Descobri que quando faço um GPreult /h e dou uma olhada no relatório gerado, vejo que um "Nome do componente" na seção "Status do componente" tem um GUID em vez de uma descrição. Uma captura de tela disso está abaixo:
Alguém pode me dizer como determinar o que é isso? Atualmente, não parece estar causando nenhum problema, mas não parece que deveria estar fazendo isso e, em vez disso, deve me mostrar um nome de componente não GUID.
Eu não acho que o GUID é o de um GPO, e sim o GUID de um componente GP. Também não sei como determinar qual GPO está causando isso no GPResult.
EDIT: Resultado dos dados RSOP, sem erros na configuração do usuário, que é onde isso aparece:
EDITAR:
O problema não é um GPO defeituoso, como presumi, mas um bug no Windows 10 1703 / RemoteApp. Se você/seus usuários não tiverem direitos de administrador local, a política falhará porque eles não podem ler as permissões do registro. Suas configurações se aplicam corretamente, então isso não é problema para você, mas um bug de exibição. O GUID mostrado incorretamente parece fazer parte disso. KB4048954 corrige o problema em si.
Você pode pesquisar GPOs no console de gerenciamento GP usando a opção de pesquisa. Lá, você pode filtrar por GUID etc.Normalmente, um GPO que mostra seu GUID é um objeto excluído ou inacessível, devido a uma entrada de arquivo/registro ausente ou permissões erradas.Verifique também o RSOP e os logs de eventos do servidor. Eu sempre conseguia descobrir qual GPO estava causando os erros e caçar o culpado (o culpado era outro administrador de sistema, ou alguém se intrometendo com permissões ou até mesmo uma replicação de sysvol DFS quebrada).