Bei einer Bereingung von Gruppenrichtlinien sollten auch WMI-Filter berücksichtigt werden. Dabei kann es allerdings zu einem Fehler konnen, wenn man den falschen Weg zum Abbau der Policy nutzt.
Das richtige Vorgehen ist:
- Die Konntrolle des WMI-Filter und anhängigen Gruppenrichtlinien durchführen
- Die verknüpften Gruppenrichtlinien auf einen anderen Filter oder „<KEIN>“ setzen
- Der WMI-Filter kann gelöscht werden
Wenn der WMI-Filter gelöscht wird, obwohl noch eine oder mehrere Gruppenrichtlinien anhängig sind, kommt es zu Problemen. Mir fiel es nur auf, weil ich eine Änderung an einer Gruppenrichtlinie durchgeführt habe und der neue Wert sich nicht verteilte in den Tests.
Als ich mir über einen „GPRESULT /r“ den aktuellen Stand des Regelwerks habe anzeigen lassen, bekamt ich die Anzeige „Verweigert (WMI-Filter)“. Bei der Kontrolle der GPO über die GUI stand bei der WMI-Filterung „<Kein>“. Das es sich bei der Richtlinie um eine Verteilung von Registry-Einträgen, welche auch per „Zielgruppenadressierung“ (eng.: Item Level Targeting) gesteuert werden. Dadurch wurde erst dieses Regelwerk kontrolliert. Dieses führte, wie man sich durch die vorherige Umsetzungbeschreibung erschließen kann, nicht zur gewünschten Fehlerbehebung.
Die Lösung war einen Filter zu definieren und anschließend wieder auf „<KEIN>“ zu stellen. Scheinbar bleibt der WMI-Filter als Fragment an der Gruppenrichtlinie hängen.