组策略强制更新失败

尊敬的客户，您好！

感谢您在Microsoft Community论坛发帖。

请问您是不是在域控上的组策略管理器里，右击某个容器，然后选择了“更新组策略”，然后得到了上面的报错信息？

如果是的话，请问您点击的这个容器里放置的是用户对象还是计算机对象？

访问被拒绝错误可能由于多种原因而发生，例如权限不足或网络连接问题。您可以尝试以下几个步骤来解决问题：

1.首先，您去确认下这2台计算机是否是开机运行的状态。

2.请检查同一个容器里的其他用户或者计算机是否可以正常更新组策略。

3.如果同一个容器里有很多用户或者计算机，止呕这2台机器不能更新组策略，请检查网络连接，确保这2台机器与域控制器的连接是正常的和稳定的。

4.如果这个容器里的所有机器（只有2台机器的话）出现这个问题，请验证您尝试更新的组策略对象 （GPO） 是否未损坏或损坏。可以使用组策略管理控制台 （GPMC） 检查 GPO 的状态。

5.如果您有多台域控，请尝试从另一台域控制器上运行远程组策略更新，以查看问题是否特定于您当前的计算机。
6.您可以使用管理员账号登录到这2台计算机上，手动运行gpupdate /force看是否可以成功更新组策略。或者是否出现任何报错信息。

希望上述的回复对您有帮助。

如有任何问题，欢迎您随时咨询我们。

Best Regards,
Daisy Zhou

您好，感谢您的回复。

我的确是右击某个OU，然后右键选择了“更新组策略”，然后得到了上面的报错信息。

我在这个OU里面放置了2台计算机， 放入了1个用户。

1、这2台计算机均正常开机，网络正常，ping主域和备域的IP地址均能ping通。 且DNS也设置正确，主DNS只想主域，备DNS指向备域。

2、我将其他OU里面可以正常执行组策略更新的计算机移动至这个测试OU里面，这台计算机也没问题。 那2台计算机还是显示拒绝访问

【成功的这台是winserver 失败的2台，一台是win10 一台是win11】

3、 网络没问题

4、 我将这个OU里面链接的所有组策略对象全部删除，仅保留了默认的组策略【Default Domain Policy】 再执行组策略更新，仍然提示更新失败。

5、使用备域执行组策略更新，结果同样是拒绝访问。

6、使用Adminitrators组中的账号登录到2台客户端计算机， 执行gpupdate /force 均显示策略更新成功完成

2台拒绝访问的计算机均全部关闭了防火墙。

以上的测试结果。

尊敬的客户，您好！

感谢您的回复。

1.请问您在域控上可以远程到这2台客户端上吗？或者可以远程登录到这2台客户端吗？

2.成功的这台是winserver 失败的2台，一台是win10 一台是win11】
请检查服务器和2台客户端的区别，例如他们在同一个站点吗？他们的网段一样吗？

他们使用的是同一个域控吗？

3.检查组策略的应用范围。

Security filter和WMI filtering.

读取和应用GPO的权限，两个权限都要有。

4.检查这个OU里，管理员对这个计算机账号的权限。

检查同一个OU里，成功的机器和失败的机器，管理员账号对机器的权限是否一样。

检查View effective access的权限。

Best Regards,
Daisy Zhou

尊敬的Daisy，您好！

感谢您的回复。

我今天进一步测试：

1、右键点击OU，再点击组策略更新， 结果显示拒绝访问。

2、我测试了组策略下发情况，既有用户配置相关策略（统一桌面），也有计算机配置相关策略（执行启动脚本）。

这个OU中的计算机及用户，均能正常按组策略工作， （终端计算机的用户桌面是组策略的桌面，也执行了开机脚本）

远程登录，您是指使用MSTSC远程桌面连接吗？

当我开启两台终端的远程桌面连接后， 可以在域控上使用MSTSC远程登录到这两台计算机上。

在OU里面，点计算机右键，管理，可以正常显示：

检查权限无问题：

权限没有看出来有何异常。 毕竟终端策略是正常执行的。

所以，这个到底是啥问题呢？？

尊敬的客户，您好！

上面提到第4点的权限不是指的“读取和应用组策略”的权限。是下面查询的有效的权限。

4.检查这个OU里，管理员对这个计算机账号的权限。

检查同一个OU里，成功的机器和失败的机器，管理员账号对机器的权限是否一样。

右击成功的机器，然后安全标签，高级按钮，然后“有效访问”标签，输入您使用的管理员的账号（就是点击组策略更新的域控上登录的账号）。

检查View effective access的权限。

右击失败的机器，然后安全标签，高级按钮，然后“有效访问”标签，输入您使用的管理员的账号（就是点击组策略更新的域控上登录的账号）。
检查View effective access的权限。

两者的权限对比一下。

因为同一个OU里的机器，有些可以更新，有些不能更新，那可能就是对不同的机器的权限不一样。

如果对可以更新和不能更新的机器上的权限是一样的，那就可能是域控对机器的访问的限制，例如网络方面的，防火墙的设置，网络发现和文件共享等等，这些检查一下。

Best Regards,
Daisy Zhou