GPUpdate schlägt fehl

[EclipseX 0]

Hallo zusammen.

Wir haben im Moment ein Problem das auch zwei Notebooks keine GPOs mehr aktualisiert werden. (einer mit Windows 10 und einer mit Windows 11. Ich habe hier die Infos von dem Windows 11 Rechner gepostet weil die vom Windows 10 gleich sind was Errorcode und zugegriffen Dateien/Pfade angeht)

Zitat

 

SupportInfo1

1

SupportInfo2

5209

ProcessingMode

0

ProcessingTimeInMilliseconds

375

ErrorCode

1326

ErrorDescription

Der Benutzername oder das Kennwort ist falsch.

DCName

\\xxxxxxxxx.eu

ExtensionName

Scripts

ExtensionId

{42B5FAAE-6536-11d2-AE5A-0000F87571E3}

 

 

Am Notebook kommt bei "gpupdate /force" folgender Fehler:

Zitat

C:\Users\"User">gpupdate /force
Die Richtlinie wird aktualisiert...

Die Computerrichtlinie konnte nicht erfolgreich aktualisiert werden. Folgende Probleme sind aufgetreten:

Fehler bei der Verarbeitung der Gruppenrichtlinie. Der Versuch, die Datei \\xxxxxxx\...\gpt.ini von einem Domänencontroller zu lesen, war nicht erfolgreich. Die Gruppenrichtlinieneinstellungen dürfen nicht angewendet werden, bis dieses Ereignis behoben ist. Dies ist möglicherweise ein vorübergehendes Problem, das mindestens eine der folgenden Ursachen haben kann:
a) Namensauflösung/Netzwerkverbindung mit dem aktuellen Domänencontroller.
b) Wartezeit des Dateireplikationsdienstes (eine auf einem anderen Domänencontroller erstellte Datei hat nicht auf dem aktuellen Domänencontroller repliziert).
c) Der DFS-Client (Distributed File System) wurde deaktiviert.
Die Benutzerrichtlinie konnte nicht erfolgreich aktualisiert werden. Folgende Probleme sind aufgetreten:

Fehler bei der Verarbeitung der Gruppenrichtlinie. Es wurde versucht, registrierungsbasierte Richtlinieneinstellungen für das Gruppenrichtlinienobjekt "LDAP://CN=User,cn={81D5FB50-56CC-47BA-8611-C6E36835FE06},cn=policies,cn=system,DC=xx,DC=xxxx,DC=eu" zu lesen. Die Gruppenrichtlinieneinstellungen dürfen nicht erzwungen werden, bis dieses Ereignis behoben ist. Weitere Informationen über den Dateinamen und -pfad, der den Fehler verursacht hat, können den Ereignisdetails entnommen werden.
Bei der Verarbeitung der Benutzerrichtlinie sind folgende Warnungen aufgetreten:

Fehler beim Anwenden der "Scripts"-Einstellungen. Die "Scripts"-Einstellungen besitzen möglicherweise eine eigene Protokolldatei. Klicken Sie auf den Link "Weitere Informationen".
Fehler beim Anwenden der "Group Policy Drive Maps"-Einstellungen. Die "Group Policy Drive Maps"-Einstellungen besitzen möglicherweise eine eigene Protokolldatei. Klicken Sie auf den Link "Weitere Informationen".
Fehler beim Anwenden der "Group Policy Files"-Einstellungen. Die "Group Policy Files"-Einstellungen besitzen möglicherweise eine eigene Protokolldatei. Klicken Sie auf den Link "Weitere Informationen".
Fehler beim Anwenden der "Group Policy Folder Options"-Einstellungen. Die "Group Policy Folder Options"-Einstellungen besitzen möglicherweise eine eigene Protokolldatei. Klicken Sie auf den Link "Weitere Informationen".
Fehler beim Anwenden der "Group Policy Registry"-Einstellungen. Die "Group Policy Registry"-Einstellungen besitzen möglicherweise eine eigene Protokolldatei. Klicken Sie auf den Link "Weitere Informationen".

Wir haben schon versucht von dem entsprechenden Notebooks auf den DC zuzugreifen in den sysvol Ordner was ohne Probleme funktioniert.
Anderes Benutzerkonto verhält sich gleich, und rejoin in die Domäne (Objekt im DC gelöscht und dann wieder gejoint) brachte auch keine Besserung.
Wenn ich mich mit einem Konto anmelde was an dem Rechner noch nie angemeldet war kommt nachdem der Desktop geladen wurde "Windows konnte Sie nicht anmelden...,ein ab und wieder anmelden kann das Problem beheben,... etc."
Den Anmeldespeicher in Windows hatte ich Verdachtsweise auch mal geleert aber das Ergebnis bleibt.

Die Replikation scheint auch zu funktionieren da das Objekt vom Notebook abgeglichen wurde auf den DC2 und unsere anderen Rechner (egal ob Windows 10 oder 11) alle normal sich die Gruppenrichtlinie ziehen

Ist ein ähnliches Problem wie bei dem Beitrag:

Dieser endet leider ohne wirkliche Lösung :(

 

Wir sind so langsam an verzweifeln woher das Problem kommt weil wir nicht sehen was da falsch läuft auf den zwei Rechnern.

Danke schon mal im Voraus

@edit:
Der Ansatz unter C:\Windows\System32\GroupPolicy\Machine die Datei Registry.pol umzubenennen/löschen hab ich auch schon durch. Leider keine Lösung.

bearbeitet 19. Mai von EclipseX

[Nobbyaushb 1.553]

Moin und willkommen an Board,

 

wie bekommen die Clients ihre IP, welcher DNS ist im DHCP?

 

[EclipseX 0]

Die Clients bekommen vom DHCP die IP-Adressen aus unserem Client-Netz zugewiesen und im DHCP stehen unsere beiden DNS drinnen (also der DC1 ->primär und der DC2 -> sekundär)
Die Clients laufen überwiegend als LAN Geräte können aber auch übers WLAN arbeiten.
Der DHCP ist für beide Fälle gleich nur der IP-Adressbereich außerdem die IP vergeben wird ist anders im WLAN
 

[EclipseX 0]

@Update
wir sind mittlerweile auf drei PCs gekommen die das Problem haben.
bei alle drei ist im Event Log der Fehler mit dem "Benutzername oder Kennwort falsch"

Das Auftreten hat auch kein System.
Im Event Log ist bei dem ersten beiden Usern einmal Anfang und ende Januar aufgetreten, bei dem dritten im März.
Alle drei sind auch in unterschiedlichen Abteilungen, haben also nichts direkt gemeinsam was ich jetzt so erkennen könnte.

[testperson 1.795]

Hi,

 

was wird in diesem GPO denn im Bereich der "Scripts" (Startup / Shutdown / Logon / Logoff) erledigt?

 

Für die GPPs:

• GPS: Configure Drive Maps preference logging and tracing
• GPS: Configure Files preference logging and tracing
• GPS: Configure Folder Options preference logging and tracing
• GPS: Configure Registry preference logging and tracing

 

Gruß

Jan

bearbeitet 22. Mai von testperson

[EclipseX 0]

Wir haben bisher keine Skripte verwendet.
Ich habs auch nachkontrolliert aber es gibt keine Skripte die in dem Bereich ausgeführt werden.

zu den anderen Punkten kommt er gar nicht.
der gpupdate fällt ja schon beim lesen der gpt.ini auf die Nase und blockt dann.


 

[testperson 1.795]

Und wenn du die Verlinkung der entsprechenden Policy einfach mal deaktivierst/löscht oder einen Test PC in eine OU ohne diese GPO verschiebst?

[daabm 1.404]

GpSvcDebugLevel=0x00030002 und dann gpsvc.log analysieren. Sysvol-Replikation funktioniert? GPO-Berechtigungen sind konsistent über alle DCs?

bearbeitet 22. Mai von daabm

[EclipseX 0]

Am 22.5.2025 um 18:08 schrieb daabm:

GpSvcDebugLevel=0x00030002 und dann gpsvc.log analysieren. Sysvol-Replikation funktioniert? GPO-Berechtigungen sind konsistent über alle DCs?

Danke für den Tipp.
Ich habe das mal auf dem Problemrechner und auf einem Funktionierenden eingeschaltet um die Logs zu vergleichen und siehe da ich weiß zumindest wie die Regel heißt welche Probleme machen soll.
Das Problem, es ist das Root-CA...
Ich hab direkt auf beiden DCs nachgeschaut, auf beiden sind die Zertifikate identisch und haben auch das gleiche Ablaufdatum welches noch weit in der Zukunft liegt.

Fehlerhafter Rechner

Zitat

GPSVC(8c4.270c) 08:38:48:749 ProcessGPO(Machine):  ==============================
GPSVC(8c4.270c) 08:38:48:749 ProcessGPO(Machine):  Searching <cn={C8F39FFF-E6A3-4D86-A9EA-F5F804B8659E},cn=policies,cn=system,DC=ad,DC=XXXX,DC=eu>
GPSVC(8c4.270c) 08:38:48:749 ProcessGPO(Machine):  Machine has access to this GPO.
GPSVC(8c4.270c) 08:38:48:765 ProcessGPO(Machine):  Found common name of:  <{C8F39FFF-E6A3-4D86-A9EA-F5F804B8659E}>
GPSVC(8c4.270c) 08:38:48:769 ProcessGPO(Machine):  GPO passes the filter check.
GPSVC(8c4.270c) 08:38:48:769 ProcessGPO(Machine):  Found functionality version of:  2
GPSVC(8c4.270c) 08:38:48:769 ProcessGPO(Machine):  Found file system path of:  <\\XXXX\SysVol\XXXX\Policies\{C8F39FFF-E6A3-4D86-A9EA-F5F804B8659E}>
GPSVC(8c4.270c) 08:38:48:781 ProcessGPO(Machine):  Couldn't find the group policy template file <\\XXXX\SysVol\XXXX\Policies\{C8F39FFF-E6A3-4D86-A9EA-F5F804B8659E}\gpt.ini>, error = 0x52e. DC: XXXX2

Korrekter Rechner

Zitat

GPSVC(1204.2eec) 08:52:36:719 ProcessGPO(Machine):  ==============================
GPSVC(1204.2eec) 08:52:36:723 ProcessGPO(Machine):  Searching <cn={C8F39FFF-E6A3-4D86-A9EA-F5F804B8659E},cn=policies,cn=system,DC=ad,DC=XXXX,DC=eu>
GPSVC(1204.2eec) 08:52:36:726 ProcessGPO(Machine):  Machine has access to this GPO.
GPSVC(1204.2eec) 08:52:36:726 ProcessGPO(Machine):  Found common name of:  <{C8F39FFF-E6A3-4D86-A9EA-F5F804B8659E}>
GPSVC(1204.2eec) 08:52:36:726 ProcessGPO(Machine):  GPO passes the filter check.
GPSVC(1204.2eec) 08:52:36:726 ProcessGPO(Machine):  Found functionality version of:  2
GPSVC(1204.2eec) 08:52:36:726 ProcessGPO(Machine):  Found file system path of:  <\\XXXX\SysVol\XXXX\Policies\{C8F39FFF-E6A3-4D86-A9EA-F5F804B8659E}>
GPSVC(1204.2eec) 08:52:36:743 ProcessGPO(Machine):  Found display name of:  <*Root-CA_Name*>
GPSVC(1204.2eec) 08:52:36:743 ProcessGPO(Machine):  Found machine version of:  GPC is 4, GPT is 4
GPSVC(1204.2eec) 08:52:36:758 ProcessGPO(Machine):  Found flags of:  0
GPSVC(1204.2eec) 08:52:36:758 ProcessGPO(Machine):  Found extensions:  [{35378EAC-683F-11D2-A89A-00C04FBBCFA2}{53D6AB1D-2488-11D1-A28C-00C04FB94F17}][{B1BE8D72-6EAC-11D2-A4EA-00C04F79F83A}{53D6AB1D-2488-11D1-A28C-00C04FB94F17}]

@testperson ich glaube, dass das verschieben dadurch schwierig wird, aber eigentlich müsste doch durch das entfernen aus der Domäne (inkl. Objekt entfernen) und wieder hinzufügen
passiert sein oder?

 

[cj_berlin 1.443]

Also wenn Du ein AD-Objekt für eine GPO hast aber keine Dateien, hast Du ein Problem mit der DFS-R Replikation. Da GPMC meistens den PDCe für die Bearbeitung ansteuern wird, existiert die bessere Kopie evtl. dort.

Wenn die Dateien auf allen DCs fehlen, brauchst Du entweder ein Backup oder, falls Du weißt, was der Inhalt der GPO war, einfach neu bauen.

 

[daabm 1.404]

Am 27.5.2025 um 10:44 schrieb EclipseX:

GPSVC(8c4.270c) 08:38:48:781 ProcessGPO(Machine):  Couldn't find the group policy template file <\\XXXX\SysVol\XXXX\Policies\{C8F39FFF-E6A3-4D86-A9EA-F5F804B8659E}\gpt.ini>, error = 0x52e. DC: XXXX2

 

# for hex 0x52e / decimal 1326 :
  ERROR_LOGON_FAILURE                                           winerror.h
# Logon failure: unknown user name or bad password.
# 1 matches found for "0x52e"

 

Da ist was mit dem Computerkonto kaputt.