כיצד לאפס את הגדרות המדיניות הקבוצתית ב- Windows

אובייקט מדיניות קבוצתית (GPO) הוא כלי שימושי לכוונון עדין של המשתמש וסביבת מערכת ההפעלה ב- Windows. ניתן להחיל הן GPO של תחומים (אם המחשב חבר בתחום של Active Directory) והן פריטי מדיניות קבוצתיים מקומיים (הגדרות אלה מוגדרות באופן מקומי במחשב) על המחשב ועל המשתמשים. בשל תצורה שגויה של כמה הגדרות GPO (הקשורים לרוב אבטחה), ייתכן שתיתקל בבעיות שונות עם הפעלת יישומים או כלים, שגיאות במערכת ההפעלה (עד חוסר האפשרות של כניסה ל- Windows באופן מקומי) וכו '. אם אינך יודע איזו הגדרת GPO גורמת לבעיה, באפשרותך לאפס את הגדרות המדיניות הקבוצתית של Windows לברירות מחדל.

כיצד לאפס אפשרויות ספציפיות של מדיניות קבוצתית מקומית באמצעות Gpedit.msc

מסוף עורך המדיניות הקבוצתית המקומית הגרפי (

gpedit.msc

) משמש לקביעת תצורה של הגדרות GPO במחשב המקומי. קונסולה זו זמינה רק במהדורות Pro, Enterprise ו- Education של Windows 10 ו- 11.

תשר. באפשרותך גם להתקין את מסוף gpedit.msc במהדורות Windows Home.

פתח את הלחצן

gpedit.msc

יישום Snap-in של MMC ונווט אל המקטע All Settings (Local Computer Policy -> Computer Configuration - > Administrative Templates). סעיף זה מכיל את כל האפשרויות הזמינות עבור תצורה בתבניות GPO ניהוליות (admx) המותקנות במחשב. מיין מדיניות לפי העמודה מצב כדי למצוא את כל ההגדרות שתצורתן נקבעה (עם מצב לא זמין או זמין).

כדי להפוך את פרמטר המדיניות הקבוצתית הספציפי ללא זמין, עליך לשנות את מצבו ללא תצורה.

באפשרותך לגבות את הגדרות GPO המקומיות הנוכחיות שלך באמצעות הכלי LGPO.exe.
ניתן להשתמש בפקודה GPResult ליצירת דוח HTML המכיל רשימה של כל הגדרות המדיניות המקומית והתחום שהוחלו במחשב:
```
gpresult /h c:\PS\GPRreport.html
```

באותו אופן, באפשרותך לאפס את ההגדרות בקטע תצורת משתמש של עורך GPO המקומי.

זוהי הדרך הקלה ביותר לחפש ולבטל הגדרות מדיניות קבוצתית מקומית שהוחלו ב- Windows

עם זאת, הגדרות GPO שגויות של מדיניות קבוצתית עלולות למנוע את הפעלת יישום ה- Snap-in gpedit.msc (או תוכניות וכלים אחרים), למנוע ממך להיכנס למחשב באופן מקומי, לבטל את הרשאות מנהל המערכת המקומי שלך וכן הלאה. במקרים כאלה, יהיה עליך לאפס את כל הגדרות ה- GPO בקבצים המקומיים במחשב.

איפוס כל הגדרות המדיניות הקבוצתית לברירת המחדל ב- Windows עם CMD

Windows מאחסן הגדרות מדיניות קבוצתית מקומיות בקבצים Registry.pol. הגדרות המדיניות עבור המשתמש והמחשב מאוחסנות בקבצי POL נפרדים.

הגדרות המחשב (המקטע 'תצורת מחשב') מאוחסנות ב-
```
%SystemRoot%\System32\GroupPolicy\Machine\registry.pol
```
הגדרות המשתמש (המקטע תצורת משתמש) מאוחסנות ב-
```
%SystemRoot%\System32\GroupPolicy\User\registry.pol
```

אם תפעיל אפשרויות מסוימות ב- GPO מקומי ממסוף gpedit.msc, כל השינויים שתבצע יישמרו בקבצים Registry.pol. ההגדרות החדשות מיובאות לרישום ומוחלות על המחשב בעת עדכון הגדרות המדיניות הקבוצתית (באמצעות

gpupdate /force

פקודה או לפי תזמון).

בעת הפעלת המחשב, הגדרות הרישום מיובאות מהסמל
```
\Machine\Registry.pol
```
קובץ לתוך
```
HKEY_LOCAL_MACHINE
```
(HKLM) כוורת;
הגדרות המשתמש מיובאות מ-
```
\User\Registry.pol
```
קובץ לתוך
```
 HKEY_CURRENT_USER
```
(HKCU) כוורת רישום כאשר המשתמש נכנס ל- Windows.

לכן, כדי להסיר את הגדרות המדיניות הקבוצתית המקומיות הנוכחיות, עליך למחוק את הקבצים Registry.pol בתיקיות GroupPolicy ו- GroupPolicyUsers. באפשרותך למחוק קבצי Registry.pol ולאפס את הגדרות GPO הנוכחיות משורת הפקודה:

RD /S /Q "%WinDir%\System32\GroupPolicyUsers"
RD /S /Q "%WinDir%\System32\GroupPolicy"

עדכן את ההגדרות במדיניות הקבוצתית כדי לאפס את ההגדרות הישנות ברישום:

gpupdate /force

פקודות אלה יאפסו את כל הגדרות המדיניות הקבוצתית המקומית במקטעים תצורת מחשב ותצורת משתמש.

פתח את הלחצן

gpedit.msc

הקונסולה וודא שכל פריטי המדיניות מוגדרים כ'לא מוגדר'. לאחר הפעלת מסוף gpedit.msc, הסמל

GroupPolicyUsers

GroupPolicy

ספריות ייווצרו מחדש באופן אוטומטי.

איפוס הגדרות מדיניות אבטחה מקומית לברירת המחדל ב- Windows

מדיניות אבטחה מקומית מוגדרת באופן נפרד

secpol.msc

קונסולת MMC. אם ברצונך לאפס הגדרות מדיניות אבטחה מקומיות של Windows לברירות מחדל, הפעל את הפקודה:

secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose

%windir%\inf\defltbase.inf

קובץ הוא תבנית המכילה את הגדרות האבטחה המקומיות המוגדרות כברירת מחדל עבור Windows.

הפעל מחדש את המחשב.

פעולה זו אמורה לאפס את הגדרות האבטחה של Windows המאוחסנות תחת

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

מפתח רישום.

הגדרות UAC מאוחסנות גם במפתח רישום זה.

נסה לשנות באופן ידני את שם קובץ נקודות הביקורת של בסיס מדיניות האבטחה המקומית אם השיטה הקודמת לא פעלה:

ren %windir%\security\database\edb.chk edb_old.chk

עדכון הגדרות מדיניות קבוצתית:

gpupdate /force

הפעל מחדש את Windows באמצעות פקודת הכיבוי:

Shutdown -f -r -t 0

כיצד לאפס הגדרות GPO מקומיות אם אינך מצליח להיכנס ל- Windows

אם אין באפשרותך להיכנס ל- Windows באופן מקומי, או אם אינך מצליח לפתוח את שורת הפקודה (לדוגמה, אם יישומים נחסמים על-ידי AppLocker או מדיניות הגבלת תוכנה), באפשרותך למחוק את הקבצים Registry.pol על-ידי אתחול ממדיית התקנה של Windows (כונן הבזק מסוג USB הניתן לאתחול), מכל תקליטור LiveCD או באמצעות סביבת שחזור החלון (WinRE).

אתחל את המחשב מכל מדיית התקנה של Windows ופתח את שורת הפקודה (
```
Shift+F10
```
);
הפעל את הפקודה:
```
diskpart
```
לאחר מכן הצג את רשימת אמצעי האחסון במחשב:
```
list volume
```
במקרה זה, אות הכונן C:\ מוקצית לכונן המערכת. אות הכונן עשויה להיות שונה במקרה שלך. מסיבה זו, יש להפעיל את הפקודות הבאות בהקשר של כונן המערכת שלך (לדוגמה, D:\ או C:\);
סגור diskpart:
```
exit
```

הפעל את הפקודות הבאות:

RD /S /Q C:\Windows\System32\GroupPolicy
RD /S /Q C:\Windows\System32\GroupPolicyUsers

הפעל מחדש את המחשב וודא שכל הגדרות המדיניות הקבוצתית המקומית מאופסות למצב ברירת המחדל שלהן.

ניקוי הגדרות מדיניות קבוצתית שהוחלו על תחום ב- Windows

אם המחשב הוא חלק מתחום Active Directory, ניתן לקבוע את תצורת ההגדרות שלו באמצעות GPO של תחום.

קבצי registry.pol של כל GPO התחומים שהוחלו מאוחסנים במטמון ב- %windir%\System32\GroupPolicy\DataStore\0\SysVol\contoso.com\Policies. כל מדיניות מאחסנת את הקבצים שלה בספריה נפרדת עם שם הכולל את ה- GUID של מדיניות התחום.

בעת הסרת מחשב מתחום, קבצי registry.pol של המדיניות הקבוצתית של התחום אמורים להימחק באופן אוטומטי מהמחשב. לפעמים קורה שמחשב עזב את התחום, אך הגדרות GPO של התחום עדיין חלות עליו.

במקרה זה, עליך לנקות את מטמון המדיניות הקבוצתית של התחום במחשב. באפשרותך להשתמש בסקריפט BAT הבא:

DEL /S /F /Q “%ALLUSERSPROFILE%\Microsoft\Group Policy\History\*.*”
REG DELETE HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy /f
REG DELETE HKLM\Software\Policies\Microsoft /f
REG DELETE HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies /f
REG DELETE HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies /f
REG DELETE HKCU\Software\Policies\Microsoft /f
REG DELETE "HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects" /f
DEL /F /Q C:\WINDOWS\security\Database\secedit.sdb
klist purge
gpupdate /force
exit

כמו כן, שים לב כי

C:\ProgramData\Microsoft\Group Policy\History

מכילה את הגדרות העדפות המדיניות הקבוצתית שהוחלו על המחשב.

אם בדקת את האפשרות הסר פריט זה אם הוא אינו מוחל עוד באפשרויות הפריט העדפות GP, מטמון GPO בתיקיה זו יאפשר לך לחזור למצב הקודם לאחר השבתת המדיניות.

כיצד לשחזר מדיניות קבוצתית של תחום המהווה ברירת מחדל

קיימים שני GPO המוגדרים כברירת מחדל עם מזהי GUID ידועים בתחום:

מדיניות תחום ברירת מחדל
```
{31B2F340-016D-11D2-945F-00C04FB984F9}
```
מדיניות ברירת מחדל של בקר תחום
```
{6AC1786C-016F-11D2-945F-00C04FB984F9}
```

בהתאם להנחיות של Microsoft, אין לערוך GPO אלה. מומלץ ליצור עותק של פריטי מדיניות אלה במסוף ניהול המדיניות הקבוצתית (

gpmc.msc

) ולשנות את ההגדרות כנדרש.

השתמש בכלי dcgpofix.exe המובנה כדי לשחזר GPO אלה להגדרות ברירת המחדל שלהם.

פתח שורת פקודה עם הרשאות מלאות ב-DC והפעל את הפקודה:

dcgpofix /target:Domain

- אפס את ה-GPO של דומיין ברירת המחדל

dcgpofix /target:DC

- אפס את ה- GPO של בקר תחום ברירת המחדל

לחלופין, אפס את שני GPO המוגדרים כברירת מחדל בבת אחת:

dcgpofix /target:both

עלולה להופיע שגיאה:

The Active Directory schema version for this domain and the version supported by this tool do not match. The GPO can be restored using the /ignoreschema command-line parameter. However, it is recommended that you try to obtain an updated version of this tool that might have an updated version of the Active Directory schema. Restoring a GPO with an incorrect schema might result in unpredictable behavior.

במקרה זה, עליך להוסיף את האפשרות /ignoreschema כדי לכפות איפוס של GPO ברירת המחדל:

dcgpofix /ignoreschema /target:Domain

טיפ. השיטות המתוארות לעיל מאפשרות לך לאפס הגדרות מדיניות קבוצתית בכל הגירסאות של Windows. כל ההגדרות שבוצעו באמצעות עורך המדיניות הקבוצתית יאופסו. עם זאת, שינויים המתבצעים ישירות ברישום באמצעות regedit.exe, קבצי REG, PowerShell או GPP של רישום תחום אינם מאופסים.