Поиск по сайту:

Как сбросить настройки групповой политики в Windows

Объект групповой политики (GPO) — это удобный инструмент для тонкой настройки пользователя и среды операционной системы в Windows. К компьютеру и пользователям можно применять как доменные объекты групповой политики (если компьютер является членом домена Active Directory), так и локальные групповые политики (эти параметры настраиваются локально на компьютере). Из-за неправильной настройки некоторых параметров GPO (чаще всего связанных с безопасностью) у вас могут возникнуть различные проблемы с запуском приложений или инструментов, ошибки операционной системы (вплоть до невозможности локального входа в Windows) и т. д. Если вы этого не сделаете Чтобы узнать, какой параметр объекта групповой политики вызывает проблему, вы можете сбросить настройки групповой политики Windows до значений по умолчанию.

Как сбросить определенные параметры локальной групповой политики с помощью Gpedit.msc

Графическая консоль редактора локальной групповой политики (

gpedit.msc

) используется для настройки параметров объекта групповой политики на локальном компьютере. Эта консоль доступна только в выпусках Windows 10 и 11 Pro, Enterprise и Education.

Совет. Консоль gpedit.msc также можно установить в выпусках Windows Home.

Откройте

gpedit.msc

Оснастку MMC и перейдите в раздел Все настройки (Политика локального компьютера -> Конфигурация компьютера -> Административные шаблоны). В этом разделе собраны все параметры, доступные для настройки в административных (admx) шаблонах объектов групповой политики, установленных на компьютере. Отсортируйте политики по столбцу «Состояние», чтобы найти все настроенные параметры (с состоянием Отключено или Включено ).

Чтобы отключить определенный параметр групповой политики, необходимо изменить его состояние на Не настроено.

  • Вы можете создать резервную копию текущих настроек локального объекта групповой политики с помощью инструмента LGPO.exe.

  • Команду GPResult можно использовать для создания отчета HTML, содержащего список всех примененных настроек локальной и доменной политики на компьютере:

    gpresult /h c:\PS\GPRreport.html

Таким же образом вы можете сбросить настройки в разделе Конфигурация пользователя редактора локальных объектов групповой политики.

Это самый простой способ найти и отменить примененные параметры локальной групповой политики в Windows.

Однако неправильные настройки объекта групповой политики могут помешать запуску оснастки gpedit.msc (или других программ и инструментов), могут помешать вам войти в систему локально, могут отозвать ваши разрешения локального администратора и т. д. В таких случаях вам потребуется сбросить все настройки объекта групповой политики в локальных файлах на компьютере.

Сброс всех настроек групповой политики по умолчанию в Windows с помощью CMD

Windows хранит параметры локальной групповой политики в файлах Registry.pol. Параметры политики для пользователя и компьютера хранятся в отдельных файлах POL.

  • Настройки компьютера (раздел «Конфигурация компьютера») хранятся в

    %SystemRoot%\System32\GroupPolicy\Machine\registry.pol

  • Настройки пользователя (Раздел «Конфигурация пользователя») хранятся в

    %SystemRoot%\System32\GroupPolicy\User\registry.pol

Если вы включите определенные параметры в локальном объекте групповой политики из консоли gpedit.msc, любые внесенные вами изменения будут сохранены в файлах Registry.pol. Новые параметры импортируются в реестр и применяются к компьютеру при обновлении параметров групповой политики (с помощью

gpupdate /force

команде или по расписанию).

  • При запуске компьютера параметры реестра импортируются из

    \Machine\Registry.pol

    файл в

    HKEY_LOCAL_MACHINE

    (HKLM) улей;

  • Пользовательские настройки импортируются из

    \User\Registry.pol

    файл в

     HKEY_CURRENT_USER

    (HKCU) куст реестра, когда пользователь входит в систему Windows.

Таким образом, чтобы удалить текущие параметры локальной групповой политики, необходимо удалить файлы Registry.pol в папках GroupPolicy и GroupPolicyUsers. Вы можете удалить файлы Registry.pol и сбросить текущие настройки объекта групповой политики из командной строки:

RD /S /Q "%WinDir%\System32\GroupPolicyUsers"
RD /S /Q "%WinDir%\System32\GroupPolicy"

Обновите настройки групповой политики, чтобы сбросить старые настройки реестра:

gpupdate /force

Эти команды сбросят все параметры локальной групповой политики в разделах «Конфигурация компьютера» и «Конфигурация пользователя».

Откройте

gpedit.msc

консоли и убедитесь, что для всех политик установлено значение «Не настроено». После запуска консоли gpedit.msc

GroupPolicyUsers

и

GroupPolicy

каталоги будут автоматически созданы заново.

Сброс настроек локальной политики безопасности по умолчанию в Windows

Локальные политики безопасности настраиваются в отдельном

secpol.msc

Консоль ММС. Если вы хотите сбросить настройки локальной политики безопасности Windows до значений по умолчанию, выполните команду:

secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose

Этот

%windir%\inf\defltbase.inf

Файл представляет собой шаблон, содержащий настройки локальной безопасности по умолчанию для Windows.

Перезагрузите компьютер.

Это должно сбросить настройки безопасности Windows, которые хранятся в папке

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

ключ реестра.

Настройки UAC также хранятся в этом разделе реестра.

Попробуйте вручную переименовать файл базовой контрольной точки локальной политики безопасности, если предыдущий метод не сработал:

ren %windir%\security\database\edb.chk edb_old.chk

Обновите настройки групповой политики:

gpupdate /force

Перезагрузите Windows с помощью команды завершения работы:

Shutdown -f -r -t 0

Как сбросить настройки локального объекта групповой политики, если вы не можете войти в систему Windows

Если вы не можете войти в Windows локально или не можете открыть командную строку (например, если приложения заблокированы политикой AppLocker или Software Restriction), вы можете удалить файлы Registry.pol, загрузившись из Windows. установочный носитель (загрузочный USB-накопитель), с любого LiveCD или с помощью среды восстановления Windows (WinRE).

  1. Загрузите компьютер с любого установочного носителя Windows и откройте командную строку (

    Shift+F10

    );

  2. Запустите команду:

    diskpart

  3. Затем отобразите список томов на компьютере:

    list volume

    В этом случае системному диску присваивается буква C:\. В вашем случае буква диска может быть другой. По этой причине следующие команды необходимо выполнять в контексте вашего системного диска (например, D:\ или C:\);

  4. Закрыть часть диска:

    exit

  5. Выполните следующие команды:

    RD /S /Q C:\Windows\System32\GroupPolicy
RD /S /Q C:\Windows\System32\GroupPolicyUsers

  6. Перезагрузите компьютер и убедитесь, что все параметры локальной групповой политики сброшены в состояние по умолчанию.

Очистить настройки доменной групповой политики в Windows

Если компьютер является частью домена Active Directory, его параметры можно настроить с помощью объектов групповой политики домена.

Файлы реестра.pol всех примененных объектов групповой политики домена кэшируются в папке %windir%\System32\GroupPolicy\DataStore\0\SysVol\contoso.com\Policies. Каждая политика хранит свои файлы в отдельном каталоге с именем, включающим GUID политики домена.

При удалении компьютера из домена файлы реестра.pol групповых политик домена должны автоматически удаляться с компьютера. Иногда случается, что компьютер вышел из домена, но к нему по-прежнему применяются настройки GPO домена.

В этом случае вам следует очистить кэш групповой политики домена на компьютере. Вы можете использовать следующий BAT-скрипт:

DEL /S /F /Q “%ALLUSERSPROFILE%\Microsoft\Group Policy\History\*.*”
REG DELETE HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy /f
REG DELETE HKLM\Software\Policies\Microsoft /f
REG DELETE HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies /f
REG DELETE HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies /f
REG DELETE HKCU\Software\Policies\Microsoft /f
REG DELETE "HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects" /f
DEL /F /Q C:\WINDOWS\security\Database\secedit.sdb
klist purge
gpupdate /force
exit

Также обратите внимание, что

C:\ProgramData\Microsoft\Group Policy\History

папка содержит параметры предпочтений групповой политики, которые были применены к компьютеру.

Если вы отметили параметр Удалить этот элемент, если он больше не применяется в параметрах элемента настроек GP, то кэш объекта групповой политики в этой папке позволит вам вернуться к предыдущему состоянию после отключения политики.

Как восстановить групповые политики домена по умолчанию

В домене есть два объекта групповой политики по умолчанию с известными GUID:

  • Политика домена по умолчанию

    {31B2F340-016D-11D2-945F-00C04FB984F9}

  • Политика контроллера домена по умолчанию

    {6AC1786C-016F-11D2-945F-00C04FB984F9}

Согласно рекомендациям Microsoft, эти объекты групповой политики не следует редактировать. Рекомендуется создать копию этих политик в консоли управления групповыми политиками (

gpmc.msc

) и измените настройки по мере необходимости.

Используйте встроенный инструмент dcgpofix.exe, чтобы восстановить для этих объектов групповой политики настройки по умолчанию.

Откройте командную строку с повышенными правами на контроллере домена и выполните команду:

dcgpofix /target:Domain

- сбросить объект групповой политики домена по умолчанию

dcgpofix /target:DC

- сбросить объект групповой политики контроллера домена по умолчанию

Или сбросьте оба объекта групповой политики по умолчанию одновременно:

dcgpofix /target:both

Может появиться ошибка:

The Active Directory schema version for this domain and the version supported by this tool do not match. The GPO can be restored using the /ignoreschema command-line parameter. However, it is recommended that you try to obtain an updated version of this tool that might have an updated version of the Active Directory schema. Restoring a GPO with an incorrect schema might result in unpredictable behavior.

В этом случае необходимо добавить параметр /ignoreschema, чтобы принудительно сбросить объекты групповой политики по умолчанию:

dcgpofix /ignoreschema /target:Domain

Совет. Описанные выше методы позволяют сбросить настройки групповой политики во всех версиях Windows. Все настройки, выполненные с помощью редактора групповой политики, будут сброшены. Однако изменения, внесенные непосредственно в реестр с помощью regedit.exe, файлов REG, PowerShell или GPP реестра домена, не сбрасываются.

Статьи по данной тематике