Solucionar problemas de procesamiento lento de GPO e impacto en la velocidad de inicio de sesión

Muy a menudo, los usuarios de dominio se quejan de la lentitud en el inicio de la computadora y el tiempo de inicio de sesión causado por el procesamiento prolongado de las Políticas de grupo (GPO). Desde el punto de vista del usuario, la computadora arranca durante mucho tiempo y parece que se cuelga durante varios minutos en el escenario de "Aplicando configuración de computadora/usuario". En este artículo, intentaré recopilar herramientas y métodos de diagnóstico útiles que permitan a un administrador determinar las razones de la aplicación lenta de GPO en las computadoras del dominio.

En realidad, hay una serie de razones por las que las políticas de grupo tardan mucho en aplicarse: pueden ser problemas de DNS, disponibilidad de DC y velocidad de conexión, configuración incorrecta de los sitios de AD o problemas de replicación, políticas de grupo mal configuradas, scripts incorrectos, etc. Es difícil describir un algoritmo todo en uno para diagnosticar todos estos problemas. Al resolver tales problemas, por regla general, la experiencia y las habilidades de un administrador que realiza diagnósticos juegan un papel importante. En este artículo, nos centraremos únicamente en el diagnóstico de los problemas con los mecanismos GPO y GPClient.

Cómo bloquear la herencia de políticas de grupo

Para asegurarse de que el problema esté relacionado con el GPO del dominio, cree una unidad organizativa separada en el dominio y mueva la computadora problemática allí. Luego, al usar la Consola de administración de políticas de grupo (GPMC.msc), habilite el bloqueo de la herencia de políticas para este contenedor (Bloquear herencia). Por lo tanto, todas las políticas de dominio dejarán de aplicarse a este contenedor (las políticas con el modo Forzado habilitado son la excepción).

Reinicie la computadora y verifique si el problema con la aplicación lenta de GPO persiste. Si persiste, es probable que el problema esté en el propio equipo o en las políticas del grupo local (intenta restablecerlas a las predeterminadas).

Cómo mostrar información detallada en la pantalla de inicio

En Windows, puede habilitar la visualización de información de estado detallada que permite a los usuarios y al administrador comprender visualmente en qué etapa de la carga de la computadora se observa el mayor retraso. Si habilita esta política, también se muestra la información sobre los componentes de GPO que se aplican.
Puede habilitar esta política en la siguiente sección de GPO:

• en Windows 7/Vista: Configuración del equipo -> Políticas -> Sistema -> Mensajes de estado detallados frente a normales=Habilitado

• en Windows 8/10: Configuración de la computadora -> Políticas -> Sistema -> Mostrar mensajes de estado muy detallados=Habilitado

El mismo parámetro se puede activar a través del registro. Para hacerlo, cree un parámetro DWORD con el nombre verbosestatus y el valor 1 en la clave de registro HKEY_LOCAL_MACHINE\SOFTWARE Microsoft \Windows \CurrentVersion\Policies\System.

Como resultado, durante el arranque verá los siguientes mensajes en la pantalla:

Informe de resultados de GP

Es mejor analizar la política resultante aplicada a la computadora utilizando el informe HTML de GPResult que se puede crear con el siguiente comando ejecutado con privilegios de administrador:

gpresult /h c:\scripts\gpreport.html

Este informe es bastante conveniente para el análisis y contiene referencias a errores al aplicar GPO.

Además, en la sección Detalles de la computadora -> Estado del componente del informe, hay datos útiles del tiempo de aplicación (en ms) de diferentes componentes de GPO que se ven así:

Group Policy Files (N/A) 432 Millisecond(s) 19.02.2017 11:10:01 View Log
Group Policy Folders (N/A) 188 Millisecond(s) 19.02.2017 11:10:00 View Log
Group Policy Local Users and Groups (N/A) 338 Millisecond(s) 19.02.2017 11:10:00 View Log
Group Policy Registry (N/A) 171 Millisecond(s) 19.02.2017 11:10:01 View Log
Group Policy Scheduled Tasks (N/A) 353 Millisecond(s) 19.02.2017 11:10:01 View Log
Scripts (N/A) 156 Millisecond(s) 19.02.2017 11:09:04 View Log
Security (N/A) 3 Second(s) 495 Millisecond(s) 19.02.2017 11:09:08 View Log
Registry (N/A) 18 Second(s) 814 Millisecond(s) 19.02.2017 11:10:00 View Log

Análisis de eventos de políticas de grupo en los registros del sistema de Windows

En el registro de la aplicación, el EventID 6006 de Winlogon con el siguiente mensaje puede evidenciar la aplicación lenta de la política:

Según este evento, un usuario tuvo que esperar hasta que se aplicaron las políticas de grupo durante el arranque durante casi una hora...

En Windows 7/Windows 2008 R2 o superior, todos los eventos relacionados con el procesamiento de políticas de grupo en un cliente están disponibles en el Visor de eventos (eventvwr.msc) en Registros de aplicaciones y servicios -> Microsoft -> Windows -> Aplicaciones y servicios Registros -> Política de grupo -> Operativo.

Para analizar el tiempo de aplicación de la política, los siguientes EventID serán útiles:

• Los eventos con los ID 4016 y 5016 muestran la hora en que comienza y finaliza el procesamiento de las extensiones de la aplicación GPO. Este último también indica el tiempo total de procesamiento de la prórroga. Por ejemplo, en la captura de pantalla a continuación, se habilitó el filtrado de Política de grupo -> Operacional por EventID 4016 y 5016. En el mensaje de EventID 5016 puede ver el tiempo de procesamiento de este componente GPO

  Procesamiento de extensión de registro de directiva de grupo completado en 109656 milisegundos.

  

• EventID 5312 contiene la lista de las políticas aplicadas, y EventID 5317 muestra la lista de los GPO filtrados.

• EventID 8000 y 8001 contienen el tiempo de procesamiento de la política de la computadora y del usuario durante el arranque, respectivamente. Y EventID 8006 y 8007 tienen los datos sobre el momento de la aplicación de la política durante las actualizaciones periódicas.

Al analizar el registro, preste atención al tiempo entre dos eventos vecinos. Puede ayudar a encontrar el componente problemático.

Registro de depuración de GPSVC

En algunos casos, es útil habilitar el registro de depuración del procesamiento de GPO: gpsvc.log. Usando marcas de tiempo en gpsvc.log puede encontrar componentes de GPO que se han procesado durante mucho tiempo.

Preferencias de directiva de grupo Registros de depuración

Las extensiones de Preferencias de directiva de grupo también pueden registrar el arranque de cada componente CSE (Extensiones del lado del cliente). Los registros de depuración de CSE se pueden habilitar en la siguiente sección de GPO: Configuración del equipo -> Políticas -> Plantillas administrativas->Sistema->Política de grupo -> Registro y seguimiento

Como puede ver, las configuraciones individuales están disponibles para cada CSE. En la configuración de la política, puede especificar el tipo de evento registrado (informativo, errores, advertencias o todos ellos), el tamaño máximo del registro y la ruta de ubicación del registro:

• Archivo de seguimiento de políticas de usuario %SYSTEMDRIVE%\ProgramData\GroupPolicy\Preference\Trace\User.log

• Archivo de seguimiento de política informática %SYSTEMDRIVE%\ProgramData\GroupPolicy\Preference\Trace\Computer.log

Después de recopilar los registros, debe analizarlos en busca de errores y también tratar de encontrar eventos cercanos, el tiempo entre los cuales es diferente durante unos minutos.

Entonces, en este artículo, hemos considerado las principales formas de diagnosticar el procesamiento lento de la Política de grupo en las computadoras del dominio. Espero que el artículo sea útil.