Confira no link joeqwerty remendo demais .
Há os detalhes importantes:
Problemas conhecidos
O MS16-072 altera o contexto de segurança com o qual as diretivas de grupo de usuários são recuperadas. Essa alteração de comportamento por projeto protege os computadores dos clientes contra uma vulnerabilidade de segurança. Antes da instalação do MS16-072, as diretivas de grupo de usuários eram recuperadas usando o contexto de segurança do usuário. Após a instalação do MS16-072, as diretivas de grupo de usuários são recuperadas usando o contexto de segurança das máquinas. Este problema é aplicável aos seguintes artigos da base de dados:
- 3159398 MS16-072: Descrição da atualização de segurança da Diretiva de Grupo: 14 de junho de 2016
- 3163017 Atualização cumulativa para Windows 10: 14 de junho de 2016
- 3163018 Atualização cumulativa para Windows 10 versão 1511 e Windows Server 2016 Visualização técnica 4: 14 de junho de 2016
- Atualização cumulativa 3163016 para o Windows Server 2016 Visualização técnica 5: 14 de junho de 2016
Sintomas
Todas as Diretivas de Grupo de usuários, incluindo aquelas que foram filtradas com segurança nas contas de usuário ou nos grupos de segurança, ou em ambos, podem falhar na aplicação nos computadores ingressados no domínio.
Causa
Esse problema pode ocorrer se o Objeto de Diretiva de Grupo estiver sem as permissões de Leitura para o grupo Usuários Autenticados ou se você estiver usando a filtragem de segurança e com as permissões de Leitura no grupo de computadores do domínio.
Resolução
Para resolver esse problema, use o Console de Gerenciamento de Diretiva de Grupo (GPMC.MSC) e siga uma das seguintes etapas:
- Adicione o grupo Usuários autenticados com permissões de leitura no GPO (Objeto de Diretiva de Grupo).
- Se você estiver usando a filtragem de segurança, adicione o grupo Computadores de Domínio com permissão de leitura.
Consulte este link Implante o MS16-072, que explica tudo e oferece script para reparar os GPOs afetados. O script adiciona permissões de leitura de usuários autenticados a todos os GPOs que não têm permissão para usuários autenticados.
# Copyright (C) Microsoft Corporation. All rights reserved.
$osver = [System.Environment]::OSVersion.Version
$win7 = New-Object System.Version 6, 1, 7601, 0
if($osver -lt $win7)
{
Write-Error "OS Version is not compatible for this script. Please run on Windows 7 or above"
return
}
Try
{
Import-Module GroupPolicy
}
Catch
{
Write-Error "GP Management tools may not be installed on this machine. Script cannot run"
return
}
$arrgpo = New-Object System.Collections.ArrayList
foreach ($loopGPO in Get-GPO -All)
{
if ($loopGPO.User.Enabled)
{
$AuthPermissionsExists = Get-GPPermissions -Guid $loopGPO.Id -All | Select-Object -ExpandProperty Trustee | ? {$_.Name -eq "Authenticated Users"}
If (!$AuthPermissionsExists)
{
$arrgpo.Add($loopGPO) | Out-Null
}
}
}
if($arrgpo.Count -eq 0)
{
echo "All Group Policy Objects grant access to 'Authenticated Users'"
return
}
else
{
Write-Warning "The following Group Policy Objects do not grant any permissions to the 'Authenticated Users' group:"
foreach ($loopGPO in $arrgpo)
{
write-host "'$($loopgpo.DisplayName)'"
}
}
$title = "Adjust GPO Permissions"
$message = "The Group Policy Objects (GPOs) listed above do not have the Authenticated Users group added with any permissions. Group policies may fail to apply if the computer attempting to list the GPOs required to download does not have Read Permissions. Would you like to adjust the GPO permissions by adding Authenticated Users group Read permissions?"
$yes = New-Object System.Management.Automation.Host.ChoiceDescription "&Yes", `
"Adds Authenticated Users group to all user GPOs which don't have 'Read' permissions"
$no = New-Object System.Management.Automation.Host.ChoiceDescription "&No", `
"No Action will be taken. Some Group Policies may fail to apply"
$options = [System.Management.Automation.Host.ChoiceDescription[]]($yes, $no)
$result = $host.ui.PromptForChoice($title, $message, $options, 0)
$appliedgroup = $null
switch ($result)
{
0 {$appliedgroup = "Authenticated Users"}
1 {$appliedgroup = $null}
}
If($appliedgroup)
{
foreach($loopgpo in $arrgpo)
{
write-host "Adding 'Read' permissions for '$appliedgroup' to the GPO '$($loopgpo.DisplayName)'."
Set-GPPermissions -Guid $loopgpo.Id -TargetName $appliedgroup -TargetType group -PermissionLevel GpoRead | Out-Null
}
}
Se você preferir definir a permissão de leitura para computadores de domínio (como eu faço) em vez de usuários autenticados, basta alterar isso 0 {$appliedgroup = "Authenticated Users"}para aquele0 {$appliedgroup = "Domain Computers"}