der Verwendung des Invoke-GPUpdate Cmdlets ist, dass die Option „RandomDelayInMinutes“ es Ihnen ermöglicht, die Verzögerung anzupassen. Wenn Sie ein sofortiges Gruppenrichtlinien-Update wünschen, setzen Sie es auf 0, wie hier gezeigt:

      Invoke-GPUpdate –Computer LHE-LT-ADAM -RandomDelayInMinutes 0
      

In diesem Fall wurde ein Computer, der als „LHE-LT-ADAM“ identifiziert wurde, unmittelbar nach dem Start eines Gruppenrichtlinien-Updates neu gestartet. Das Cmdlet erzeugt keine Ausgabe. Der einzige Nachteil bei der Verwendung dieses Parameters ist, dass die Benutzer ein Cmd-Bildschirm-Popup erhalten.

Wenn Sie ein Update auf allen Computern erzwingen möchten, führen Sie den untenstehenden Code aus. Er wird alle Computer aus der Domäne holen, sie in eine Variable legen und die Befehle für jedes Objekt ausführen.

      $compgpoupd = Get-ADComputer -Filter *
$compgpoupd | ForEach-Object -Process {Invoke-GPUpdate -Computer $_.name -RandomDelayInMinutes 0 -Force}

      

Der einzige Nachteil bei der Verwendung des Parameters RandomDelayInMinutes ist, dass bei den Benutzern ein CMD-Bildschirm-Popup erscheint.

Dieser Code wird alle Computer aus der Domäne abrufen, sie in eine Variable legen und die Befehle für jedes Objekt ausführen.

Konfigurieren Sie Firewalls, bevor Sie GPOs anwenden

Stellen Sie sicher, dass die Firewalls eingehenden Netzwerkverkehr auf bestimmten Ports zulassen, bevor Sie Ihre GPMC öffnen. Ab Windows Server 2012 gibt es eine Starter-GPO im Gruppenrichtlinien-Editor namens „The Group Policy Remote Update Firewall Ports“, die überprüft, ob der TCP-Port 135 für die Verwaltung von Remote-Aufgaben geplant ist.

Um die Windows-Firewall mit erweiterter Sicherheit über eine GPO zu aktivieren:

1. Starten Sie die Schnittstelle für die Group Policy Management.
2. Im Navigationsbereich erweitern Sie folgendes: Forest (YourForestName) => Domains (YourDomainName) => Group Policy Objects: (YourDomainName) => klicken Sie mit der rechten Maustaste auf das zu bearbeitende GPO und wählen Sie Edit.
   

1. Über die Navigationsleiste des Group Policy Management Editor, wählen Sie Computerkonfiguration => Richtlinien => Windows-Einstellungen => Sicherheitseinstellungen => Windows-Firewall mit erweiterter Sicherheit => Erweiterte Sicherheit für die Windows-Firewall.
   

Hintergrundaktualisierung von Gruppenrichtlinienobjekten

Alle Group Policy-Clients verarbeiten GPOs, wenn das Intervall für die Hintergrundaktualisierung erreicht ist – sie verarbeiten jedoch nur jene GPOs, die neu sind oder sich seit der letzten Anforderung durch den Client geändert haben.

Allerdings funktioniert der Gruppenrichtlinien-Motor bei Sicherheitseinstellungen anders. Er fordert einen speziellen Hintergrundaktualisierung nur für security policy Einstellungen an. Dies wird als background security refresh bezeichnet und gilt für jede Version von Windows Server. Alle 16 Stunden fragt jeder Gruppenrichtlinien-Client Active Directory nach allen GPOs, die Sicherheitseinstellungen enthalten (nicht nur diejenigen, die sich geändert haben) und wendet diese Sicherheitseinstellungen erneut an. Dies stellt sicher, dass wenn eine Sicherheitseinstellung auf dem Client geändert wurde (hinter dem Rücken des Gruppenrichtlinien-Motors), sie automatisch innerhalb von 16 Stunden auf die richtige Einstellung zurückgesetzt wird.

Hintergrundaktualisierungsprozess für lokale Gruppenrichtlinienobjekte

Wie bereits erwähnt, kann ein wichtiger Grund dafür, dass Sie eine Aktualisierung der Gruppenrichtlinie erzwingen müssen, darin bestehen, dass lokale Administratoren (oder Gegner, die ihre Konten kompromittiert haben!) Änderungen an den Einstellungen auf ihren Maschinen vornehmen können, die eine von Ihnen mit einer GPO festgelegte Richtlinie außer Kraft setzen. Diese Änderungen können die Produktivität oder sogar die Sicherheit beeinträchtigen. Beispielsweise könnte ein lokaler Admin Ihre GPO-Einstellung, die USB-Laufwerke verbietet, außer Kraft setzen, was sowohl Datendiebstahl als auch die Einführung von Malware ermöglicht.

Daher sollten Sie lokale Administratorrechte nur dann gewähren, wenn sie wirklich benötigt werden. Regulären Benutzern sollten niemals lokale Adminrechte gegeben werden.

Obligatorische erneute Anwendung von Gruppenrichtlinieneinstellungen, die nicht sicherheitsrelevant sind

Wie oben erwähnt, gilt das regelmäßige Hintergrund-Update nur für neue und geänderte GPOs. Sie können jedoch das regelmäßige Hintergrund-Update so ändern, dass bestimmte Einstellungen erneut angewendet werden, auch wenn sich die GPOs nicht geändert haben. Dies ist eine gute Methode, um Schwachstellen zu beheben, die nicht sicherheitsrelevant sind.

Insbesondere können Sie vorschreiben, dass die folgenden Bereiche der Gruppenrichtlinie bei jeder anfänglichen Richtlinienverarbeitung und bei jeder Hintergrundaktualisierung erneut angewendet werden:

• Registrierung (Administrative Vorlagen)
• Wartung von Microsoft Edge
• IP-Sicherheit
• EFS-Wiederherstellungsrichtlinie
• Drahtlosrichtlinie
• Speicherkontingent
• Skripte
• Sicherheit
• Ordnerumleitung
• Softwareinstallation
• Wired Policy

Wie Netwrix helfen kann

Gruppenrichtlinien sind ein äußerst mächtiges Instrument zur Verwaltung der Einstellungen Ihrer Windows-Infrastruktur. Aber sie sind auch komplex. Tatsächlich wird nach Jahren von Fusionen und Übernahmen, Mitarbeiterfluktuation, technologischen Veränderungen und so weiter die Gruppenrichtlinie nahezu unmöglich, effektiv mit manuellen Methoden und nativen Tools zu verwalten.

Netwrix PolicyPak vereinfacht das Management von Gruppenrichtlinien und ermöglicht Ihnen, Ihre GPOs aufzuräumen und zu konsolidieren. Dadurch wird Ihre Organisation schnellere Anmeldungen, höhere Sicherheit, bessere Verfügbarkeit und weniger Fehlkonfigurationen genießen.

Fazit

Das Aktualisieren der Gruppenrichtlinieneinstellungen in Ihrer IT-Umgebung ist entscheidend für Produktivität, Sicherheit, Compliance und mehr. Obwohl GPO-Änderungen automatisch beim nächsten Aktualisierungsintervall angewendet werden; können Sie auch eine Aktualisierung erzwingen, um sie sofort anzuwenden. Als zusätzliche Sicherheitsmaßnahme können Sie sicherstellen, dass bestimmte Gruppenrichtlinieneinstellungen immer wieder angewendet werden, auch wenn sie sich nicht geändert haben, um unerwünschte Änderungen durch lokale Administratoren rückgängig zu machen.

FAQ

Wie aktualisiert man Gruppenrichtlinien?

Um die Gruppenrichtlinie manuell zu aktualisieren, können Administratoren den Befehl gpupdate /force verwenden, die Gruppenrichtlinienverwaltungskonsole (GMPC) oder PowerShell. Der Schalter /force ermöglicht es den Administratoren, alle Richtlinieneinstellungen erneut anzuwenden

Was bewirkt gpupdate /force?

Gruppenrichtlinien werden automatisch gemäß einem Hintergrundaktualisierungsplan aktualisiert. Manchmal muss jedoch ein Update oder eine neue Richtlinie schneller wirksam werden, oder die Organisation muss unangemessene Richtlinienänderungen, die von lokalen Administratoren vorgenommen wurden, rückgängig machen. In solchen Fällen kann ein Administrator den Befehl gpupdate mit dem /force Parameter verwenden, um ein Gruppenrichtlinienupdate sofort anzuwenden.

Wie lange dauert es, mit gpupdate /force die Gruppenrichtlinie zu aktualisieren?

Die Zeit, die benötigt wird, um eine Gruppenrichtlinie zu erzwingen, hängt von der Anzahl der angewendeten Richtlinien ab. Das Aktualisieren einer kleinen Anzahl von Richtlinien kann nur wenige Minuten dauern, aber typischerweise beinhaltet der Prozess eine 90-minütige Anwendungszeit plus eine 30-minütige Verzögerung zur Arbeitslastverteilung.

Was ist GPupdate?

Es wird auch erklärt, wie der Hintergrundaktualisierungsmechanismus funktioniert und wie man überprüft, dass Richtlinien korrekt angewendet werden.

Gruppenrichtlinie ist der Mechanismus, den Windows-Administratoren verwenden, um Sicherheitseinstellungen, Softwarekonfigurationen und Benutzerumgebungssteuerungen auf domänenverbundenen Computern durchzusetzen. Der Standard-Aktualisierungszyklus läuft alle 90 Minuten, was für zeitkritische Änderungen zu langsam ist.

Diese Anleitung behandelt drei Methoden, um ein sofortiges Gruppenrichtlinien-Update zu erzwingen: mit dem Befehl gpupdate, der Group Policy Management-Konsole und PowerShell.

Windows erfasst GPO-Änderungsereignisse im Sicherheitsprotokoll, zeichnet jedoch nicht den vorherigen Konfigurationswert auf und zeigt Änderungen nicht in einer konsolidierten Ansicht an.

GPupdate ist ein Windows-Kommandozeilen-Tool, das eine Aktualisierung der Group Policy auf dem lokalen Rechner auslöst. Es kontaktiert den Domänencontroller, ruft alle seit der letzten Aktualisierung geänderten Richtlinien ab und wendet sie auf Computer- und Benutzerkonfiguration an. Ohne zusätzliche Parameter verarbeitet gpupdate nur neue oder geänderte Richtlinien und überspringt bereits angewendete.

gpupdate vs. gpupdate /force: wann welches verwendet wird

Der Befehl gpupdateExpand ist seit Windows XP und Windows Server 2003 verfügbar. Er läuft im Kontext des angemeldeten Benutzers und des lokalen SYSTEM-Kontos und wendet Benutzer- und Computer-Richtlinien getrennt an.

Domänencontroller aktualisieren die Gruppenrichtlinie standardmäßig alle fünf Minuten. Mitgliedsarbeitsstationen und -server verwenden ein 90-Minuten-Intervall plus eine zufällige Verschiebung von bis zu 30 zusätzlichen Minuten, um die Last auf dem Domänencontroller zu reduzieren.

Group Policy Objects in Active Directory steuern Kennwortrichtlinien, Softwarebereitstellung, Anmeldeskripte, Sicherheits-Baselines und Desktop-Konfigurationen. Wenn Sie ein GPO ändern oder ein neues mit einer Organisationseinheit (OU) verknüpfen, wird diese Änderung erst nach dem nächsten geplanten Aktualisierungszyklus an die Endpunkte übertragen.

• Sie beheben Probleme, ob eine GPO korrekt angewendet wird
• Eine Richtlinieneinstellung wurde manuell lokal entfernt oder überschrieben

O /forceExpand switch substitui essa lógica e reaplica todas as políticas em vigor, independentemente de o controlador de domínio relatar alterações. Cada GPO é reprocessada do zero.

• Eine Software-Installationsrichtlinie ist fehlgeschlagen und muss erneut versucht werden
• Sie haben kürzlich ein neues GPO verknüpft und benötigen eine sofortige Durchsetzung auf dem gesamten Gerät

Use gpupdateExpand ohne /forceExpand wenn Sie neue oder geänderte GPOs bereitgestellt haben und die Endpunkte die Änderungen einfach vor ihrem nächsten geplanten Zyklus übernehmen sollen. Verwenden Sie gpupdate /forceExpand wenn:

Netwrix Auditor verfolgt jede Änderung an Gruppenrichtlinienobjekten in Active Directory, zeichnet auf, wer ein GPO geändert hat, was sich geändert hat und den vorherigen Konfigurationswert. Laden Sie eine kostenlose Testversion herunter.

Das Ausführen von gpupdateExpand ohne den Schalter /forceExpand wendet nur Richtlinien an, die sich seit der letzten Aktualisierung geändert haben. Wenn Windows feststellt, dass eine Richtlinie bereits aktuell ist, überspringt es die erneute Verarbeitung. Dies ist effizient für routinemäßige Aktualisierungen, lässt jedoch eine Lücke, wenn eine Richtlinie als unverändert markiert ist, aber dennoch erneut angewendet werden muss: zum Beispiel nach einer Registrierungänderung, einer fehlgeschlagenen Anwendung oder einer manuellen Löschung einer Richtlinieneinstellung.

Der Schalter /forceExpand verursacht eine geringe Belastung für den Domänencontroller, da er alle relevanten Richtlinien verarbeitet und nicht nur die Änderungen. In Umgebungen mit vielen GPOs sollte vermieden werden, ihn gleichzeitig auf großen Maschinenmengen ohne Staffelung der Anfragen auszuführen.

Wie man ein Gruppenrichtlinien-Update erzwingt

Methode 1: Eingabeaufforderung

Der direkteste Weg, ein Group Policy-Update zu erzwingen, ist die Ausführung über eine erhöhte Eingabeaufforderung oder PowerShell.

Grundsyntax:

Öffnen Sie die Eingabeaufforderung als Administrator und führen Sie dann den Befehl aus. Die Ausgabe lautet:

Vollständige Parameterreferenz:

Richten Sie sich auf einen bestimmten Politikbereich:

Methode 2: Group Policy Management Console (GPMC)

Wenn die aktualisierten Richtlinien eine Abmeldung oder einen Neustart erfordern, damit sie wirksam werden, gpupdateExpand wird Sie darauf hinweisen. Bestimmte Softwareinstallations- und Ordnerumleitungsrichtlinien können nicht auf eine laufende Sitzung angewendet werden und erfordern eine neue Anmeldung.

Schritte:

Hinweis zu erhöhten Berechtigungen: gpupdateExpand erfordert eine erhöhte Sitzung, um Computer-Richtlinien anzuwenden. Wird es ohne Erhöhung ausgeführt, werden nur Benutzer-Richtlinien verarbeitet und es kann eine Erfolgsmeldung zurückgegeben werden, die den vollständigen Richtlinienstatus nicht widerspiegelt.

Use /target:computerExpand wenn Sie Computer-seitige Richtlinien wie security policy-Einstellungen, Startskripte oder Softwareeinschränkungen aktualisiert haben und die Benutzer-seitigen Einstellungen nicht aktualisieren müssen. Verwenden Sie /target:userExpand für Änderungen auf Benutzerseite, wie Anmeldeskripte, Ordnerumleitungen oder Softwareinstallationen.

Die Gruppenrichtlinien-Verwaltungskonsole ermöglicht es Ihnen, ein erzwungenes Gruppenrichtlinien-Update auf alle Computer in einer bestimmten OU zu übertragen, ohne sich an jedem einzelnen Gerät anmelden zu müssen. Diese Funktion, verfügbar seit Windows Server 2012, verwendet eine geplante Aufgabe, um gpupdate /forceExpand auf jedem Zielcomputer remote auszuführen.

1. Erweitern Sie Ihre Domäne und navigieren Sie dann zur OU, die die Computer enthält, die Sie aktualisieren möchten.
2. Öffnen Sie Group Policy Management (gpmc.mscExpand).
3. Klicken Sie mit der rechten Maustaste auf die OU und wählen Sie Gruppenrichtlinien aktualisieren.

Firewall-Anforderungen für die Remote-Aktualisierung von Group Policy:

1. Ein Bestätigungsdialog fragt, ob Sie ein Gruppenrichtlinien-Update auf allen Computern in der OU erzwingen möchten. Klicken Sie auf Ja.

5. Das Fenster mit den Remote Group Policy update results öffnet sich und zeigt den Aktualisierungsstatus für jeden Computer in der OU an.

• Remote Scheduled Tasks Management (RPC): TCP-Dynamikports

Wichtig: Das GPMC-Fernupdate wird nicht gleichzeitig auf allen Computern ausgelöst. Windows verteilt die Anfragen über ein 10-minütiges zufälliges Verzögerungsfenster, um zu verhindern, dass alle Computer gleichzeitig den Domänencontroller kontaktieren. Berücksichtigen Sie dieses Fenster bei der Zeitplanung zur Überprüfung der Richtlinienanwendung.

Das GPMC-Remote-Update erstellt eine geplante Aufgabe auf jedem Zielcomputer über WMI und RPC. Drei eingehende Windows-Firewall-Regeln müssen auf den Zielgeräten aktiviert sein:

• Windows Management Instrumentation (WMI-In): TCP alle Ports
• Remote Scheduled Tasks Management (RPC-EPMAP): TCP-Port 135

Um das Starter GPO bereitzustellen:

3. Benennen Sie das neue GPO und verknüpfen Sie es mit den OUs, die Ihre Zielcomputer enthalten.

1. Erweitern Sie in GPMC Starter GPOs unter Ihrer Domäne.

4. Navigieren Sie zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Windows Firewall with Advanced Security.

2. Klicken Sie mit der rechten Maustaste auf Group Policy Remote Update Firewall Ports und wählen Sie New GPO from Starter GPO.

Methode 3: Invoke-GPUpdate (PowerShell)

Anforderungen:

5. Bestätigen Sie, dass die drei eingehenden Regeln vorhanden und auf Aktiviert.

Invoke-GPUpdate ist das PowerShell-Cmdlet zum Erzwingen von Group Policy-Aktualisierungen auf entfernten Computern, ohne dass eine Konsolensitzung auf jedem Ziel erforderlich ist. Es ist Teil des GroupPolicy-Moduls, das in den Remote Server Administration Tools (RSAT) enthalten ist.

• RSAT mit der auf dem Verwaltungsrechner installierten Group Policy Management-Funktion

Sie können diese Regeln manuell über Gruppenrichtlinien aktivieren oder sie automatisch mit dem integrierten Group Policy Remote Update Firewall Ports Starter-GPO bereitstellen, verfügbar im Starter GPOs Knoten in GPMC.

• Unterstützt auf Windows 8 und Windows Server 2012 oder neuer

Ein Update auf einem einzelnen Remote-Computer erzwingen:

Erzwingen Sie ein Update auf allen Computern der Domäne:

• PowerShell-Remoting auf Zielcomputern aktiviert (Enable-PSRemotingExpand)

Einstellung -RandomDelayInMinutes 0Expand lässt das Update sofort starten. Lassen Sie den Parameter weg, um das standardmäßige zufällige Verhalten zu verwenden.

Erzwingen Sie ein Update auf allen Computern in einer bestimmten OU:

Vollständige Parameterreferenz:

Die Aktualisierung auf eine OU zu beschränken, ist der bevorzugte Ansatz, wenn eine Group Policy setting nur auf eine Teilmenge von Computern angewendet wird und so die unnötige Belastung des Domänencontrollers reduziert.

Wie die Hintergrundaktualisierung von Group Policy funktioniert

Standardmäßige Aktualisierungsintervalle:

Gruppenrichtlinien erfordern keine manuelle Eingriffe, um aktuell zu bleiben. Der Mechanismus zur Hintergrundaktualisierung wendet aktualisierte Richtlinien automatisch gemäß einem vom Gruppenrichtlinien-Clientdienst gesteuerten Zeitplan an.

• Domänencontroller: Alle 5 Minuten, ohne zufälligen Versatz.

PowerShell-Remoting ist die wichtigste Abhängigkeit. Wenn Zielcomputer WinRM-Verkehr blockieren, Invoke-GPUpdateExpand gibt einen Verbindungsfehler zurück. Bevor Sie im großen Stil ausführen, stellen Sie sicher, dass WinRM aktiviert ist und das GroupPolicy-Modul geladen ist. Für eine umfassendere Referenz zur Verwaltung von Group Policy über PowerShell decken die wichtigsten PowerShell-Befehle für Group Policy die häufigsten administrativen Aufgaben ab.

• Client-Computer (Arbeitsstationen und Mitgliedsserver): Alle 90 Minuten plus eine zufällige Verschiebung von 0 bis 30 Minuten. Die Verschiebung verhindert, dass Hunderte von Maschinen gleichzeitig den Domänencontroller kontaktieren.

Diese Intervalle gelten nur für die Hintergrundaktualisierung. Die Anwendung der Richtlinien im Vordergrund, die beim Computerstart und der Benutzeranmeldung ausgeführt wird, verarbeitet Richtlinien synchron, bevor der Desktop erscheint.

• Sicherheitseinstellungen: Alle 16 Stunden, auch wenn keine Änderungen vorgenommen wurden. Windows wendet die Sicherheitseinstellungen in diesem festen Intervall erneut an, um lokale Abweichungen zu verhindern, unabhängig von den Ergebnissen der Änderungsüberwachung.

Wenn gpupdate /force noch erforderlich ist:

Überprüfen Sie die Richtlinienanwendung mit gpresult:

Nach einem erzwungenen Update bestätigen Sie, dass die Richtlinien korrekt angewendet wurden:

Die Hintergrundaktualisierung überspringt standardmäßig unveränderte Richtlinien. Wenn eine lokale Überschreibung oder eine Registrierungseinstellung einen Richtlinienwert zwischen den Zyklen geändert hat, erkennt Windows die Abweichung nicht und korrigiert sie erst bei der nächsten Vordergrundrichtlinienanwendung.

Sie können die Aktualisierungsintervalle direkt über die Gruppenrichtlinie ändern:Computerkonfiguration > Administrative Vorlagen > System > Gruppenrichtlinie > Gruppenrichtlinien-Aktualisierungsintervall für Computer festlegen. Das Basisintervall und die maximale zufällige Abweichung sind separat konfigurierbar.

Bestimmte Richtlinienbereiche immer erneut anwenden erzwingen

Das Ausführen von gpupdate /forceExpand wendet alle Richtlinien erneut an und korrigiert lokale Abweichungen. Die Einhaltung der Best Practices von Group Policy im Änderungsmanagement verringert die Häufigkeit von Notfall-Zwangsaktualisierungen.

Dieser Befehl gibt eine Zusammenfassung der auf den aktuellen Benutzer und Computer angewendeten GPOs aus. Um einen vollständigen HTML-Bericht zu exportieren:

Standardmäßig werden bestimmte Richtlinienbereiche, einschließlich Group Policy-Einstellungen und Softwareinstallationsrichtlinien, nicht erneut verarbeitet, wenn sie bereits erfolgreich angewendet wurden, selbst wenn gpupdate /force ausgeführt wird. Dieses Verhalten kann auf GPO-Ebene überschrieben werden.

Öffnen Sie den Bericht und prüfen Sie die Abschnitte Denied GPOs und Not Applied GPOs. Die dort aufgeführten GPOs weisen auf Filter- oder Verknüpfungsprobleme hin, die durch ein erzwungenes Update nicht allein behoben werden können.

Aktivieren Sie die Einstellung „Verarbeiten, auch wenn die Gruppenrichtlinienobjekte nicht geändert wurden“ für jede Erweiterung, die Sie zur erneuten Verarbeitung zwingen möchten.

Wie Netwrix Auditor Ihnen hilft, Änderungen an Group Policy zu verfolgen und zu prüfen

Diese Einstellungen gelten global für alle GPOs im Geltungsbereich. Das Aktivieren der erzwungenen Neuverarbeitung für Softwareinstallationsrichtlinien im gesamten Domänenbereich führt dazu, dass die Softwareprüfung und -reparatur bei jedem Aktualisierungszyklus auf jedem Client ausgeführt wird, was die Belastung des Netzwerks und des Domänencontrollers erheblich erhöht. Aktivieren Sie dies selektiv und testen Sie es in einer Pilot-OU, bevor Sie es breit ausrollen.

Navigieren Sie im Gruppenrichtlinienverwaltungs-Editor zu Computer Configuration > Administrative Templates > System > Group Policy (für Computerseiteneinstellungen) oder User Configuration > Administrative Templates > System > Group Policy (für Benutzereinstellungen).

Eine einzelne GPO-Änderung kann die Windows-Firewall deaktivieren, die Passwortdurchsetzung schwächen oder auf hunderten von Rechnern erhöhte Zugriffsrechte gewähren, und das native Windows-Ereignisprotokoll zeigt nicht den vollständigen Umfang der Änderungen oder wer sie vorgenommen hat.

Unbefugte Änderungen an Group Policy Objects sind ein dokumentierter Weg zu Sicherheitsfehlkonfigurationen, privilege escalation und Compliance-Abweichungen.

Netwrix Auditor verfolgt jede Änderung an Gruppenrichtlinienobjekten in Active Directory und zeichnet die vorherigen und neuen Werte, den Änderer und den Zeitpunkt auf.

Sicherheitsteams können Warnungen für risikoreiche GPO-Änderungen konfigurieren und prüfungsbereite Berichte erstellen, die die Anforderungen von Active Directory auditing für HIPAA, PCI DSS, SOX und ähnliche Rahmenwerke erfüllen.

Für Organisationen, die die Einhaltung einer formellen Windows-Audit-Richtlinie nachweisen müssen, liefert Netwrix Auditor die erforderlichen Vorher-Nachher-Beweise.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix Ihnen hilft, Änderungen an Group Policy zu verfolgen, Active Directory-Änderungen zu prüfen und durchgehend Sichtbarkeit in Ihrer Windows-Umgebung zu gewährleisten.