БЛОКИРОВАННЫЙ SOM

[dahiko]

Есть несколько групповых политик, которые работали без отказа. Недавно заметил, что часть политик не применяется - в gpresult видно, что политика не применяется по причине "Блокированный SOM". Изменения в политики никто не вносил. Что могло случиться и где начать искать проблему?

Контроллер домена на Win server 2003 SP2
Клиенты Win 7, Win XP, Win Server 2003, Win Server 2008

[Petya V4sechkin]

dahiko, поиск подсказывает, что в политиках включено блокирование наследования (http://technet.microsoft.com/ru-ru/library/cc738342(v=ws.10)).

[dahiko]

В предложенной вами статье идет речь об оснастке "Active Directory - сайты и службы". Необходимо нажать правой кнопкой на домен или подразделение, зайти в свойства и перейти на вкладку "Групповая политика". Но у меня в этой оснастке нет домена или подразделения. Есть только контроллеры домена, в свойствах которых нет вкладки "Групповая политика" (см. скрин.jpg).

[Petya V4sechkin]

Там опечатка: должно быть "Active Directory - пользователи и компьютеры".

А для GPMC
Блокирование наследования с помощью консоли управления групповой политикой (GPMC) (http://technet.microsoft.com/ru-ru/library/cc738307(v=ws.10))

[dahiko]

это я сразу же проверил. блокировки наследования на OU нет. Более того, попробовал сделать одну политику принудительной, и все равно проблема осталась. Только теперь ситуация такая:
на ПК №1 политика попала в примененные, но если на этом ПК зайти в консоль "Редактор объектов групповой политики", то видно что политики имеют состояние "не задано".
на ПК №2 политика попала в не примененные с причиной отказа "Пусто"
Оба ПК находятся водном OU

Я в замешательстве.

и еще. в оснастке "Active Ditrectory - пользователи и компьютеры" в свойствах OU или домена тоже нет вкладки "Групповая политика", так что первая статья вообще не подходит.

[Petya V4sechkin]

блокировки наследования на OU нет
Где-то есть (если не в OU, то в домене).
На клиенте rsop.msc и в командной строке gpresult /Z что говорят?

[dahiko]

rsop говорит, что политика применилась (см. rsop.jpg).
gpresult показывает, что не применилась (см. gpresult.txt)
через оснастку "редактор объектов групповой политики" тоже видно, что не применилось (см. mmc.jpg)

данная ситуация не только с политикой WSUS, но и с другими.

Последнее что делалось в домене - настройка доверительных отношений с другим доменом. Но думаю это не должно повлиять на GPO.

[Petya V4sechkin]

dahiko, копайте все варианты (http://technet.microsoft.com/ru-ru/library/cc738620(v=ws.10)) ограничения области действия.