Интерактивный вход
 

Здравствуйте!
Сервер 2003.
Проблема с GPO. Использую GPMC. Взял политику с Domain Controllers под название Default Domain Controllers Policy, создал копию и установил ее на в корень домена. Что хочу добиться - проставить настройки, общие для других OU в домене. Каждой OU присвоена своя GPO.
Теперь при заходе в систему пишется, что Интерактивный вход запрещен локальными политиками. Подскажите, где разблокировать это.
Чтобы обойти это, просто удалил описанную выше GPO. Дал команду gpupdate, но политика перестала действовать только спустя 10 минут. Можно ли ускорить процесс применения этих политик.

Спасибо.

Вполне разумная мера безопасности для серверов :)

Применить к корню домена политику "Default Domain policy", и впредь назначать куда либо производные от неё.
Ибо в политике для контроллеров доменов может быть много других запретов,*которые на рабочих станциях вызовут большие неудобства.


Запускать данную программу с ключом /force (полный список ключей выводится ключом /?)

Default Domain Controllers Policy должна быть привязана к OU domain controllers
Зачем вы привязали эту политику к корню домена?

Значение параметра "Локальный вход в систему" по умолчанию:
По поводу частоты обновления групповой политики -
Помимо команды gpupdate /force форсировать обновление ГП можно перезагрузкой и/или перелогиниванием (в зависимости от измененных параметров ГП) .

В итоге, как правильно указали выше, сносите со всех OU копию политики Default Domain Controllers Policy (разумеется кроме самих контроллеров домена) и назначайте новую, указывая только те параметры, которые вам нужны

Делаю, но эта политика не применяется. Например, делаю в Сообщение для пользователей при входе в систему. Но я не вижу никакого сообщения. А если в корень домена кинуть эту политику, то ОК.

Для этого сделайте отдельную политику, привяжите куда вам надо,потом сообщите результат.
Default Domain Controllers Policy верните линк по умолчанию к OU Domain controllers

Т.е правый щелчок мышью по названию домена, далее Link and ...GPO, выбираю Default Domain policy. Редактирую ее, в Конфигурации компьютера в Назначении прав пользователя, далее Локальный вход в систему, вот здесь каких пользователей нужно прописать.
Данные настройки делаются на контроллере домена для того чтобы на рабочих станция не было сообщения Интерактивный вход запрещен локальными политиками и происходил вход в домен.

Спасибо.

Нет, не так - не стоит трогать существующую политику. Лучше создать новую и ее править. Для этого ПКМ на Group Policy Objects, затем New. Здесь надо будет указать имя для новой ГП (например GPO1). Правишь нужные тебе параметры в GPO1. Затем ПКМ на названии домена, Link and Existing GPO и указываешь GPO1. Только учти, что если на OU Domain Controllers не стоит Block Inheritance (блокирование наследования) или на ГП, применяемой для всего домена, стоит Enforced (не перекрывать) то данная ГП политика будет применяться в том числе и к контроллерам домена, что может привести к неприятным результатам. Поэтому лучше пользователей разнести по разным OU и GPO1 применять к конкретным OU.

Michael,

Спасибо большое вам и всем кто принял участие в обсуждении. Проблему решил. Изменения в Default Domain policy убрал. Создал новую GPO, поставил в корень домена. В Default Domain policy сказал Enforced. Остальные GPO, относящиеся к OU - снял галку с Enforced - в этом был трабл (стояла на всех). Заработало.

Чуть непонятно следующее:

1. Default Domain policy - применяется к контроллеру домена? Если не прав, то какая политика к нему применяется.
2. где в GPMC установить Block Inheritance (блокирование наследования)? Не мог найти.
3. Установил текст сообщения при входе пользователей. На некоторых машинах (Вин 2000 проф) он отображается весь, а на некоторых обрезан, примерно половина. Почему так происходит?

Спасибо

YDen, по умолчанию Default Domain Policy применяется ко всем нижестоящим OU, в том числе и к OU Domain Controllers. Если есть еще ГП привязаннные к корню домена, то они будут также применяться к OU Domain Controllers. Исключение - на Domain Controllers установлено Block Inheritance (однако если на вешестоящих ГП стоит Enforced то блокирование не поможет - политика применится)
Block Inheritance устанавливаетсяне для ГП, а для OU (ПКМ на OU и там увидишь)