Восстановление состояния объектов групповой политики по умолчанию
Случается, возникает необходимость восстановить исходное состояние политик для домена и для контроллеров домена (например, настроить все заново проще, чем перестроить после предыдущего системного администратора; либо возникают ошибки при применении GPO, а RSoP не выявляет ошибочно настроенную политику). Для этого существует программа dcgpofix.
При ее запуске, будут утеряны все изменения объектов групповой политики Default Domain Policy и Default Domain Controllers Policy (даже в том случае, если они были переименованы). Отдельно восстановить политики по умолчанию для домена или для контроллеров домена можно, используя ключ /target с указанием параметра dc или domain. Для использования dcgpofix в среде с различными версиями Active Directory, следует использовать ключ /ignoreschema.
Перейдем к примерам. Восстановим исходное состояние политики контроллеров домена в среде с разными версиями AD:
Microsoft(R) Windows(R) Operating System Default Group Policy
Restore Utility v5.1
Copyright (C) Microsoft Corporation. 1981-2003
Description: Recreates the Default Group Policy Objects (GPOs)
for a domain
Syntax: DcGPOFix [/ignoreschema] [/Target: Domain | DC | BOTH]
This utility can restore either or both the Default Domain Policy or the
Default Domain Controllers Policy to the state that exists immediately
after a clean install. You must be a domain administrator to perform
this operation.
WARNING: YOU WILL LOSE ANY CHANGES YOU HAVE MADE TO
THESE GPOs. THIS UTILITY IS INTENDED ONLY FOR DISASTER
RECOVERY PURPOSES.
You are about to restore Default Domain controller policy for the
following domain lab.local
Do you want to continue: <Y/N>? y
WARNING: This operation will replace all 'User Rights Assignments' made
in the chosen GPOs. This may render some server applications to fail.
Do you want to continue: <Y/N>? y
The Default Domain Controller Policy was restored successfully
Note: Only the contents of the Default Domain Controller Policy was
restored. Group Policy links to this Group Policy Object were not altered.
By default, The Default Domain Controller Policy is linked to the Domain
Controllers OU.
Результат выполнения команды можно увидеть, запустив редактор объектов групповых политик и проверив «дефолтность» Default Domain Controllers Policy.