اكتب «help» للحصول على تلميحات، و↑ لاسترجاع الأوامر.
منذ التصحيح الأمني MS16-072، يقرأ Windows سياسات GPO الخاصة بالمستخدم بحساب
الحاسوب. يبقى الترشيح حسب المجموعة ممكنًا (GG-Compta: Appliquer)، لكن يجب أن تظل
الحواسيب قادرة على قراءة الـ GPO. وبإزالة Utilisateurs authentifiés (التي تضم
حسابات الحواسيب)، ألغى رضا هذه القراءة: فيعرض gpresult «Denied (Security)».
المسارات الأخرى تستبعدها المخرجات: الرابط نشط (Get-GPInheritance)، وسناء فعلًا
في GG-Compta، وrepadmin لا يُظهر أي فشل في النسخ المتماثل.
تمّ حلّ الحادث
التحليل والإصلاح
الإصلاح: أعد صلاحية القراءة فقط إلى المستخدمين المصادَق عليهم (أو إلى Ordinateurs du domaine)، دون منحهم «Appliquer»:
Set-GPPermission -Name 'Compta - Lecteur Z' -TargetName 'Authenticated Users' -TargetType Group -PermissionLevel GpoRead
Invoke-GPUpdate -Computer PC-COMPTA-03 -Force
التحقق: يجب أن يعرض gpresult /s PC-COMPTA-03 /user ALAMAL\s.bennis /r الـ GPO ضمن «Applied
Group Policy Objects»، ثم تجد سناء Z: من جديد.
حتى لا يتكرر ذلك:
- قاعدة بسيطة: رشّح بـ «Appliquer» للمجموعة المقصودة، لكن اترك دائمًا صلاحية القراءة لـ Utilisateurs authentifiés أو Ordinateurs du domaine؛
- اختبر أي GPO معدَّلة على حاسوب تجريبي (
gpresult) قبل إبقائها؛ - احفظ نسخة من سياسات GPO قبل تعديلها (
Backup-GPO -All -Path …).