Wartość rejestru ignorowana przez system

Wartość rejestru ignorowana przez system wskazuje na nadpisanie jej przez politykę GPO o wyższym priorytecie zasięgu.

Co oznacza ignorowanie wartości rejestru przez system Windows

Wartość rejestru opisana jako ignorowana przez system nie musi oznaczać uszkodzenia Edytora rejestru ani błędu samego systemu Windows. W środowisku, w którym stosowane są zasady grupy, czyli Group Policy, ustawienie zapisane lokalnie może zostać zastąpione wartością wynikającą z obiektu zasad grupy o wyższym priorytecie. W takim przypadku system korzysta z efektywnej konfiguracji obliczonej na podstawie wszystkich zasad mających zastosowanie do danego komputera lub konta użytkownika, a niekoniecznie z wartości widocznej w lokalnej gałęzi rejestru.

Rejestr Windows jest między innymi miejscem przechowywania ustawień wynikających z zasad grupy, ale nie każda wartość rejestru jest samodzielną konfiguracją. Część ustawień jest tworzona lub aktualizowana podczas przetwarzania polityk. Znaczenie ma wtedy nie tylko nazwa wartości, lecz także jej ścieżka, typ danych, zakres obowiązywania oraz mechanizm, który ją ustawia. Wartość REG_DWORD, REG_SZ albo REG_BINARY może zostać zmieniona podczas kolejnego odświeżenia zasad, dlatego ręczna edycja rejestru często nie daje trwałego rezultatu.

Priorytet GPO i wyznaczanie konfiguracji wynikowej

Zasady grupy są przetwarzane według określonej hierarchii. W typowym modelu najpierw uwzględnia się zasady lokalne, następnie zasady połączone z witryną Active Directory, domeną oraz jednostkami organizacyjnymi. W uproszczeniu zasada przetwarzana później może zastąpić wcześniejsze ustawienie, jeżeli oba obiekty konfigurują ten sam parametr. Rzeczywisty wynik zależy również od dziedziczenia, blokowania dziedziczenia, wymuszania zasad, filtrowania zabezpieczeń oraz filtrów WMI.

Nie oznacza to, że każda polityka znajdująca się wyżej w strukturze zawsze ma pierwszeństwo. Kolejność zależy od kontekstu komputera lub użytkownika oraz od właściwości konkretnych obiektów zasad grupy. Wymuszona polityka może mieć pierwszeństwo przed ustawieniami odziedziczonymi, a filtr bezpieczeństwa może spowodować, że dana zasada w ogóle nie zostanie zastosowana. Dodatkowo ustawienia komputera i ustawienia użytkownika są przetwarzane w odrębnych częściach GPO. W niektórych konfiguracjach włączone przetwarzanie sprzężenia zwrotnego może zmienić sposób ustalania zasad użytkownika na podstawie komputera, na którym następuje logowanie.

Jak ustalić, która polityka zastępuje wpis rejestru

Ręczne przeglądanie rejestru nie wystarcza do ustalenia źródła problemu. Pierwszym krokiem jest określenie dokładnej ścieżki klucza, nazwy wartości, typu danych oraz tego, czy wpis dotyczy komputera, czy użytkownika. Następnie można odświeżyć zasady poleceniem gpupdate /force. Polecenie wymusza ponowne przetworzenie zasad, ale samo w sobie nie pokazuje, który obiekt GPO ustawił konkretną wartość.

Do analizy zastosowanych zasad służy polecenie gpresult /h raport.html, które tworzy raport HTML dla bieżącego komputera i użytkownika. Raport zawiera między innymi listę zastosowanych obiektów GPO, zasady odrzucone, przyczynę odrzucenia oraz część ustawień wynikowych. Przydatne jest także narzędzie Resultant Set of Policy, uruchamiane poleceniem rsop.msc. Pokazuje ono konfigurację wynikową, lecz w bardziej złożonych przypadkach raport z gpresult może dostarczyć dokładniejszych informacji o filtrowaniu i przetwarzaniu zasad. W Podglądzie zdarzeń warto sprawdzić dziennik Microsoft-Windows-GroupPolicy/Operational, ponieważ mogą tam występować informacje o błędach odczytu, zastosowania albo odświeżenia polityk.

Dlaczego ręczna zmiana rejestru może nie działać trwale

Jeżeli wpis jest kontrolowany przez GPO, zmiana wykonana w narzędziu Regedit może obowiązywać tylko do następnego przetworzenia zasad. Odświeżenie może nastąpić podczas uruchamiania systemu, logowania użytkownika, wykonywania cyklicznego odświeżania albo po ręcznym użyciu gpupdate. W efekcie ustawienie może chwilowo przyjąć wartość lokalną, a następnie powrócić do wartości narzuconej przez politykę. Czasem zmiana nie daje widocznego efektu od razu, ponieważ dana zasada wymaga ponownego logowania lub restartu.

Trwała korekta wymaga ustalenia źródła ustawienia i zmiany właściwego obiektu GPO, a nie tylko lokalnego wpisu rejestru. Należy porównać konfigurację lokalną z raportem zasad wynikowych, sprawdzić zakres zastosowania polityki oraz zweryfikować, czy wpis nie jest tworzony przez Preferencje zasad grupy, skrypt logowania, zadanie harmonogramu albo inne oprogramowanie administracyjne. Dopiero po ustaleniu właściciela konfiguracji można ocenić, czy ustawienie powinno zostać zmienione, usunięte lub pozostawione bez modyfikacji. Przy diagnostyce laptopa albo komputera PC istotne jest również rozróżnienie między wartością tylko odczytywaną przez aplikację a ustawieniem, które rzeczywiście steruje działaniem systemu.