Глюк с Group Policy
 

Есть AD. Есть Group Policy. Есть юзера на которых определенный параметр GP не работает корректно. Параметр - настройка proxy в IE. должен быть прописан proxy, он же не прописуется. Делаю gpupdate /force. Делаю RSoP (Результирующая политика). RSoP показывает что применяется все так как надо, хотя на самом деле в IE параметр не прописан. При этом другие параметры Group Policy применяются нормально. Есть соображения в чем может быть проблема?

При более детальном рассмотрении проблемы выяснилось следующее.
когда юзер заходит на него действуют 2 политики - Default Domain Policy и созданная мной IE (настройки эксплорера).
так вот. в Default Domain Policy прописан proxy а в IE нет. соответственно Default Domain Policy применяется первой и прописует, но вслед накатывается IE, в которой этот параметр не указан. Интересно так и должно быть? я вообщето всегда думал, что если параметр не указан то применяется от GPO каторый применился ранее. Хотя вроде можно где то выбирать то ли объединять GPO, то ль замещать.

А "gpresult" и "RSoP.msc" что говорят? Проверь "%windir%\security\logs\Winlogon.log" и "Журнал событий" на предмет ошибок.

RSoP.msc грит что (в порядке убывания приоритета)

IE отключено
Default Domain Policy Включено


а gpresult

Программа формирования отчета групповой политики операционной системы
Microsoft (R) Windows (R) XP версии 2.0
(С) Корпорация Майкрософт, 1981-2001

Создано на 18.01.2007 в 15:52:09



RSOP-результаты для EDIKT\test1 на JOB1 : Режим журналирования
---------------------------------------------------------------

Тип ОС: Microsoft Windows XP Professional
Конфигурация ОС: Рядовая рабочая станция
Версия ОС: 5.1.2600
Имя домена: EDIKT
Тип домена: Windows 2000
Имя сайта: Default-First-Site-Name
Перемещаемый профиль:
Локальный профиль: C:\Documents and Settings\test1
Подключение по медленному каналу?: Нет


Конфигурация компьютера
------------------------
CN=job1,OU=Desktops,OU=Resources,DC=edikt,DC=lg,DC=ua
Последнее применение групповой политики: 18.01.2007 at 15:48:45
Групповая политика была применена с: srv.edikt.lg.ua
Порог медленной связи групповой политики: 500 kbps

Примененные объекты групповой политики
---------------------------------------
firewall_desktop
WSUS_desktop
Default Domain Policy

Следующие политики GPO не были приняты, поскольку они отфильтрованы
--------------------------------------------------------------------
WSUS_decktop_test
Фильтрация: Отказано (безопасность)

Политика локальной группы
Фильтрация: Не применяется (пусто)

Компьютер является членом следующих групп безопасности:
-------------------------------------------------------
Администраторы
Все
Пользователи
СЕТЬ
Прошедшие проверку
JOB1$
Компьютеры домена


Конфигурация пользователя
--------------------------
CN=test1,OU=distrib,OU=Managers,OU=Accounts,DC=edikt,DC=lg,DC=ua
Последнее применение групповой политики: 18.01.2007 at 15:49:12
Групповая политика была применена с: srv.edikt.lg.ua
Порог медленной связи групповой политики: 500 kbps

Примененные объекты групповой политики
---------------------------------------
Managers_script
Papki
IE
Default Domain Policy

Следующие политики GPO не были приняты, поскольку они отфильтрованы
--------------------------------------------------------------------
Политика локальной группы
Фильтрация: Не применяется (пусто)

Пользователь является членом следующих групп безопасности:
----------------------------------------------------------
Пользователи домена
Все
Пользователи
ИНТЕРАКТИВНЫЕ
Прошедшие проверку
ЛОКАЛЬНЫЕ
Managers
distrib




Вопрос в том почему не установленный параметр политики IE перекрывает установленный в Default Domain Policy.

Есть несколъко соображений на этот счот:
1) Я сам точно не помню, но где именно настраивается пункт ИЕ? Если в настройках ГП компютера то учётные записи компютеров тоже надо ввести в данный ОУ.
2) Помимо этого надобно проверить опции ГП попробуй пометить No Override.

1. Что пишется в Системный журнал на клиенте?
2. Покажите установки Default Domain Policy и к кому она применяется
3. Проверьте применяется ли эта политика к вашему пользователю, т.е. попадает ли он в группу безопасности.