将 GPO 设置恢复为未定义

Question

将所有 GPO 设置还原为未定义（不还原它们现在的状态）

我无意中将 GPO 应用于尚未准备好部署的整个 OU。我已经取消了 GPO 的链接，但当然它们已经被应用了。有没有办法撤消这些更改（不是撤消设置而是使其“干净”又名“未定义”？

与This answer类似，但我正在寻找一种方法来使服务器看起来和行为就像从未应用这些设置一样。当然，我不是第一个这样抱怨的 SA。或者甚至有一台机器因为任何其他原因不需要它们。

*注意：我在其他地方看到过这个答案，但我以前从未听说过这样的事情（实际上它与我听到的所有内容相矛盾）但我希望可能有一些类似的“技巧”来使它起作用：（释义）如果你有一些非常奇怪的 gp 问题......你可以删除位于 windows\security 中的安全文件，这将强制机器回到它加入域的阶段。然后运行“gpupdate /force /boot”

Answer 1

不，你不能让时间倒流。

未记录应用 GPO 之前计算机的先前状态，因此当组策略更改这些配置的状态时，现在没有记录可恢复到的先前状态。如果损坏严重，您将考虑在删除有问题的 GPO 后从备份中恢复受影响的计算机。

当然，正如此处所述，大多数政策都反对“纹身” ，但并非所有政策都如此。一旦 GPO 被删除或计算机/用户不再在 GPO 的范围内，某些策略设置可以简单地删除，但有些设置并不那么简单。

换句话说，假设在 GPO 之前，一个特定的注册表项被设置为 1，并且不受组策略的影响。然后应用您的组策略并将该注册表项设置为 0。现在您说“哦，不，把它放回原来的样子！” 所以你去把 GPO 设置放到Not Defined. 但伤害已经造成。 Not Defined并不意味着“如果它是 0，则将其重新设置为 1，如果它是 1，则将其重新设置为 0”。 这只是意味着组策略将不再以一种或另一种方式翻转该开关。

不，您当然不是第一个犯此错误的系统管理员。但是 Microsoft 已经提供了一些工具来帮助您保护自己免受伤害。（例如，具有签出/签入、离线编辑和审批者功能等的高级组策略管理）

我知道你不想被教导……你只需要更加小心。