Как разобрать расхождение версий Group Policy между Active Directory и SYSVOL: проверить стороны объекта и репликацию по контроллерам, не начинать с опасной синхронизации.
Разделите контейнерную и файловую части политики
По протоколу MS-GPOL клиент имеет дело с версией контейнера GPO в Active Directory и версией файловой части в SYSVOL. Поэтому сообщение о несовпадении не отвечает, какая сторона новее и на каком контроллере. Зафиксируйте GUID политики, домен, контроллер, с которого получены данные, значения обеих версий и время наблюдения. Не включайте содержимое сценариев, имена пользователей или секреты из параметров политики. Одна строка без имени DC непригодна для анализа: разные контроллеры могут показывать разные промежуточные состояния.
Постройте матрицу по всем релевантным контроллерам
Строками сделайте контроллеры домена, колонками — доступность AD, версия контейнера, доступность SYSVOL, версия файловой части и время. Снимайте данные в коротком интервале и помечайте контроллер, к которому был привязан инструмент. Если одна версия одинакова везде, а вторая различается, область поиска уже сужена. Если обе части различаются между DC, сначала исследуйте репликацию, а не саму политику. Не редактируйте GPO ради увеличения счётчика: новое изменение добавит ещё одно состояние и затруднит определение исходного направления.
Проверьте репликацию до выбора стороны восстановления
Официальная диагностика Microsoft предлагает определять источник, назначение, код ошибки и время последней успешной репликации. Сопоставьте ошибки AD replication с теми DC, где отличается контейнерная версия; отдельно проверьте доступность и состояние SYSVOL. Отсутствие ошибки в одном интерфейсе не доказывает согласованность обеих частей GPO. В отчёте пишите наблюдаемый факт: «на DC-A версия контейнера X, файловая Y», а не вывод «SYSVOL сломан», пока нет подтверждения маршрута репликации и эталонного состояния.
Остановитесь перед принудительной синхронизацией
Не выбирайте authoritative сторону по наибольшему числу и не копируйте каталог политики вручную. Стоп-условия: неизвестно, где последнее корректное изменение; есть несколько редакторов; репликация сейчас нестабильна; нет резервной копии или согласованного окна. Для эскалации подготовьте матрицу, GUID, время последнего ожидаемого изменения, результаты диагностики репликации и список затронутых DC. Ремонт можно планировать только после установления эталона и направления расхождения. До этого безопасный результат — полное доказательство состояния без мутации.
Материал подготовлен редакцией VOne с применением ИИ для структурирования; технические утверждения вручную сверены с официальной документацией, а форумная ветка использована только как обезличенный сигнал боли.
Источники и проверка
- Microsoft Open Specifications — MS-GPOL GPO versions проверено 2026-07-31
- Microsoft Learn — Diagnose Active Directory replication failures проверено 2026-07-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.