GPO Logging ด้วย Gpsvc.log ใน Windows 7

ล็อกดีบั๊ก Userenv.log (%Systemroot%\Debug\UserMode\Userenv.log) สามารถใช้วิเคราะห์การนำ GPO ไปใช้ใน Windows XP และ Windows Server 2003 ได้อย่างละเอียด โดยใช้การบันทึกล็อก Group Policy นี้ คุณสามารถติดตามลำดับและเวลาของการนำ Group Policy ไปใช้ หา Policy ที่ทำให้บูทช้า และแก้ปัญหาอื่นๆ ที่เกี่ยวข้องกับ GPO

ใน Windows 7 (หรือสูงกว่า) นักพัฒนา Microsoft ตัดสินใจหยุดใช้ Userenv.log เป็นเครื่องมือดีบั๊กหลักของการประมวลผล GPO เหตุการณ์ส่วนใหญ่ที่เกี่ยวข้องกับ Group Policy ตอนนี้มีอยู่ใน Event Viewer (eventvwr) ใน Applications and Services Logs –> Microsoft -> Windows -> Group Policy -> Operational.

Event 5312 มีรายการ Policy ที่จะนำไปใช้ และ Event 5317 แสดงรายการ Policy ที่ถูกกรองออก

อย่างไรก็ตาม เหตุการณ์ในล็อกนี้ไม่ละเอียดเท่ากับไฟล์ Userenv.log ใน Windows XP

คุณยังสามารถเปิดใช้งานล็อกดีบั๊กแบบเดียวกันของ Group Policy Client Service (GPSVC) ใน Windows 7 ได้ ฟีเจอร์ที่ไม่ได้เอกสารไว้นี้สำหรับการเปิดใช้งานล็อกขยายของ GPO ยังพร้อมใช้งานใน Windows 8, 10 และ Windows Server 2008/2012

คุณสามารถเปิดใช้งาน GPO debug logging ในรีจิสทรี สร้างพารามิเตอร์ DWORD ชื่อ GPSvcDebugLevel ค่า 00030002 ในคีย์ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Diagnostics (อาจต้องสร้างสาขา Diagnostics เอง)

REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Diagnostics" /v GPSvcDebugLevel /t REG_DWORD /d 0x00030002 /f

อัปเดตการตั้งค่า Policy ด้วยคำสั่ง gpupdate /force (หรือรีสตาร์ทคอมพิวเตอร์หากต้องการดีบั๊ก Policy ที่นำไปใช้ตอนบูท)

หลังรีสตาร์ท Group Policy Client service จะบันทึกข้อมูลดีบั๊กขยายไปที่ไฟล์ gpsvc.log (WINDIR%\debug\usermode\gpsvc.log)

สำหรับอ้างอิง นี่คือส่วนหนึ่งของ gpsvc.log:


..........
GPSVC(3a8.ce8) 12:24:32:494 MaxTimeToWaitForNetwork: 120000ms
GPSVC(3a8.ce8) 12:24:32:494 TimeRemainingToWaitForNetwork: 0ms
GPSVC(3a8.ce8) 12:24:32:494 UserPolicy: Waiting for machine policy wait for network event with timeout 0 ms
GPSVC(3a8.ce8) 12:24:32:541 GPLockPolicySection: Sid = (null), dwTimeout = 30000, dwFlags = 65538
GPSVC(3a8.ce8) 12:24:32:541 LockPolicySection called for user
GPSVC(3a8.ce8) 12:24:32:541 Sync Lock Called
GPSVC(3a8.ce8) 12:24:32:541 Reader Lock got immediately. m_cReadersInLock : 1
GPSVC(3a8.ce8) 12:24:32:541 Lock taken successfully
GPSVC(3a8.ce8) 12:24:32:541 UnLockPolicySection called for user
GPSVC(3a8.ce8) 12:24:32:541 Found the caller in the ReaderHavingLock List. Removing it...
GPSVC(3a8.ce8) 12:24:32:541 Setting lock state as notLocked
GPSVC(3a8.ce8) 12:24:32:541 UnLocked successfully
GPSVC(3a8.ce8) 12:24:32:556 Opened Existing Registry key
GPSVC(3a8.ce8) 12:24:32:556 UncPath :'\\CORP.DOMAIN.COM\SYSVOL'
............

การวิเคราะห์ gpsvc.log ด้วยตนเองใช้เวลานานมาก เครื่องมือฟรี Policy Reporter (https://www.sysprosoft.com/policyreporter.shtml) ช่วยทำให้ง่ายขึ้น และแสดง GPO debug log เป็นต้นไม้จัดกลุ่มตามเวลา

ข้อมูลจาก gpsvc.log และผลลัพธ์จาก GPResult สามารถใช้ทำการวิเคราะห์รายละเอียดการนำ GPO ไปใช้บนไคลเอนต์ได้