Usługa wyłączona przez GPO

Usługa wyłączona przez GPO wskazuje na politykę grupy centralnie ograniczającą typ uruchamiania danego komponentu.

GPO a sposób uruchamiania usługi systemowej

Komunikat „Usługa wyłączona przez GPO” oznacza, że ustawienie dotyczące usługi Windows zostało określone przez zasady grupy, czyli Group Policy. GPO to mechanizm administracyjny używany do centralnego sterowania konfiguracją komputerów i kont użytkowników. Zasada może określać między innymi, czy dana usługa ma uruchamiać się automatycznie, na żądanie, czy pozostawać wyłączona. W takim przypadku ustawienie nie wynika wyłącznie z lokalnej konfiguracji systemu.

Usługa jest komponentem działającym w tle, udostępniającym określoną funkcję systemowi albo aplikacjom. Jej konfigurację można sprawdzić w konsoli Usługi, uruchamianej poleceniem services.msc, albo z poziomu narzędzi administracyjnych Windows. Jeżeli jednak wartość została narzucona przez GPO, ręczna zmiana typu uruchamiania może być niemożliwa, nietrwała albo automatycznie cofana przy kolejnym odświeżeniu zasad.

Jak zasada grupy wpływa na konfigurację Windows

Zasady grupy mogą być ustawiane lokalnie na konkretnym komputerze albo dostarczane z domeny Active Directory. W środowisku domenowym komputer pobiera obowiązujące reguły od kontrolera domeny, a ich zastosowanie zależy od hierarchii i zakresu poszczególnych obiektów GPO. Znaczenie może mieć między innymi jednostka organizacyjna, do której należy komputer, członkostwo w grupie zabezpieczeń oraz kolejność przetwarzania zasad.

Do odświeżenia zasad w systemie Windows służy polecenie gpupdate /force. Nie rozwiązuje ono samo w sobie problemu, ponieważ jedynie ponownie pobiera i stosuje obowiązujące ustawienia. Do ustalenia, skąd pochodzi konkretna konfiguracja, można wykorzystać polecenie gpresult /h raport.html, które tworzy raport wynikowego zestawu zasad. Raport pokazuje między innymi zastosowane obiekty GPO oraz informacje o zasadach, które zostały pominięte. W nowszych edycjach systemu podobną funkcję diagnostyczną udostępnia także konsola Resultant Set of Policy, uruchamiana poleceniem rsop.msc.

Rozróżnienie blokady administracyjnej od awarii usługi

Wyłączona przez GPO usługa nie musi oznaczać uszkodzenia systemu. Jest to często zamierzone ograniczenie, na przykład w celu ujednolicenia konfiguracji komputerów albo wyłączenia komponentu, którego organizacja nie chce uruchamiać. Sama próba uruchomienia usługi może kończyć się komunikatem o odmowie dostępu, błędzie konfiguracji lub braku możliwości zmiany ustawień. Istotne jest więc odróżnienie decyzji administracyjnej od problemu z plikami systemowymi, zależnościami, sterownikiem albo uprawnieniami.

Podczas analizy należy sprawdzić nazwę usługi, jej stan, typ uruchamiania oraz zależności. W Podglądzie zdarzeń, przede wszystkim w dziennikach System i Application, mogą znajdować się informacje o nieudanej próbie startu. Przydatne są również logi związane z przetwarzaniem zasad grupy, ponieważ mogą wskazać błąd komunikacji z domeną, problem z odczytem GPO albo zastosowanie reguły w niewłaściwym zakresie. Warto ustalić, czy problem występuje tylko na jednym komputerze, czy na wielu urządzeniach objętych tą samą polityką. Powtarzalność na całej grupie komputerów przemawia za przyczyną konfiguracyjną, natomiast pojedynczy przypadek może wymagać dodatkowego sprawdzenia lokalnego systemu.

Bezpieczne przywracanie wymaganej funkcji

Zmiana ustawienia usługi powinna być wykonana w źródle, które narzuciło konfigurację. W przypadku lokalnej zasady grupy administrator może przeanalizować odpowiednie ustawienie w Edytorze lokalnych zasad grupy, uruchamianym poleceniem gpedit.msc. W przypadku zasad domenowych korekta wymaga zmiany właściwego obiektu GPO po stronie administracji domeną, a następnie odświeżenia zasad na komputerze. Ręczne ustawienie usługi w rejestrze lub w konsoli usług bez ustalenia źródła polityki może tylko zamaskować problem i zostać nadpisane.

Przed włączeniem usługi trzeba sprawdzić, czy jest ona potrzebna oraz czy jej uruchomienie nie koliduje z przyjętą konfiguracją bezpieczeństwa. Po zmianie należy zweryfikować typ uruchamiania, stan usługi, działanie zależnych funkcji i wpisy w Podglądzie zdarzeń. Jeżeli ustawienie wraca do wartości „Wyłączona”, oznacza to zwykle, że nadal działa nadrzędna zasada grupy albo komputer nie otrzymał oczekiwanej konfiguracji. Diagnostyka i naprawa powinny wtedy obejmować zarówno lokalny system Windows, jak i wynikowy zestaw zasad zastosowanych do danego urządzenia.