Bir GPO oluşturuyorsunuz, doğru OU'ya bağladığınızı düşünüyorsunuz, hatta gpupdate /force da sorunsuz tamamlanıyor. Ama beklediğiniz ayar kullanıcıya veya bilgisayara gelmiyor. Bu noktada GPO'yu silip yeniden oluşturmak yerine önce hangi ilkenin neden uygulanmadığını görmek daha hızlı.
En işe yarayan araçlardan biri Windows'un kendi gpresult komutu. Özellikle “Applied Group Policy Objects” ve “Denied GPOs” bölümleri önemli ipuçları veriyor.
İlk bakacağınız yer gpresult raporu
Sorun yaşayan makinede, uygun yetkiye sahip komut istemini açın:
gpresult /r
gpresult /h "%TEMP%gpo-raporu.html"İkinci komut kullanıcı profilinin geçici klasörüne HTML rapor kaydeder. Raporu tarayıcıda açıp hedef GPO'nun gerçekten listede bulunup bulunmadığına bakın.
GPO “Denied” bölümünde görünüyorsa güvenlik filtrelemesi, WMI filtresi veya kapsam nedeniyle uygulanmıyor olabilir. Hiç görünmüyorsa OU bağlantısını, inheritance durumunu ve etkilenen hesabın konumunu yeniden kontrol etmek gerekir.
Kullanıcı ayarı mı, bilgisayar ayarı mı?
Bazen sorun yalnızca hedeflemenin yanlış anlaşılmasından kaynaklanır. Computer Configuration altındaki bir ayarın kullanıcının OU'suna bağlanmış olması, ayarın kendiliğinden bilgisayara uygulanacağı anlamına gelmez.
Kullanıcı ve bilgisayar nesnesinin gerçekten hangi OU'da bulunduğunu doğrulayın. Birden fazla OU ve iç içe bağlantılar varsa inheritance ve enforced ayarlarını da okuyun. Loopback processing kullanılıyorsa kullanıcı ilkelerinin farklı şekilde işlenmesi mümkündür.
DNS ve SYSVOL tarafını unutmayın
İstemcinin yanlış DNS sunucusunu kullanması, etki alanı denetleyicisine erişememesi veya SYSVOL içeriğinin beklenen durumda olmaması da GPO uygulamasını etkileyebilir.
Salt-okunur başlangıç kontrolleri:
ipconfig /all
nltest /dsgetdc:ornek.localBuradaki ornek.local yerine kendi domain adınızı yazın. Domain Controller üzerinde ilgili GPO dosyalarının SYSVOL'de bulunduğunu ve AD replikasyonunun sağlıklı olduğunu ayrıca incelemek gerekebilir.
Event Viewer bazen rapordan daha açıklayıcıdır
Event Viewer → Applications and Services Logs → Microsoft → Windows → GroupPolicy → Operational yoluna gidin. Hata veya uyarının saatini bulup aynı işlem grubuna ait olayları takip edin.
Microsoft'un önerdiği yöntemlerden biri ActivityID üzerinden aynı GPO işleme oturumundaki olayları bir araya getirmek. Çünkü farklı giriş denemelerine ait mesajları karıştırırsanız yanlış sorunu inceleyebilirsiniz.
gpupdate /force her şeyi çözmez
GPO bağlantısı yanlışsa veya güvenlik filtresi hedef bilgisayarı kapsamıyorsa gpupdate /force komutunu defalarca çalıştırmak sonucu değiştirmez. Önce raporda neden uygulanmadığını çözün; sonra gerekirse politika yenilemeyi deneyin.
gpupdate /forceBu komut politika durumunu değiştirebilir ve bazı ayarlar oturum kapatmayı ya da yeniden başlatmayı gerektirebilir. Üretim bilgisayarlarında gelişigüzel çalıştırmamakta fayda var.
Kısa bir çalışma sırası
Pratik bir inceleme sırası şöyle olabilir: önce gpresult raporu, sonra bilgisayar ve kullanıcı OU'su, ardından security filtering ve WMI, son olarak GroupPolicy Operational log. Çoğu durumda sorun bu dört noktadan birinde ortaya çıkıyor. Daha karmaşık senaryolarda DNS, SYSVOL ve replikasyona geçmek gerekiyor.
Kaynak notu: Microsoft Learn, “Applying Group Policy troubleshooting guidance” ve gpresult komut belgeleri.
