Estou executando um domínio do Windows Active Directory usando dois DCs de 2016. Tudo sobre o domínio e minhas políticas de GPO estão funcionando corretamente. No entanto, quando abro o Gerenciamento de Política de Grupo e, em seguida, seleciono um GPO vinculado em uma unidade organizacional e, em seguida, seleciono a guia Delegação, recebo uma caixa de diálogo modal 'Acesso negado'. Se eu selecionar um GPO no contêiner 'Objetos de Política de Grupo', recebo imediatamente uma caixa de diálogo modal 'Acesso negado'.
Não parece importar de que grupo faço parte (administradores, administradores de domínio, administradores corporativos) e revisei as permissões de políticas no SYSVOL e nada parece errado para mim. Até agora, isso é apenas um incômodo, mas estou me perguntando qual é a causa e como corrigi-la.
Também notei alguns outros detalhes:
- A parte Filtragem WMI na guia Escopo dos detalhes da política está faltando.
- Não há usuários listados na parte Filtragem de Segurança da guia Escopo para obter detalhes da política.
Eu faço login em um servidor membro ou no controlador de domínio e o gpmc funciona corretamente (nenhuma mensagem de acesso negado para delegação, a Filtragem WMI aparece, a Filtragem de Segurança tem seus usuários preenchidos)
Ativei o log de gerenciamento de política de grupo por meio de chaves de registro e comparei a saída do log de um sistema bom com um sistema ruim. Está muito claro que minha estação de trabalho está tendo acesso negado, mas não há uma razão clara para que isso aconteça.
Ruim:
[127c.2f4] 11/07/2023 09:32:33:087 [VERBOSE] CEffectivePermissionsTable::Load(): Loading from cn={xxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx},cn=policies,cn=system,DC=myname,DC=mydomain,DC=com.
[127c.2f4] 11/07/2023 09:32:33:106 [WARNING] CSecurityUtility::GetDSSecurityDescriptorDacl(): GetNamedSecurityInfo for LDAP://MyDC1.myname.mydomain.com/cn={xxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx},cn=policies,cn=system,DC=myname,DC=mydomain,DC=com failed with 0x80070005.
[127c.2f4] 11/07/2023 09:32:33:106 [WARNING] CGPOPermissionsTable::GetSecurityDescriptors(): GetDSSecurityDescriptorDacl failed with 0x80070005.
[127c.2f4] 11/07/2023 09:32:33:106 [WARNING] CEffectivePermissionsTable::Load(): GetSecurityDescriptors failed with 0x80070005.
[127c.2f4] 11/07/2023 09:32:33:106 [WARNING] CGPMSecurityInfo::Load(): Load failed with 0x80070005.
[127c.2f4] 11/07/2023 09:32:33:107 [VERBOSE] CGPMGPO::GetSecurityInfo(): Loading for GPO cn={xxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx},cn=policies,cn=system,DC=myname,DC=mydomain,DC=com
[127c.2f4] 11/07/2023 09:32:33:107 [WARNING] CGPMGPO::GetSecurityInfo(): Load failed with 0x80070005.
Bom:
[192c.528] 11/07/2023 03:57:42:427 [VERBOSE] CEffectivePermissionsTable::Load(): Loading from cn={xxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx},cn=policies,cn=system,DC=myname,DC=mydomain,DC=com.
[192c.528] 11/07/2023 03:57:42:443 [VERBOSE] CEffectivePermissionsTable::GetOrAddEntry: Entry already found for S-1-5-11
[192c.528] 11/07/2023 03:57:42:443 [VERBOSE] CGPMSecurityInfo::Load(): Dumping permissions table.
[192c.528] 11/07/2023 03:57:42:443 [VERBOSE] ==========BEGIN EFFECTIVE PERMISSIONS LIST DUMP==========
...dumps ACLS.....
Ao ver a mensagem de acesso negado nos logs, usei o ldp.exe vinculado como meu usuário na estação de trabalho e ele também é capaz de consultar e recuperar as ACLs sem problemas.
Além disso, Get-GPPermission da minha estação de trabalho também retorna um acesso negado, mas não em um servidor membro ou controlador de domínio.