Diagnóstico da aplicação de Group Policy: gpresult, gpupdate e o módulo GroupPolicy

Objetivo

Descobrir quais Group Policy Objects (GPOs) foram realmente aplicados a um determinado computador ou usuário, forçar uma nova avaliação e proteger uma GPO existente com um backup antes de editá-la.

Pré-requisitos

Um prompt elevado (administrador local) no alvo, necessário para obter com gpresult os dados do escopo do computador e para qualquer consulta RSoP remota — sem elevação, o gpresult mostra apenas as configurações do usuário. Também são necessários o módulo GroupPolicy do PowerShell (RSAT), para Get-GPO/Backup-GPO/Get-GPResultantSetOfPolicy, e permissões de edição na GPO para fazer backup e restauração.

Passos

1. Gere um relatório HTML legível do Resultant Set of Policy (RSoP) do usuário e do computador atuais: gpresult /h report.html /f. O /f força a sobrescrita de um arquivo existente, para que o comando não peça confirmação em execuções sem supervisão. Use /r no lugar para obter, na saída padrão, um resumo rápido em texto das GPOs aplicadas.
2. Para um alvo remoto: gpresult /s SRV1 /user CONTOSO\jdoe /h report.html (só há dados do usuário se ele tiver feito logon no SRV1).
3. No PowerShell, o equivalente do módulo GroupPolicy é Get-GPResultantSetOfPolicy -Computer SRV1 -ReportType Html -Path C:\Temp\rsop.html (ou -User para um relatório do escopo do usuário). Um agente pode chamá-lo diretamente, sem precisar executar um shell externo; informe -Path como caminho completo.
4. Liste todas as GPOs do domínio (vinculadas ou não) e inspecione uma delas: Get-GPO -All | Select-Object DisplayName, GpoStatus, ModificationTime e depois Get-GPO -Name "Default Domain Policy".
5. Antes de editar uma GPO, faça backup dela: Backup-GPO -Name "Baseline Workstation Policy" -Path C:\GPOBackups (a pasta já precisa existir). O backup captura as configurações da GPO e a filtragem de segurança, e pode ser restaurado com Restore-GPO -Name "Baseline Workstation Policy" -Path C:\GPOBackups caso seja preciso desfazer a edição. Os vínculos com OUs/sites não fazem parte do backup e não são restaurados.
6. Depois de alterar uma GPO ou seus vínculos, force o alvo a reprocessar as políticas sem esperar o intervalo de atualização: gpupdate /force (acrescente /logoff ou /boot somente se as configurações em questão exigirem logoff ou reinicialização para entrar em vigor, como a instalação de software via GPO). Sem essas opções, o gpupdate pode parar em um prompt S/N perguntando se deve fazer logoff ou reiniciar; em execuções sem supervisão, responda explicitamente (echo n | gpupdate /force).

Resultado esperado

O report.html/rsop.html lista as GPOs que prevaleceram e as que foram superadas, com o motivo de cada caso (filtragem de segurança, filtro WMI, permissão negada). Depois do gpupdate /force, um novo relatório RSoP reflete as configurações pretendidas.

Limites e base de verificação

gpresult e gpupdate são comandos documentados do Windows; Get-GPResultantSetOfPolicy, Backup-GPO e Get-GPO, do módulo GroupPolicy, são cmdlets documentados. Os detalhes do processamento no lado do cliente (qual client-side extension aplicou qual configuração) ficam registrados no log de eventos operacional de Group Policy, e não apenas no relatório RSoP — consulte Microsoft-Windows-GroupPolicy/Operational para esse nível de detalhe. O gpupdate força o reprocessamento, mas não garante por si só a conectividade de rede com um controlador de domínio; um cliente que não consegue alcançar nenhum relata um erro de processamento e continua aplicando as últimas configurações em cache. Não é necessário reiniciar, a menos que uma área de política específica exija.