Windows Server, AD и Роли

Групповые политики не применяются: команда gpupdate /force и диагностика

Обновлено: 27.08.2026 · Официальная документация ↗

Почему новые политики не доходят до компьютера?

Администратор создал новую групповую политику на контроллере домена (например, подключение сетевого диска, смену обоев или установку программы), но на рабочем месте сотрудника ничего не происходит даже после перезагрузки.

Симптомы сбоя применения GPO:

Настройки политики отсутствуют в реестре клиентского компьютера.
Команда gpupdate завершается ошибкой тайм-аута или отказа в доступе.
В журнале событий появляются ошибки Event ID 1058 или Event ID 1030 от источника GroupPolicy.
Клиентский ПК не может достучаться до сетевой папки \\домен\sysvol.

По умолчанию: Windows обновляет фоновые групповые политики каждые 90 минут (+ случайное смещение до 30 минут). Для моментального применения используется принудительный ключ /force.

Шаг 1. Принудительное обновление через gpupdate /force

На клиентском компьютере откройте Командную строку от имени администратора.
Выполните команду:

gpupdate /force

В выводе должно появиться две строчки: «Обновление политики пользователя успешно завершено» и «Обновление политики компьютера успешно завершено». Если система предложит выйти из сеанса (Logoff) или перезагрузиться (Reboot), нажмите Y.

Шаг 2. Формирование наглядного отчета через gpresult

Чтобы точно узнать, применилась ли конкретная политика, сгенерируйте удобный HTML-отчет:

# Создание детального HTML-отчета на диске C:
gpresult /h C:\gpreport.html

# Либо краткий вывод прямо в консоль:
gpresult /r

Откройте созданный файл C:\gpreport.html в браузере. В разделе Примененные объекты групповой политики (Applied GPOs) найдите имя вашей политики. Если она находится в блоке Отклоненные объекты (Denied GPOs), отчет покажет точную причину (например, WMI-фильтр или Безопасность: Отказано в доступе).

Шаг 3. Проверка доступности контроллера и каталога SYSVOL

Если gpupdate выдает ошибку, проверьте, доступна ли системная папка домена. Нажмите Win + R и введите путь к контроллеру: \\имя_домена\sysvol. Если папка не открывается, проверьте настройки DNS на сетевой карте клиента (там должен быть указан ТОЛЬКО IP-адрес вашего контроллера домена!).

💡 Практика специалистов: Главная причина проблем с GPO у новичков — указание публичного DNS (например, 8.8.8.8) вторым адресом в настройках сетевой карты ПК. Клиент периодически опрашивает Google вместо контроллера домена и теряет политики Active Directory.

Частые вопросы (FAQ)

В чем разница между gpupdate и gpupdate /force?

Обычный gpupdate применяет только те политики, которые изменились с момента прошлой проверки. Ключ /force принудительно перезаписывает абсолютно ВСЕ политики заново, даже если они не менялись.

Почему компьютерная политика применяется только после двух перезагрузок?

Некоторые политики (установка ПО через MSI, назначение скриптов запуска, перенаправление папок) требуют синхронного применения до входа пользователя, поэтому Windows применяет их только при следующей чистой перезагрузке.

Что означает статус 'Отклонено: Фильтрация безопасности' в отчете gpresult?

Это значит, что в настройках Scope политики на контроллере домена вашей учетной записи или компьютеру не выданы права 'Read' и 'Apply group policy' в списке безопасности.

Как удаленно обновить GPO на удаленном ПК с контроллера домена?

Используйте командлет PowerShell: Invoke-GPUpdate -Computer 'ИМЯ_ПК' -Force.