Команда GPResult: диагностика результирующих групповых политик
15.11.2022
itpro
Active Directory, Windows 10, Windows Server 2019, Групповые политики
комментария 23
Утилита командной строки GPResult.exe используется для получения результирующего набора групповых политик (Resultant Set of Policy, RSOP), которые применяются к пользователю и/или компьютеру в домене Active Directory. Gpresult позволяет вывести список доменных политик (GPO), которые применяются на компьютер и пользователя, настройки политик и ошибки обработки. Это наиболее часто используемый инструмент администратора для анализа настроек и диагностики групповых политик в Windows.
В этой статье мы рассмотрим, как использовать команду GPResult для диагностики и анализа настроек групповых политик, применяющихся к Windows в домене Active Directory.
Использование команды GPResult в Windows
Команда GPResult выполняется на компьютере, на котором нужно проверить применение групповых политик. Синтаксис GPResult:
GPRESULT [/S <система> [/U <пользователь> [/P <пароль>]]] [/SCOPE <область>] [/USER <имя_конечного_пользователя>] [/R | /V | /Z] [(/X | /H) <имя_файла> [/F]]
Чтобы получить подробную информацию о групповых политиках, которые применяются к данном объекту AD (пользователю и компьютеру), и других параметрах, относящихся к инфраструктуре GPO (т.е. результирующие настройки политик GPO – RsoP), выполните команду:
Результаты выполнения команды разделены на 2 секции:
- COMPUTERSETTINGS(Конфигурация компьютера)– раздел содержит информацию об объектах GPO, действующих на компьютер в Active Directory;
- USERSETTINGS – раздел с политиками пользователя (политики, действующие на учетную запись пользователя в AD).
Вкратце пробежимся по основным параметрам/разделам, которые нас могут заинтересовать в выводе GPResult:
В нашем примере видно, что на объект пользователя действуют 4 групповые доменные политики.
- Default Domain Policy;
- Enable Windows Firewall;
- DNS Suffix Search List; .
Также в отчете будет информацию о локальных параметрах политик, настроенных через локальный редактор GPO (gpedit.msc).
С помощью опции /scope можно вывести только политики пользователя или компьютера:
gpresult /r /scope:user
или только примененные политики компьютера:
gpresult /r /scope:computer
gpresult /r /scope:computer
Для удобства анализа данных RSOP, вы можете перенаправить результаты Gpresult в буфер обмена:
Gpresult /r |clip
или текстовый файл:
Gpresult /r > c:\gpresult.txt
Чтобы вывести сверхподробную информацию RSOP, нужно добавить ключ /z.
Например, на скриншоте показаны настройки политики паролей в домене, которые применяются к компьютеру.
GPResult: экспорт данных RSOP в HTML отчет
Утилита GPResult позволяет сгенерировать HTML-отчет по примененным результирующим политикам (доступно в Windows 7 и выше). Такой отчет содержит подробную информацию обо всех параметрах Windows, которые задаются групповыми политиками и именами GPO, которые внесли изменения. Этот отчет по структуре напоминает вкладку Settings в консоли управления доменными групповыми политиками ( gpmc.msc ). Сгенерировать HTML отчет GPResult можно с помощью команды:
GPResult /h c:\gp-report\report.html /f
Чтобы сгенерировать отчет и автоматически открыть его в браузере, выполните команду:
GPResult /h GPResult.html & GPResult.html
В HTML отчете gpresult содержится довольно много полезной информации: видны ошибки применения GPO, время применения конкретных политик (в мс.) и CSE (в разделе Computer Details -> Component Status). Это удобно, когда нужно понять почему групповые политики (GPP/GPO) применяются на компьютере слишком долго.
Например, на скриншоте выше видно, что политика Enforce password history с настройками 24 passwords remember применена политикой Default Domain Policy (столбец Winning GPO).
HTML отчет позволяет представить результирующий набор GPO компьютера в удобном графическом виде.
Получение отчета по политикам GPResult с удаленного компьютера
GPResult может получить информацию о результирующих политик с удаленного компьютера.
GPResult /s wks22123 /r /user a.ivanov
В команде gpresult можно указать имя и пароль для подключения к удаленному компьютеру:
gpresult /R /S wks22123 /scope user /U winitpro\kbuldogov /P [email protected]$$worrd
Если вы не хотите, чтобы ваш пароль сохранялся в истории команд PowerShell, можно запросить пароль интерактивно:
gpresult /R /S wks22123 /scope user /U winitpro\kbuldogov /P
Аналогичным образом вы можете удаленно собрать данные как по пользовательским политикам, так и по политиками компьютера.
Если вы не знаете имя пользователя, под которым выполнен вход, можно узнать учетную запись на удаленном компьютере так:
Get-GPResultantSetOfPolicy -user kbuldogov -computer corp\pc0200 -reporttype html -path c:\ps\gp_rsop_report.html
Пользователь не имеет данных RSOP
Если на компьютере включен UAC, то GPResult без повышенных привилегий выведет только параметры пользовательского раздела групповых политик. Если нужно одновременно отобразить оба раздела (USER SETTINGS и COMPUTER SETTINGS), открыть командную строку с правами администратора. Е
сли командная строка с повышенными привилегиями запущена от имени учетной записи отличной от текущего пользователя системы, утилита выдаст предупреждение INFO: The user “domain\user” does not have RSOP data (Пользователь «domain\user» не имеет данных RSOP). Это происходит потому, что GPResult пытается собрать информацию для пользователя, ее запустившего, но т.к. данный пользователь не выполнил вход (logon) в систему, информация RSOP для него отсутствует. Чтобы собрать информацию RSOP по пользователю с активной сессией, нужно указать его учетную запись:
gpresult /r /user:tn\edward
Если вы не знаете имя учтённой записи, которая залогинена на удаленном компьютере, учетную запись можно получить так:
Также проверьте время (и часовой пояс) на клиенте. Время должно соответствовать времени на PDC (Primary Domain Controller).
Следующие политики GPO не были применены, так как они отфильтрованы
При отладке и траблшутинге применения групповых политик стоит также обращать внимание на секцию: The following GPOs were not applied because they were filtered out (Следующие политики GPO не были применены, так как они отфильтрованы). В этой секции отображается список GPO, которые по той или иной причине не применяются к этому объекту. Возможные варианты, по которым политика может не применяться:
- Filtering: NotApplied(Empty) (Фильтрация:Не применено (пусто)) – политика пустая (применять, нечего);
- Filtering: Denied(UnknownReason) (Фильтрация:Не применено (причина неизвестна)) – скорее всего у пользователя или компьютера отсутствуют разрешения на чтение/применение этой политики. Разрешения настраиваются на вкладке Security в консоли управления доменными GPO — GPMC (Group Policy Management Console);
- Filtering: Denied (Security) (Фильтрация: Отказано (безопасность)) — в секции Apply Group Policy указан явный запрет в разрешении Apply group policy либо объект AD не входит в список групп в разделе настроек Security Filtering.
Также вы можете понять должна ли применяться GPO к organizational unit (OU) в AD на вкладке эффективных разрешений (Advanced -> Effective Access).
Оснастка результирующих политик RSoP в Windows
Изначально для диагностики применения групповых политик в Windows использовалась графическая консоль RSOP.msc . Эта оснастка позволяет получить настройки результирующих политик (доменных + локальных), примененных к компьютеру и пользователю в графическом виде аналогичном консоли редактора GPO. На скриншоте показа вид консоли RSOP.msc в которой видно, что настройки Windows Update на компьютере заданы доменной политикой WSUS_SERVERS.
В современных версиях Windows RSOP.msc не получится использовать для полноценного анализа примененных GPO. Она не отражает настройки, примененные через расширения групповых политик CSE (Сlient Side Extensions), таких как GPP (Group Policy Preferences), не позволяет выполнять поиск, предоставляет мало диагностической информации. В Windows 10 и 11 при запуске rsop.msc появилось предупреждение, что основной инструмент для диагностики применения GPO это утилита gpresult.
В этой статье мы рассмотрели, как использовать утилиту GPResult для анализа результирующих групповых политик, которые применяются в Windows. Также для анализа применения GPO в домене рекомендуем использовать инструкции из статьи “Почему групповая политика не применяется к компьютеру или OU”.
Предыдущая статья Следующая статья 
Where does gpreport.html get saved to on a Windows 7 PC
This topic has been locked by an administrator and is no longer open for commenting.
To continue this discussion, please ask a new question.
Read these next.
DHCP Unreliable
Hi Guys,I am at my wits end with DHCP, We have several networks on this site with one of them playing up really bad.It all started when we ran out of IP addresses. We had a /22 range and asked to update it to /21. Our ISP arranged to do this in our Fortig.
Windows 11 kills my AlwaysOn VPN
Hi All, So here is my description of the problem with which I am struggling for a while. I am using Always ON VPN in user mode. VPN is deployed via script, so the settings are the same for each machine. I have configured certificate template which i.
Anyone seeing toner cartridge supply issues?
Just starting a long-planned printer replacement program for my org. We're replacing workhorse HP laserjet printers with HP laserjet multifunction printers. While verifying that we had the required toner cartridges in our supply ordering system, I was tol.
Snap! — Green Fireball, Pain-Free Mutations, Robotic Bees, Wireless Walking
Your daily dose of tech news, in brief. Welcome to the Snap! Flashback: May 24, 1972: The video game console Magnavox Odyssey was demonstrated (Read more HERE.) Bonus Flashback: May 24, 1961: The German Rocket Society sends 5000 postcards.
Image not working on some models, but others works fine on.
I have an image I created using SCCM that deploys Win10-22H2. The base base base image is basically just the operating system, plus a few applications. This runs fine on Dell 7430, Optiplex 7000, Optiplex 3050, Optiplex 7070 Ultra, but on 7410 and 7420, a.
PowerShell: системное администрирование и программирование
Всё о PowerShell в Windows и на Linux. Системное администрирование Windows
Использование инструмента GPResult для проверки того, какие объекты групповой политики применяются
GPResult.exe — это консольный административный инструмент, предназначенный для анализа и диагностики параметров групповой политики, которые применяются к компьютеру и/или пользователю в домене Active Directory. В частности, GPResult позволяет получить данные RSOP (Resultant Set of Policy), список применённых политик домена (GPO), их настройки и подробную информацию об ошибках при обработке GPO. Этот инструмент является частью ОС Windows, начиная с Windows XP. Инструмент GPResult позволяет ответить на такие вопросы: применяется ли конкретная политика к компьютеру, какой объект групповой политики изменил конкретную настройку Windows и как устранить проблемы с медленной обработкой GPO/GPP?
В этой статье мы рассмотрим нюансы использования команды GPResult для диагностики производительности и отладки групповых политик в домене Active Directory.
В более ранних версиях Windows для диагностики применения групповых политик на стороне клиента использовалась графическая консоль RSOP.msc, что позволяло получать результирующие параметры политики (домен + локальный), которые применяются к компьютеру и пользователю в графической форме, аналогичной консоли редактора GPO.
Однако консоль RSOP.msc непрактична для использования в современных версиях Windows, поскольку она не отображает настройки, применяемые различными расширениями групповой политики (client-side extensions, CSE), такими как GPP (Group Policy Preferences, предпочтения групповой политики), не позволяет искать среди настроек, не обеспечивает достаточно диагностической информации (в Windows 10 даже появляется предупреждение о том, что RSOP не даёт полного отчёта, в отличие от GPResult). Таким образом, команда GPResult сегодня является основным инструментом для выполнения диагностики GPO в Windows.
Как использоваться инструментом Group Policy Results (GPResult.exe)?
Команду GPResult необходимо запустить на компьютере, на котором вы хотите проверить применение групповых политик. Команда GPResult имеет следующий синтаксис:
Чтобы получить подробную информацию о групповых политиках, применённых к пользователю или компьютеру, а также о других параметрах, относящихся к инфраструктуре GPO (итоговые параметры политики GPO — RsoP), выполните следующую команду:
Результаты этой команды разделены на два раздела:
- Конфигурация компьютера — раздел содержит информацию об объектах GP, применённых к компьютеру (как объект Active Directory);
- Конфигурация пользователя — это раздел политики пользователя (политики, применённые к учётной записи пользователя AD).
Давайте кратко рассмотрим основные настройки/разделы в выходных данных GPResult, которые могут нас заинтересовать:
- Имя сайта — это имя сайта AD, на котором расположен компьютер;
- CN — полное каноническое имя пользователя/компьютера, для которого были сгенерированы данные RSoP;
- Последнее применение групповой политики — время последнего применения групповых политик;
- Групповая политика была применена с — это имя контроллера домена, с которого была загружена последняя версия GPO;
- Имя домена и Тип домена — это имя и номер версии схемы домена Active Directory;
- Примененные объекты групповой политики — это списки применённых объектов групповой политики;
- Следующие политики GPO не были применены, так как они отфильтрованы — это объекты групповой политики, которые не применялись или были отфильтрованы;
- Пользователь является членом следующих групп безопасности — это группы домена, членом которых является пользователь.
В этом примере вы можете видеть, что к объекту пользователя применены 4 групповые политики.
- Disable Cached Credentials (Отключить кешированные учётные данные);
- DNS Suffix Search List (Список поиска DNS-суффиксов);
- Enable Windows Firewall (Включить брандмауэр Windows);
- Default Domain Policy (Политика домена по умолчанию).
Если вы не хотите одновременно отображать информацию о политиках пользователя и компьютера, вы можете использовать параметр /scope, чтобы отображать только нужный раздел. Только результирующая политика пользователя:
или только применяемые компьютерные политики:
Поскольку инструмент Gpresult отображает свои данные непосредственно в командной строке, что не всегда удобно для дальнейшего анализа, вывод можно перенаправить в буфер обмена:
или текстовый файл:
Чтобы отобразить сверхдетальную информацию RSOP, вам нужно добавить ключ /z:
Отчёт RSoP HTML с использованием GPResult
GPResult также может генерировать HTML-отчёт о применённых результирующих политиках (доступно в Windows 7 и выше). Этот отчёт содержит подробную информацию обо всех системных настройках, которые задаются групповыми политиками, и названиями определённых объектов групповой политики, которые их установили (по своей структуре этот отчёт напоминает вкладку Настройки в Консоли управления групповыми политиками — gpmc.msc) . Вы можете сгенерировать HTML-отчет GPResult, используя команду:
Чтобы сгенерировать отчёт и автоматически открыть его в браузере, выполните следующую команду:
HTML-отчет gpresult содержит довольно много полезной информации: вы можете увидеть ошибки, возникшие во время применения объектов групповой политики, время обработки (в мс) для определённых политик и CSE (в разделе Computer Details → Component Status section («Сведения о компьютере» → «Состояние компонента»)). Как видите, этот HTML-отчёт gpresult намного удобнее для анализа применяемых политик, чем rsop.msc.
Как запустить GPResult на удалённом компьютере?
GPResult также может собирать данные с удалённого компьютера без необходимости локального входа в удалённую систему или через RDP. Команда для сбора RSOP с удалённого компьютера выглядит так:
Точно так же вы можете удалённо собирать данные как о пользовательских, так и о компьютерных политиках.
У пользователя нет данных RSoP
Когда UAC включён и GPResult используется в режиме без повышенных прав, отображается только раздел пользовательских настроек групповых политик. Если вам нужно, чтобы отображались оба раздела (Конфигурация пользователя и Конфигурация компьютера), команда должна быть запущена в командной строке с правами администратора. Если командная строка с повышенными привилегиями запускается от имени учётной записи, отличной от текущего пользователя, инструмент покажет предупреждение: INFO: The user “domain\user” does not have RSOP data (ИНФОРМАЦИЯ: пользователь «домен\пользователь» не имеет данных RSOP). Это происходит из-за того, что GPResult пытается собрать данные пользователя, запустившего его, но поскольку этот пользователь не вошёл в систему, для него нет информации RSOP. Чтобы получить информацию RSOP от пользователя с активным сеансом, вам необходимо указать его учётную запись:
Если вы не знаете имя учётной записи, для которой выполнен вход на удалённый компьютер, вы можете получить такое имя пользователя:
Также проверьте время (и часовой пояс) на клиенте. Время должно совпадать со временем на контроллере домена.
Следующие политики GPO не были применены, так как они отфильтрованы
При устранении неполадок с групповыми политиками стоит обратить внимание на раздел: Следующие политики GPO не были применены, так как они отфильтрованы
Он содержит список объектов групповой политики, которые по какой-либо причине не применяются к этому объекту. Вот несколько причин, по которым политики не применяются:
- Filtering: Not Applied (Empty), в русифицированной версии «Фильтрация: Не применяется (пусто)» – политика пуста (применять нечего);
- Filtering: Denied (Unknown Reason), в русифицированной версии «Фильтрация: отклонено (неизвестная причина)» – пользователь/компьютер, скорее всего, не имеет разрешения на чтение/применение этой политики (разрешения можно настроить на вкладке «Безопасность» в Консоли управления групповой политикой
Вы также можете понять, следует ли применять политику к конкретному объекту AD, используя вкладку действующих разрешений (Advanced → Effective Access) в GPMC (консоли управления групповыми политиками). - Filtering: Denied (Security), в русифицированной версии «Фильтрация: Запрещено (Безопасность)» – явный отказ указывается в разделе Apply Group Policy («Применить групповую политику»), или объект AD отсутствует в списке групп в разделе «Фильтрация безопасности» объекта групповой политики.
Итак, в данной статье мы рассмотрели особенности диагностики применения групповых политик с помощью инструмента GPResult и рассмотрели основные сценарии его использования.
Все опции: GPResult
GPResult отображает результирующую политику (RSoP) для указанного пользователя и компьютера.
How to Verify Applied GPOs with the GPResult Tool
Boost your career with the AWS Certified Solutions Architect certification. Get a FREE prep guide: deep dive into exam domains, preparation tips, and valuable resources. Download.
Table of Contents
Have you ever applied a Group Policy Object (GPO) to an Active Directory organizational unit (OU) and wanted to verify whether or not they are applied? If so, you need to understand the gpresult command.
Scan Your AD for 930+ Million Compromised Passwords. Download Specops Password Auditor, a FREE read only tool that identifies password-related vulnerabilities.
In this tutorial, you will learn how to use the gpresult command to verify Group Policy settings on local and remote Windows machines.
Let’s get started!
Prerequisites
If you’d like to follow along with the examples in this tutorial, be sure you have the following:
- An Active Directory domain. Any version will work. This tutorial will be using a domain called HomeLab.Local.
- A domain-joined Windows PC with at least one GPO applied to it. If you’d like to learn how to invoke gpresult remotely, you’ll need a second domain-joined PC. This tutorial will use two Windows 10 computers called Win10VM1 and Win10VM2.
- Local administrator rights on your local PC and remote PC.
Understanding the GPResult Command
GPResult is a command-line tool built into Windows that generates reports on policies applied to a domain-joined computer for both user-based and computer-based policies.
When an Active Directory admin assigns a GPO to an OU, the computers or users in that OU then check in to apply those settings. When the target computers receive the GPO is where gpresult comes in.
The time that each computer actually receives and applies those settings depends on the Group Policy refresh interval.
The gpresult utility allows you to run a command on these target computers to confirm the GPOs you think should be applied actually are.
Getting Help with GPResult
Like many other command-line utilities, gpresult has a simple built-in help system. This help system lets you easily find all of those hard-to-remember switches.
You can find all of the switches gpresult provides by simply running gpresult with no switches as shown below. Rather than coming back to this post when you’re wondering what a parameter does, remember the built-in help exists!
Help information for gpresult command
Retrieving Resultant Set of Policy (RSOP) Data
Running gpresult with no parameters will only show help information. You need it to retrieve some information! To start out, let’s first cover how the /r switch or resultant set of policy works.
Resultant Set of Policy (RSOP) is a Group Policy add-on that allows you to query various aspects of Group Policy. RSOP is a great way to discover the result of the policy assigned to a computer.
GPResult displays RSOP data in logging mode which includes policy settings like user and computer OU path, domain name, AD group memberships, security settings, and applied GPOs for both users and computers.
To use gpresult to query RSOP data, open cmd.exe or PowerShell as administrator. invoke gpresult with the /r switch as shown below.
You can see below that, among other things, gpresult returns all of the GPOs that the particular computer (COMPUTER SETTINGS) and GPOs targeting all users that will log onto the computer (USER SETTINGS).
You can run gpresult /R on a non-admin command prompt but it will only show policies applied to the user who is running the command.
Displaying output for Gpresult /R command
Getting Granular: Finding Detailed Applied Group Policy Info
If you simply need to discover what GPOs are applied to a particular computer or user(s) on that computer, the RSOP data you get from the /r switch will work. But RSOP data only goes so far. RSOP data does not provide information such as the last execution time of a logon script, the registry key the GPO is created in, and more.
To discover as much information as gpresult can provide, use the /v or verbose switch as shown below.
Check out just all of the information that /v provides. That’s a lot of information!
Verifying GPOs applied on the computer
Password policies applied on the computer
Services disabled on the computer
Verifying Logon Scripts configured for user
Wallpaper set via user policy in GPO
Full registry key path for the policies
Verifying GPOs applied for user
Check out the differences in /r and /v below. You’ll see that /r only provides the GPO name while /v provides the logon script file name and last time the script executed on the computer.
Differences in /r and /v
Limiting GPresult to User or Computed-Based Settings
As mentioned, gpresult , by default, returns both user and computer-based settings. Sometimes, especially when managing GPOs with hundreds of settings, the amount of output may get overwhelming.
If you need to only look for settings applied to the computer or user, gpresult allows you to limit the scope of the query using the /scope parameter. By specifying either computer or user as the /scope parameter argument, gpresult will only return settings applied to all users or the computer.
To see RSOP data for all policies in the computer scope, run the below command.
How about finding all policies in verbose mode for all users only?
The /scope parameter can be used in addition to other switches like /r and /v to limit the scope of either command.
If you’re running cmd.exe or PowerShell as administrator and invoke GPResult, it will return Group Policy settings for all users. If you use the /scope user switch, it will remove computer-based settings but will still return settings for all users.
If you need to limit settings to a single user logged on at the same time, use the /user parameter followed by the desired username as an argument.
If you attempt to query RSOP data for a user that doesn’t exist, GPResult will return the message The user «<user>» does not have RSOP data .
Exporting GPresult Output
Sometimes just returning information to the command-line console isn’t enough. Perhaps you need to build a report or share the results with someone else. In that case, you need to export results to some other format.
You can export GPResult output in a few different ways.
Exporting Results to a Text File
One of the easiest ways to export results to a file is using the command prompt or PowerShell’s output redirection feature. By “piping” the command-line results to a file with the redirection operator > followed by a text file name, the text will contain exactly what you’d see in the console.
The below command would return all RSOP data and create a file called C:\Temp\RsopReport.txt containing the entire results of the GPResult command.
Exporting Results to an HTML or XML File
Unlike the native redirection from a command prompt to a text file, you can also generate and save the applied policy information to an HTML or XML file. Using the /H switch (for HTML) or the /X switch (for XML) followed by the path to the requested HTML file, GPResult will create a nicely-formatted HTML file with output.
If the file already exists, GPResult will return an error. Force GPResult to overwrite the existing file by using the /F switch.
Running GPResult Remotely
Throughout this tutorial, you’ve been running GPResult locally. Using the /s parameter, GPResult can also run retrieve all of the same Group Policy settings remotely too.
For example, to find RSOP data for the user user01 that has logged onto the remove win10vm1 computer at least once, you’d run the following:
Finding RSOP data
Maybe you’re logged into a computer that doesn’t have rights to query Group Policy information on a remote computer. In that case, GPResult will fail unless you specify alternate credentials.
Specify alternate credentials by using the /U (username) and /P (password) parameters as shown below.
Specify alternate credentials
Are compromised passwords lurking in your Active Directory? Download Specops Password Auditor and scan for password vulnerabilities for FREE!
Conclusion
You should now know how to use the GPResult command to query applied Group Policy settings on both local and remote computers. This handy command is a great discovery and troubleshooting tool in any Active Directory admin’s arsenal.
The next time you find yourself wondering, “How do I confirm a domain-joined computer has applied the GPO I expect?”, what tool will you use?
Hate ads? Want to support the writer? Get many of our tutorials packaged as an ATA Guidebook.
More from ATA Learning & Partners
Recommended Resources!
Recommended Resources for Training, Information Security, Automation, and more!
Get Paid to Write!
ATA Learning is always seeking instructors of all experience levels. Regardless if you’re a junior admin or system architect, you have something to share. Why not write on a platform with an existing audience and share your knowledge with the world? xfvxfvxdv
ATA Learning Guidebooks
ATA Learning is known for its high-quality written tutorials in the form of blog posts. Support ATA Learning with ATA Guidebook PDF eBooks available offline and with no ads!