Compruebe el parche joeqwerty link también .
Hay un detalle importante:
Problemas conocidos
MS16-072 cambia el contexto de seguridad con el que se recuperan las políticas de grupo de usuarios. Este cambio de comportamiento por diseño protege las computadoras de los clientes de una vulnerabilidad de seguridad. Antes de instalar MS16-072, las políticas de grupo de usuarios se recuperaban utilizando el contexto de seguridad del usuario. Después de instalar MS16-072, las políticas de grupo de usuarios se recuperan utilizando el contexto de seguridad de las máquinas. Este problema es aplicable para los siguientes artículos de KB:
- 3159398 MS16-072: Descripción de la actualización de seguridad para la directiva de grupo: 14 de junio de 2016
- 3163017 Actualización acumulativa para Windows 10: 14 de junio de 2016
- 3163018 Actualización acumulativa para Windows 10 versión 1511 y Windows Server 2016 Technical Preview 4: 14 de junio de 2016
- 3163016 Actualización acumulativa para Windows Server 2016 Technical Preview 5: 14 de junio de 2016
Síntomas
Todas las políticas de grupo de usuarios, incluidas las que se han filtrado de seguridad en cuentas de usuario o grupos de seguridad, o ambos, pueden no aplicarse en equipos unidos a un dominio.
Porque
Este problema puede ocurrir si al Objeto de directiva de grupo le faltan los permisos de lectura para el grupo de usuarios autenticados o si está utilizando un filtro de seguridad y le faltan permisos de lectura para el grupo de equipos de dominio.
Resolución
Para resolver este problema, use la Consola de administración de directivas de grupo (GPMC.MSC) y siga uno de los siguientes pasos:
- Agregue el grupo de usuarios autenticados con permisos de lectura en el objeto de directiva de grupo (GPO).
- Si está utilizando el filtrado de seguridad, agregue el grupo Equipos de dominio con permiso de lectura.
Consulte este enlace Implementar MS16-072 que explica todo y ofrece un script para reparar los GPO afectados. El script agrega permisos de lectura de usuarios autenticados a todos los GPO que no tienen permiso para usuarios autenticados.
# Copyright (C) Microsoft Corporation. All rights reserved.
$osver = [System.Environment]::OSVersion.Version
$win7 = New-Object System.Version 6, 1, 7601, 0
if($osver -lt $win7)
{
Write-Error "OS Version is not compatible for this script. Please run on Windows 7 or above"
return
}
Try
{
Import-Module GroupPolicy
}
Catch
{
Write-Error "GP Management tools may not be installed on this machine. Script cannot run"
return
}
$arrgpo = New-Object System.Collections.ArrayList
foreach ($loopGPO in Get-GPO -All)
{
if ($loopGPO.User.Enabled)
{
$AuthPermissionsExists = Get-GPPermissions -Guid $loopGPO.Id -All | Select-Object -ExpandProperty Trustee | ? {$_.Name -eq "Authenticated Users"}
If (!$AuthPermissionsExists)
{
$arrgpo.Add($loopGPO) | Out-Null
}
}
}
if($arrgpo.Count -eq 0)
{
echo "All Group Policy Objects grant access to 'Authenticated Users'"
return
}
else
{
Write-Warning "The following Group Policy Objects do not grant any permissions to the 'Authenticated Users' group:"
foreach ($loopGPO in $arrgpo)
{
write-host "'$($loopgpo.DisplayName)'"
}
}
$title = "Adjust GPO Permissions"
$message = "The Group Policy Objects (GPOs) listed above do not have the Authenticated Users group added with any permissions. Group policies may fail to apply if the computer attempting to list the GPOs required to download does not have Read Permissions. Would you like to adjust the GPO permissions by adding Authenticated Users group Read permissions?"
$yes = New-Object System.Management.Automation.Host.ChoiceDescription "&Yes", `
"Adds Authenticated Users group to all user GPOs which don't have 'Read' permissions"
$no = New-Object System.Management.Automation.Host.ChoiceDescription "&No", `
"No Action will be taken. Some Group Policies may fail to apply"
$options = [System.Management.Automation.Host.ChoiceDescription[]]($yes, $no)
$result = $host.ui.PromptForChoice($title, $message, $options, 0)
$appliedgroup = $null
switch ($result)
{
0 {$appliedgroup = "Authenticated Users"}
1 {$appliedgroup = $null}
}
If($appliedgroup)
{
foreach($loopgpo in $arrgpo)
{
write-host "Adding 'Read' permissions for '$appliedgroup' to the GPO '$($loopgpo.DisplayName)'."
Set-GPPermissions -Guid $loopgpo.Id -TargetName $appliedgroup -TargetType group -PermissionLevel GpoRead | Out-Null
}
}
Si prefiere establecer el permiso de lectura para equipos de dominio (como lo hago) en lugar de usuarios autenticados, simplemente cambie esto 0 {$appliedgroup = "Authenticated Users"}a eso0 {$appliedgroup = "Domain Computers"}