Forza un aggiornamento di Group Policy con GPUpdate/Force

Forzare un aggiornamento della Group Policy assicura che le nuove impostazioni o quelle modificate vengano applicate immediatamente invece di attendere il normale ciclo di aggiornamento di 90–120 minuti. Gli amministratori possono innescare gli aggiornamenti utilizzando il comando gpupdate /force, la Group Policy Management Console, o PowerShell con Invoke-GPUpdate. Anche se /force riapplica tutte le GPO, può sovraccaricare i controller di dominio, quindi è meglio utilizzarlo selettivamente quando è richiesta una riapplicazione urgente.

Immagina di ricevere una telefonata dallo specialista di sicurezza che gestisce i tuoi firewall e server proxy. Ti informa che ha aggiunto un ulteriore server proxy per gli utenti che accedono a Internet. Aggiungi un nuovo GPO che influisce su tutti gli utenti in modo che possano utilizzare il nuovo server proxy tramite Internet Explorer. Solitamente, ci vogliono tra i 90 e i 120 minuti affinché un nuovo GPO venga applicato, ma hai bisogno che le nuove impostazioni vengano applicate immediatamente, e non puoi dire agli utenti di disconnettersi e riconnettersi per applicarle. In casi come questi, potresti voler bypassare il normale tempo di attesa prima che l'elaborazione della policy in background abbia inizio. Puoi farlo utilizzando il prompt dei comandi, la Group Policy Management Console (GPMC) o PowerShell.

Cos'è GPUupdate

Group Policy è una funzionalità preziosa di Active Directory che consente agli amministratori di applicare una vasta gamma di impostazioni agli utenti e ai computer. È fondamentale per la sicurezza e la produttività che le modifiche agli oggetti Group Policy (GPO) e i nuovi GPO vengano applicati tempestivamente.

Di conseguenza, Group Policy viene automaticamente aggiornato ogni volta che un computer membro del dominio viene riavviato o un utente effettua l'accesso. Viene anche aggiornato automaticamente a intervalli regolari di aggiornamento in background (per impostazione predefinita, ogni 90 minuti con un offset randomizzato fino a 30 minuti).

Tuttavia, a volte gli amministratori devono applicare immediatamente le impostazioni GPO ai sistemi client, come quando creano una nuova policy o apportano una modifica importante a una policy esistente. Inoltre, a volte vogliono non solo applicare le modifiche ma anche riapplicare GPO che non sono state cambiate, solitamente al fine di annullare modifiche indesiderate fatte sulle macchine locali.

Questo documento vi guida attraverso i modi in cui potete forzare un aggiornamento della Group Policy.

GPUpdate vs comando GPUpdate /force

Il comando gpupdate /force è uno dei comandi più utilizzati per aggiornare le group policy. L'opzione /force consente agli amministratori di riapplicare tutte le impostazioni delle policy. Tuttavia, è importante considerare che l'uso dell'opzione /force potrebbe comportare un notevole carico sui Domain Controllers (DCs), specialmente quando ci sono molti Group Policy Objects (GPOs) nell'ambiente.

Se si dispone di un'affitto sostanziale o di un gran numero di GPO, è preferibile eseguire gpupdate senza l'opzione /force per implementare le nuove impostazioni delle policy. Questo metodo riceverà solo le modifiche o le nuove group policies, riducendo così il carico di lavoro sia sui client che sui controller di dominio.

Come forzare l'aggiornamento delle group policy

Per forzare un aggiornamento di Group Policy, puoi utilizzare una delle seguenti opzioni:

• Il comando gpupdate /force command
• La Group Policy Management Console (GPMC)
• PowerShell

Prerequisito: Configurare i Firewall prima di Applicare i GPO

Prima di forzare la riapplicazione delle GPO utilizzando una di queste opzioni, assicurati che i firewall consentano il traffico di rete in entrata sulle porte applicabili (per impostazione predefinita, la porta TCP 135), come descritto nella Microsoft documentation.

Forza un aggiornamento di Group Policy utilizzando il Prompt dei comandi

gpupdate è un comando della shell di Microsoft per l'aggiornamento delle Criteri di gruppo su computer Active Directory. È incluso in tutte le versioni del sistema operativo Windows.

Il parametro /force

Eseguendo il comando gpupdate senza parametri vengono applicate solo le impostazioni delle policy modificate e i nuovi GPO. Ma a volte è necessario riapplicare anche tutti i GPO che non sono stati modificati – ad esempio per annullare le modifiche indesiderate effettuate dagli amministratori locali (o dagli avversari che hanno compromesso i loro account).

In tal caso, è necessario utilizzare il parametro /force, come segue:

gpupdate /force

Ci sono due considerazioni chiave da tenere a mente quando si utilizza questo parametro per aggiornare le impostazioni di Group Policy:

• Devi recarti fisicamente a ogni macchina utente ed eseguire manualmente il comando gpupdate /force. (Per aggiornare i computer a distanza, utilizza PowerShell, come descritto di seguito.)
• L'utilizzo dell'interruttore /force può comportare un carico significativo sui DC e sui client, specialmente quando ci sono un gran numero di GPO in un ambiente. In questi casi, è preferibile eseguire gpupdate senza il parametro /force.

Parametri aggiuntivi

Eseguendo gpupdate mentre un utente è connesso a una macchina, Windows applica immediatamente le nuove impostazioni GPO (supponendo, naturalmente, che il controller di dominio abbia le informazioni GPO replicate).

Se l'utente non è connesso, in Windows XP e versioni successive, per impostazione predefinita, le impostazioni GPO vengono elaborate solo al prossimo accesso. Ma se utilizzi gli switch giusti, gpupdate può determinare se gli elementi modificati di recente richiedono una disconnessione o un riavvio per essere attivi:

• /Logoff– Utilizzando questo interruttore si determinerà se un cambiamento di policy richiede che l'utente effettui il logoff. Se non è necessario, le nuove impostazioni verranno applicate immediatamente; in caso contrario, l'utente verrà disconnesso automaticamente e le impostazioni dei Group Policy setting verranno applicate al nuovo accesso.
• /boot– Allo stesso modo, se Fast Boot è attivato, è necessario riavviare per applicare le GPO che hanno impostazioni di Distribuzione Software. Eseguendo gpupdate con l'interruttore /boot si determinerà se una policy richiede un riavvio e riavvierà automaticamente il computer. Se la GPO aggiornata non richiede un riavvio, le impostazioni della GPO vengono applicate e l'utente rimane connesso.

Entrambi gli switch /Logoff e /boot sono opzionali.

Altre utili opzioni di switch sono disponibili in combinazione con /force

• /Logoff– Disconnetti l'utente dopo che le impostazioni dei Criteri di Gruppo sono state aggiornate.
• /Sync – Modifica l'elaborazione in primo piano (avvio/accesso) in sincrona.
• /Target – Indica se aggiornare le impostazioni della policy solo per Utenti o solo per Computer. Di default vengono aggiornate le impostazioni della policy sia per Utente che per Computer.
• /Boot – Riavvia la macchina dopo che le impostazioni dei Group Policy sono state applicate.

Forza un aggiornamento delle policy di gruppo utilizzando la Group Policy Management Console (GPMC)

Il secondo modo per forzare un aggiornamento della Group Policy di Windows è utilizzare la Console di Gestione delle Group Policy. Mentre il comando gpupdate aggiorna tutte le policy per tutte le OU, GPMC ti offre l'opzione di limitare l'aggiornamento a una specifica OU. Segui questi passaggi:

1. Apri la GPMC (Group Policy Management Console)
2. Collega il GPO a un'OU.
3. Fare clic con il tasto destro del mouse sull'OU desiderata e scegliere l'opzione “Aggiornamento Criteri di Gruppo”.
4. Conferma l'azione Nel dialogo di Aggiornamento della Direttiva di Gruppo Forzato che appare, cliccando su Sì.

Forza l'aggiornamento della policy di gruppo a distanza sui computer utilizzando Powershell

Per aggiornare Group Policy da remoto, è necessario utilizzare Powershell. A partire da Windows Server 2012, puoi usare il cmdlet Invoke-GPUpdate. per forzare un aggiornamento remoto di Group Policy sui computer client Windows. Dovrai avere installati sia PowerShell che la Console di Gestione Group Policy. Il cmdlet non produce output.

Esempi di utilizzo di Involve-GPUpdate per l'aggiornamento remoto dei Group Policy

Un altro vantaggio dell'uso del cmdlet Invoke-GPUpdate è che l'opzione “RandomDelayInMinutes” permette di regolare il ritardo. Se desideri un aggiornamento immediato della Criteri di Gruppo, impostalo su 0, come mostrato qui:

      Invoke-GPUpdate –Computer LHE-LT-ADAM -RandomDelayInMinutes 0
      

In questo caso, un computer identificato come “LHE-LT-ADAM” è stato immediatamente riavviato dopo l'avvio di un aggiornamento della Criteri di gruppo. Il cmdlet non produce output. L'unico svantaggio nell'utilizzare questo parametro è che gli utenti vedranno apparire una finestra del prompt dei comandi.

Se vuoi forzare un aggiornamento su tutti i computer, esegui il codice sottostante. Prenderà tutti i computer dal dominio, li inserirà in una variabile ed eseguirà i comandi per ogni oggetto.

      $compgpoupd = Get-ADComputer -Filter *
$compgpoupd | ForEach-Object -Process {Invoke-GPUpdate -Computer $_.name -RandomDelayInMinutes 0 -Force}

      

L'unico svantaggio nell'utilizzo del parametro RandomDelayInMinutes è che agli utenti apparirà un pop-up della schermata cmd.

Questo codice otterrà tutti i computer dal dominio, li metterà in una variabile ed eseguirà i comandi per ogni oggetto.

Configurate i firewall prima di applicare i GPO

Assicurati che i firewall consentano il traffico di rete in entrata su porte specifiche prima di aprire il tuo GPMC. A partire da Windows Server 2012, c'è un GPO iniziale nell'Editor Criteri di Gruppo chiamato “The Group Policy Remote Update Firewall Ports”, che verifica se la porta TCP 135 è configurata per la gestione remota delle attività pianificate.

Per abilitare Windows Firewall con Sicurezza avanzata tramite un GPO:

1. Avvia l'interfaccia per la Group Policy Management.
2. Nel riquadro di navigazione, espandi i seguenti: Forest (YourForestName) => Domini (YourDomainName) => Oggetti Criteri di Gruppo: (YourDomainName) => fai clic destro sul GPO che desideri modificare e seleziona Modifica.
   

1. Dalla barra di navigazione dell'Group Policy Management Editor, Seleziona Computer Configuration => Policies => Windows Settings => Security Settings => Windows Firewall with Advanced Security => Advanced Security for Windows Firewall.
   

Aggiornamento in background dei GPO

Tutti i client di Criteri di gruppo elaborano i GPO quando arriva l'intervallo di aggiornamento in background – ma elaborano solo quei GPO che sono nuovi o che sono cambiati dall'ultima volta che il client li ha richiesti.

Tuttavia, per le impostazioni di sicurezza, il motore di Group Policy funziona in modo diverso. Richiede un aggiornamento speciale in background solo per le impostazioni di security policy. Questo è chiamato il background security refresh ed è valido per ogni versione di Windows Server. Ogni 16 ore, ogni client di Group Policy chiede ad Active Directory informazioni su tutti i GPO che contengono impostazioni di sicurezza (non solo quelli che sono cambiati) e riapplica tali impostazioni di sicurezza. Ciò garantisce che se un'impostazione di sicurezza è stata modificata sul client (alle spalle del motore di Group Policy), viene automaticamente ripristinata all'impostazione corretta entro 16 ore.

Processo di aggiornamento in background per i GPO locali

Come accennato in precedenza, una delle principali ragioni per cui potrebbe essere necessario forzare un aggiornamento delle Group Policy è che gli amministratori locali (o gli avversari che hanno compromesso i loro account!) possono apportare modifiche alle impostazioni sui loro computer che annullano una policy che hai impostato con un GPO. Queste modifiche possono danneggiare la produttività o addirittura la sicurezza. Ad esempio, un amministratore locale potrebbe ignorare l'impostazione del tuo GPO che vieta le unità USB, consentendo così il furto di dati e l'introduzione di malware.

Di conseguenza, dovresti concedere i diritti di amministratore locale solo quando sono veramente necessari. Agli utenti regolari non dovrebbero mai essere dati i diritti di admin locale.

Riapplicazione obbligatoria delle impostazioni di gruppo non relative alla sicurezza

Come accennato in precedenza, l'aggiornamento regolare in background si applica solo ai nuovi GPO e a quelli modificati. Tuttavia, è possibile modificare l'aggiornamento regolare in background per riapplicare determinate impostazioni, anche se i GPO non sono cambiati. Questo è un buon metodo per correggere exploit che non sono correlati alla sicurezza.

In particolare, è possibile scegliere di imporre la riapplicazione delle seguenti aree di Group Policy durante ogni elaborazione iniziale delle policy e aggiornamento in background:

• Registro (Modelli amministrativi)
• Manutenzione di Microsoft Edge
• Sicurezza IP
• Politica di recupero EFS
• Politica Wireless
• Quota disco
• Script
• Sicurezza
• Reindirizzamento cartelle
• Installazione del software
• Wired Policy

Come Netwrix può aiutare

Group Policy è un modo estremamente potente per gestire le impostazioni della tua infrastruttura Windows. Ma è anche complesso. Infatti, dopo anni di fusioni e acquisizioni, turnover dei dipendenti, cambiamenti tecnologici, e così via, Group Policy diventa quasi impossibile da gestire efficacemente utilizzando metodi manuali e strumenti nativi.

Netwrix PolicyPak semplifica la gestione delle Group Policy e ti permette di ripulire e consolidare i tuoi GPO. Di conseguenza, la tua organizzazione beneficerà di un accesso più veloce, maggiore sicurezza, una migliore disponibilità e minori errori di configurazione.

Conclusione

Mantenere aggiornate le impostazioni dei Criteri di gruppo in tutto il patrimonio IT è fondamentale per la produttività, la sicurezza, la conformità e altro ancora. Sebbene le modifiche ai GPO vengano applicate automaticamente al successivo intervallo di aggiornamento; è possibile anche forzare un aggiornamento per applicarle immediatamente. Come misura di sicurezza aggiuntiva, puoi assicurarti che determinate impostazioni dei Criteri di gruppo siano sempre riapplicate, anche se non sono cambiate, al fine di annullare eventuali modifiche indesiderate apportate dagli amministratori locali.

FAQ

Come aggiornare la group policy?

Per aggiornare manualmente i Criteri di gruppo, gli amministratori possono utilizzare il comando gpupdate /force, la Console di Gestione dei Criteri di gruppo (GMPC) o PowerShell. Lo switch /force consente agli amministratori di riapplicare tutte le impostazioni dei criteri

Cosa fa gpupdate /force?

La Group Policy viene aggiornata automaticamente secondo un programma di aggiornamento in background. Tuttavia, a volte è necessario che un aggiornamento o una nuova policy abbiano effetto prima, o che l'organizzazione debba annullare modifiche improprie alla policy effettuate da amministratori locali. In questi casi, un amministratore può utilizzare il comando gpupdate con il parametro /force per applicare un aggiornamento della Group Policy immediatamente.

Quanto tempo impiega gpupdate /force per aggiornare Group Policy?

Il tempo necessario per forzare un aggiornamento della Group Policy dipende dal numero di policy applicate. Aggiornare un piccolo numero di policy può richiedere solo un paio di minuti, ma tipicamente, il processo comporta un tempo di applicazione di 90 minuti più un ritardo di 30 minuti per la distribuzione del carico di lavoro.

Cos'è GPupdate?

Spiega anche come funziona il meccanismo di aggiornamento in background e come verificare che le policy siano applicate correttamente.

Criteri di gruppo è il meccanismo che gli amministratori Windows utilizzano per applicare impostazioni di sicurezza, configurazioni software e controlli dell'ambiente utente su macchine collegate al dominio. Il ciclo di aggiornamento predefinito è ogni 90 minuti, troppo lento per modifiche sensibili al tempo.

Questa guida copre tre metodi per forzare un aggiornamento immediato della group policy: utilizzando il comando gpupdate, la console di Group Policy Management e PowerShell.

Windows cattura gli eventi di modifica GPO nel registro eventi di sicurezza, ma non registra il valore di configurazione precedente né presenta le modifiche in una vista consolidata.

GPupdate è uno strumento da riga di comando di Windows che avvia un aggiornamento di Group Policy sulla macchina locale. Contatta il controller di dominio, recupera le modifiche alle policy dall’ultimo aggiornamento e le applica sia alla configurazione del computer che dell’utente. Senza flag aggiuntivi, gpupdate elabora solo le policy nuove o modificate, saltando quelle già applicate.

gpupdate vs. gpupdate /force: quando usare ciascuno

Il comando gpupdate è disponibile da Windows XP e Windows Server 2003. Viene eseguito nel contesto dell'utente connesso e dell'account locale SYSTEM, applicando separatamente le policy lato utente e lato computer.

I controller di dominio aggiornano la Group Policy ogni cinque minuti per impostazione predefinita. Le workstation e i server membri utilizzano un intervallo di 90 minuti, più uno scostamento casuale fino a 30 minuti aggiuntivi per ridurre il carico sul controller di dominio.

Group Policy Objects in Active Directory controllano le policy delle password, la distribuzione del software, gli script di accesso, le baseline di sicurezza e le configurazioni del desktop. Quando modifichi un GPO o ne colleghi uno nuovo a un'unità organizzativa (OU), la modifica non raggiunge gli endpoint fino al completamento del successivo aggiornamento programmato.

• Stai risolvendo se una GPO si sta applicando correttamente
• Un'impostazione della policy è stata rimossa o sovrascritta manualmente a livello locale

Le /force commutateur remplace cette logique et réapplique toutes les politiques en vigueur, que le contrôleur de domaine signale ou non des modifications. Chaque GPO est retraité depuis le début.

• Una politica di installazione software è fallita e deve essere ripetuta
• Hai collegato di recente un nuovo GPO e hai bisogno di un'applicazione immediata su tutta la macchina

Use gpupdate senza /force quando hai distribuito GPO nuovi o modificati e vuoi semplicemente che gli endpoint acquisiscano le modifiche prima del loro prossimo ciclo programmato. Usa gpupdate /force quando:

Netwrix Auditor traccia ogni modifica agli oggetti Criteri di gruppo in Active Directory, registrando chi ha modificato un GPO, cosa è cambiato e il valore di configurazione precedente. Scarica una prova gratuita.

Eseguire gpupdate senza l'opzione /force applica solo le policy che sono cambiate dall'ultimo aggiornamento. Se Windows determina che una policy è già aggiornata, salta il rielaborazione. Questo è efficiente per aggiornamenti di routine, ma lascia una lacuna quando una policy è contrassegnata come invariata ma deve comunque essere riapplicata: per esempio, dopo una modifica del registro, un'applicazione fallita o una cancellazione manuale di un'impostazione della policy.

L'interruttore /force aggiunge un carico marginale al controller di dominio, poiché elabora tutte le policy in ambito anziché solo il delta. In ambienti con un gran numero di GPO, evitare di eseguirlo simultaneamente su grandi gruppi di macchine senza distribuire le richieste.

Come forzare un aggiornamento della group policy

Metodo 1: Prompt dei comandi

Il modo più diretto per forzare un aggiornamento di Group Policy è eseguirlo da un prompt dei comandi o PowerShell con privilegi elevati.

Sintassi di base:

Apri il Prompt dei comandi come Amministratore, quindi esegui il comando. L'output sarà:

Riferimento completo ai parametri:

Indirizza un'area politica specifica:

Metodo 2: Group Policy Management Console (GPMC)

Se le politiche aggiornate richiedono di disconnettersi o riavviare per entrare in vigore, gpupdate ti avviserà. Alcune politiche di installazione software e reindirizzamento cartelle non possono essere applicate a una sessione in corso e richiedono un nuovo accesso.

Passaggi:

Nota sui permessi elevati: gpupdate richiede una sessione elevata per applicare le policy lato computer. Eseguirlo senza elevazione processa solo le policy lato utente e può restituire un messaggio di successo che non riflette lo stato completo della policy.

Use /target:computer quando hai aggiornato le policy lato computer come le impostazioni di security policy, script di avvio o restrizioni software, e non devi aggiornare le impostazioni lato utente. Usa /target:user per modifiche lato utente, come script di accesso, reindirizzamento cartelle o installazioni software.

La Console di Gestione Criteri di Gruppo consente di forzare un aggiornamento dei Criteri di Gruppo su tutti i computer in una OU specifica senza accedere a ciascuna macchina singolarmente. Questa funzione, disponibile da Windows Server 2012, utilizza un'attività pianificata per eseguire gpupdate /force su ogni computer di destinazione da remoto.

1. Espandi il tuo dominio, quindi vai all'OU che contiene i computer che vuoi aggiornare.
2. Apri Group Policy Management (gpmc.msc).
3. Fai clic destro sull’OU e seleziona Aggiornamento Criteri di gruppo.

Requisiti firewall per l'aggiornamento remoto di Group Policy:

1. Una finestra di conferma chiede se si desidera forzare un aggiornamento della group policy su tutti i computer nell’OU. Fare clic su Sì.

5. La finestra dei Remote Group Policy update results si apre e mostra lo stato di aggiornamento per ogni computer nell’OU.

• Gestione attività pianificate remote (RPC): Porte dinamiche TCP

Importante: L'aggiornamento remoto di GPMC non si attiva contemporaneamente su tutte le macchine. Windows distribuisce le richieste in una finestra di ritardo casuale di 10 minuti per evitare che tutte le macchine contattino il controller di dominio allo stesso momento. Considera questa finestra nel tuo calendario quando verifichi l'applicazione delle policy.

L'aggiornamento remoto di GPMC crea un'attività pianificata su ogni computer di destinazione tramite WMI e RPC. Devono essere abilitate tre regole in ingresso del firewall di Windows sulle macchine di destinazione:

• Windows Management Instrumentation (WMI-In): TCP tutte le porte
• Gestione attività pianificate remote (RPC-EPMAP): porta TCP 135

Per distribuire lo Starter GPO:

3. Assegna un nome al nuovo GPO e collegalo alle OU che contengono i computer di destinazione.

1. In GPMC, espandi Starter GPOs sotto il tuo dominio.

4. Vai a Configurazione computer > Criteri > Impostazioni di Windows > Impostazioni di sicurezza > Windows Firewall with Advanced Security.

2. Fare clic con il tasto destro su Group Policy Remote Update Firewall Ports e selezionare New GPO from Starter GPO.

Metodo 3: Invoke-GPUpdate (PowerShell)

Requisiti:

5. Conferma che le tre regole in ingresso siano presenti e impostate su Abilitate.

Invoke-GPUpdate è il cmdlet di PowerShell per forzare gli aggiornamenti di Group Policy su macchine remote senza richiedere una sessione console su ogni destinazione. Fa parte del modulo GroupPolicy incluso nelle Remote Server Administration Tools (RSAT).

• RSAT con la funzionalità Group Policy Management installata sulla macchina di gestione

Puoi abilitare queste regole manualmente tramite Criteri di gruppo o distribuirle automaticamente utilizzando il Group Policy Remote Update Firewall Ports Starter GPO integrato, disponibile nel nodo Starter GPOs in GPMC.

• Supportato su Windows 8 e Windows Server 2012 o versioni successive

Forza un aggiornamento su un singolo computer remoto:

Forza un aggiornamento su tutti i computer del dominio:

• PowerShell remoting abilitato sui computer di destinazione (Enable-PSRemoting)

Impostazione -RandomDelayInMinutes 0 fa sì che l'aggiornamento venga eseguito immediatamente. Ommetti il parametro per usare il comportamento casuale predefinito.

Forza un aggiornamento su tutti i computer in una OU specifica:

Riferimento completo ai parametri:

Limitare l'aggiornamento a un'OU è l'approccio preferito quando un Group Policy setting si applica solo a un sottoinsieme di macchine, riducendo il carico inutile sul controller di dominio.

Come funziona l'aggiornamento in background di Group Policy

Intervalli di aggiornamento predefiniti:

Criteri di gruppo non richiede interventi manuali per rimanere aggiornato. Il meccanismo di aggiornamento in background applica automaticamente le policy aggiornate secondo un programma controllato dal servizio client dei criteri di gruppo.

• Controller di dominio: Ogni 5 minuti, senza offset casuale.

Il remoting di PowerShell è la dipendenza chiave. Se i computer di destinazione bloccano il traffico WinRM, Invoke-GPUpdate restituirà un errore di connessione. Prima di eseguire su larga scala, confermare che WinRM sia abilitato e che il modulo GroupPolicy sia caricato. Per un riferimento più ampio sulla gestione di Group Policy tramite PowerShell, i principali comandi PowerShell per Group Policy coprono le attività amministrative più comuni.

• Computer client (workstation e server membri): Ogni 90 minuti, più uno scostamento casuale da 0 a 30 minuti. Lo scostamento impedisce a centinaia di macchine di contattare contemporaneamente il controller di dominio.

Questi intervalli si applicano solo all'aggiornamento in background. L'applicazione delle policy in primo piano, che viene eseguita all'avvio del computer e al login dell'utente, elabora le policy in modo sincrono prima che venga visualizzato il desktop.

• Impostazioni di sicurezza: Ogni 16 ore, anche quando non sono state apportate modifiche. Windows riapplica le impostazioni di sicurezza a intervalli fissi come misura di sicurezza contro le deviazioni locali, indipendentemente da quanto riportato dal rilevamento delle modifiche.

Quando gpupdate /force è ancora necessario:

Verifica l'applicazione della policy con gpresult:

Dopo un aggiornamento forzato, confermare che le policy siano state applicate correttamente:

L'aggiornamento in background ignora le policy non modificate per progettazione. Se una sovrascrittura locale o una modifica del registro ha alterato un valore di policy tra i cicli, Windows non rileva la discrepanza e non la correggerà fino alla successiva applicazione in primo piano della policy.

È possibile modificare gli intervalli di aggiornamento tramite Criteri di gruppo:Configurazione computer > Modelli amministrativi > Sistema > Criteri di gruppo > Imposta intervallo di aggiornamento criteri di gruppo per computer. L'intervallo base e lo scostamento casuale massimo sono configurabili separatamente.

Forzare l'applicazione continua di aree specifiche della policy

Eseguire gpupdate /force riapplica tutte le policy e corregge eventuali deviazioni locali. Seguire le best practice di Group Policy sul controllo delle modifiche riduce la frequenza degli aggiornamenti forzati di emergenza.

Questo comando mostra un riepilogo dei GPO applicati all’utente e al computer correnti. Per esportare un rapporto HTML completo:

Per impostazione predefinita, alcune aree delle policy, incluse le preferenze di Group Policy e le policy di installazione software, non vengono rielaborate se sono già state applicate con successo, anche quando viene eseguito gpupdate /force. Puoi sovrascrivere questo comportamento a livello di GPO.

Apri il rapporto e rivedi le sezioni Denied GPOs e Not Applied GPOs. I GPO elencati indicano problemi di filtro o collegamento che un aggiornamento forzato non può risolvere da solo.

Abilita l'impostazione "Elabora anche se gli oggetti Criteri di gruppo non sono cambiati" per ogni estensione che vuoi forzare a rielaborare.

Come Netwrix Auditor ti aiuta a monitorare e verificare le modifiche di Group Policy

Queste impostazioni si applicano globalmente a tutti i GPO nel campo di applicazione. Abilitare la rielaborazione forzata per le policy di installazione software su un intero dominio fa sì che il controllo e la riparazione del software vengano eseguiti su ogni client durante ogni ciclo di aggiornamento, aumentando significativamente il carico sulla rete e sul controller di dominio. Abilita selettivamente e testa in una OU pilota prima di distribuire ampiamente.

Nell'Editor di Gestione Criteri di Gruppo, vai a Computer Configuration > Administrative Templates > System > Group Policy (per le impostazioni lato computer) o User Configuration > Administrative Templates > System > Group Policy (per le impostazioni lato utente).

Una singola modifica GPO può disabilitare il Firewall di Windows, indebolire l'applicazione delle password o concedere accesso elevato su centinaia di macchine, e il registro eventi nativo di Windows non mostra l'intera portata di ciò che è cambiato o chi ha effettuato la modifica.

Le modifiche non autorizzate agli Group Policy Objects sono una causa documentata di errata configurazione della sicurezza, privilege escalation e deviazioni dalla conformità.

Netwrix Auditor traccia ogni modifica agli oggetti Group Policy in Active Directory, registrando i valori precedenti e nuovi, chi ha effettuato la modifica e quando.

I team di sicurezza possono configurare avvisi per modifiche GPO ad alto rischio e generare report pronti per l'audit che soddisfano i requisiti di Active Directory auditing per HIPAA, PCI DSS, SOX e framework simili.

Per le organizzazioni che devono dimostrare la conformità a una policy di audit di Windows, Netwrix Auditor fornisce le prove prima e dopo richieste dagli auditor.

Richiedi una demo per vedere come Netwrix può aiutarti a monitorare le modifiche a Group Policy, controllare le modifiche di Active Directory e mantenere una visibilità continua nel tuo ambiente Windows.