近日，DC总报错，每隔5分钟出现一次事件1030和1058。

1030：
详细信息为：
事件类型:      错误
事件来源:      Userenv
事件种类:      无
事件 ID: 1030
日期:             2007-11-29
事件:             9:15:57
用户:             NT AUTHORITY\SYSTEM
计算机:   ＃
描述:
Windows 不能查询组策略对象列表。请查看事件日志，从中寻找策略引擎以前可能记录的描述此原因的消息。
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。

1058：
详细信息为：
事件类型:      错误
事件来源:      Userenv
事件种类:      无
事件 ID: 1058
日期:             2007-11-29
事件:             9:15:57
用户:             NT AUTHORITY\SYSTEM
计算机:   ＃
描述:
Windows 无法访问 GPO CN={4128F472-DD32-4BB0-9840-E1DC84AEB7C1},CN=Policies,CN=System,DC=**,DC=*,DC=*,DC=*,DC=cn 的

文件 gpt.ini。此文件必须在 <\\*.*.*.*.cn\SysVol\*.*.*.*.cn\Policies\{4128F472-DD32-4BB0-9840-E1DC84AEB7C1}\gpt.ini>。(

拒绝访问。 )。组策略处理中止。
有关更多信息，请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。

尝试过许多方法，均告失败。
奏效的方法为：

在保证安装必须的supporttools和sp的情况下，

首先，对DFS进行刷新：
运行   dfsutil /pktflush
      dfsutil /spcflush
      dfsutil /purgemupcache
然后，刷新组策略

运行 gpupdate /force

此时报错情况消失，有帖子说这样解决问题会在重启之后重新出现，我试过之后没有问题。

 

根据MS网站，其他原因造成这种情况的解决办法主要有以下几种：

第一种情况：

原因

如果您将不适当的权限分配给 %SystemRoot%\Winnt\Sysvol 文件夹或将不适当的组分配给 Bypass Traverse Checking User Rights

Assignment（跳过遍历检查用户权利指派），可能会发生此问题。另外，如果 sysvol 共享权限限制过多，也可能会发生此问题。

解决方案

要解决此问题，请根据您的操作系统，使用以下方法之一：

Windows Server 2003

1.
设置文件夹安全权限。为此，请按照下列步骤操作：
a.在 Windows 资源管理器中，右键单击“%SystemRoot%\Windows\Sysvol”文件夹，然后单击“属性”。

b.在“安全性”选项卡上，单击“高级”，单击以清除“允许从父系来的继承权限传播到这个对象”复选框，然后单击“确定”。确保安全设置与以下设置相匹配，然后单击“确定

”：

管理员：完全控制
经身份验证的用户：读取、读取和执行、列出文件夹内容
创建者所有者：没有选中项
服务器操作员：读取、读取和执行、列出文件夹内容
系统：完全控制

c.右键单击“%SystemRoot%\Windows\Sysvol\Sysvol”文件夹，然后单击“属性”。

d.在“安全性”选项卡上，单击“高级”，单击以清除“允许从父系来的继承权限传播到这个对象”复选框，然后单击“确定”两次。

e.右键单击“%SystemRoot%\Winnt\Sysvol\Sysvol\domain”文件夹，然后单击“属性”。

f.在“安全性”选项卡上，单击“高级”，单击以清除“允许从父系来的继承权限传播到这个对象”复选框，然后单击“确定”两次。

g.右键单击“%SystemRoot%\Winnt\Sysvol\Sysvol\domain\Policies”文件夹，然后单击“属性”。

h.在“安全性”选项卡上，单击“高级”，单击以清除“允许从父系来的继承权限传播到这个对象”复选框，然后单击“确定”。确保安全设置与以下设置相匹配，然后单击“确定

”：

管理员：完全控制
经身份验证的用户：读取、读取和执行、列出文件夹内容
创建者所有者：没有选中项
组策略创建者所有者：读取、读取和执行、列出文件夹内容、修改、写入
服务器操作员：读取、读取和执行、列出文件夹内容
系统：完全控制

i.对于位于 %SystemRoot%\Winnt\Sysvol\Sysvol\domain\Policies 文件夹中的文件或文件夹，分别右键单击这些文件或文件夹，然后单击“属性”。

j.在“安全性”选项卡上，单击“高级”，单击以选择“允许从父系来的继承权限传播到这个对象”复选框，然后单击“确定”两次。

2.展开“Active Directory 用户和计算机”。为此，单击“开始”，单击“所有程序”，然后单击“管理工具”。

3.展开“Active Directory 用户和计算机”，展开域名，右键单击“域控制器”，然后单击“属性”。

4.在“组策略”选项卡上，单击“默认域控制器策略”，然后单击“编辑”。

注意：如果安装了组策略管理控制台，则“编辑”按钮不可用。在这种情况下，单击“打开”以启动组策略管理控制台，展开“domain name”，展开“域控制器”，右键单击“默

认域控制器策略”，然后单击“编辑”。
 (http://www.microsoft.com/windowsserver2003/gpmc/default.mspx)

5.展开下面的文件夹：

计算机配置
Windows 设置
安全设置
本地策略

6.单击“用户权限分配”，然后双击“跳过遍历检查”。应该出现下列默认设置：

经身份验证的用户
所有人
管理员

如果没有出现，而您又需要添加这些组，请单击“添加用户或组”，然后单击“浏览”。

7.单击“开始”，单击“运行”，键入 gpupdate，然后单击“确定”。

8.请验证 sysvol 共享权限设置是否正确，如下所示：

管理员 = 完全控制
经身份验证的用户 = 完全控制
所有人 = 读取

注意：如果此过程不能解决问题，或者您在访问组策略时遇到问题，请检查服务器上的绑定顺序，以确保内部网络适配器在绑定顺序列表中排在第一位。要检查绑定顺序，请按

照下列步骤操作：

1.右键单击“网上邻居”，然后单击“属性”。
2.在“高级”菜单上，单击“高级设置”。
3.在“连接”框内，确保内部网络适配器第一个列出。如果不是第一个，使用箭头将其移到列表顶部。

第二种情况：
原因
如果以下两个条件同时成立，则可能会出现此问题：
"
您的基于 Windows XP 的计算机是域中的一个成员。
"
Microsoft 分布式文件系统 (DFS) 客户端被关闭。
注意：\\Active Directory Domain Name\Sysvol 共享是一种特殊的共享，它需要 DFS 客户端建立连接。
注意：如果从根驱动器 NTFS 文件系统权限中删除了“Everyone”，也可能出现此问题。如果从根驱动器 NTFS 权限中删除了“Everyone”，可在根文件夹上恢复

“Everyone”组的 NTFS 权限，方法是在根文件夹上仅授予“Everyone”特殊的“读取”和“执行 NTFS”权限。

解决方案
要解决此问题，请打开 DFS 客户端。为此，请按照下列步骤操作。
警告：注册表编辑器使用不当可导致严重问题，可能需要重新安装操作系统。Microsoft 不能保证您可以解决因注册表编辑器使用不当而导致的问题。使用注册表编辑器

需要您自担风险。

1.单击“开始”，然后单击“运行”。
2.在“打开”框中，键入 regedt32，然后单击“确定”。
3.在注册表编辑器窗口中，找到以下注册表项：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Mup
4.在右侧的详细信息窗格中，双击“DisableDFS”。
如果“数值数据”框中的值为 1，则 DFS 客户端被关闭。
如果“数值数据”框中的值为 0，则 DFS 客户端被打开。
5.显示“编辑 DWORD 值”对话框，在“数值数据”框中键入 0，然后单击“确定”。
6.在“文件”菜单上，单击“退出”以退出注册表编辑器。

另外，打开接口上的“Microsoft 网络的文件和打印机共享”。为此，请按照下列步骤操作：
1.单击“开始”，指向“连接到”，然后单击“显示所有连接”。
2.右键单击相应的连接，然后单击“属性”。
3.单击“常规”选项卡。
4.在“此连接使用下列项目”下，检查“Microsoft 网络的文件和打印机共享”旁的复选框是否已经选中，然后单击“确定”。

第三种情况：
原因
如果 winlogon 进程试图在其他组件运行前处理组策略，则可能发生此问题。本文介绍的此修补程序添加了更多的逻辑，以增强 winlogon 和工作站服务的默认行为。
但是，其他一些情况也可能导致此问题。应用此修补程序前，请确保已启动并正确配置了下列组件：

"Netlogon 和 DFS 服务已启动。"   
域控制器具有读取和应用域控制器策略的权限。

"在 Sysvol 共享上正确设置了 NTFS 文件系统权限和共享权限。"   

DNS 项对于域控制器正确。
解决方案
Windows Server 2003
Service Pack 信息
要解决此问题，请获取 Windows Server 2003 的最新 Service Pack。注意：安装 Service Pack 后，您仍然必须按照“注册表信息”一节中所述的过程操作

。

修补程序信息

Microsoft 目前提供了一个受支持的修补程序。但是，此修补程序仅用于修复本文所述的问题。请仅将此修补程序应用于出现这一特定问题的系统。此修补程序可能还会

接受进一步的测试。因此，如果这个问题没有给您造成严重的影响，我们建议您等待包含此修补程序的下一个 Service Pack。

要解决该问题，请向 Microsoft 在线客户服务提交请求以获取修补程序。要提交联机请求以获取修补程序，请访问下面的 Microsoft 网站：

http://go.microsoft.com/?linkid=6294451 (http://go.microsoft.com/?linkid=6294451)

此修补程序的英文版具有下表中列出的文件属性（或更新的文件属性）。这些文件的日期和时间按协调世界时 (UTC) 列出。当您查看文件信息时，该时间将转换为本地时间

。要了解 UTC 与本地时间之间的时差，请使用“控制面板”中“日期和时间”工具的“时区”选项卡。

日期 时间 版本 大小 文件名 ------------------------------------------------------- 22-Mar-2004 23:18 5.2.3790.140

540,160 Winlogon.exe 22-Mar-2004 23:18 5.2.3790.121 126,976 Wkssvc.dll

注册表信息

警告：如果使用注册表编辑器或其他方法错误地修改了注册表，则可能会出现严重问题。这些问题可能需要重新安装操作系统才能解决。Microsoft 不能保证可以解决这

些问题。修改注册表需要您自担风险。

注意：在 Windows Server 2003 中请按照下列步骤操作。

应用此修补程序后，请按照下列步骤操作：

1.依次单击“开始”、“运行”，在“打开”框中键入 regedit，然后单击“确定”。

2.在注册表编辑器中，找到下面的注册表子项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

3.如果缺少“WaitForNetwork”项，则必须添加此项。为此，请按照下列步骤操作：

a.右键单击“Winlogon”子项，单击“新建”，然后单击“DWORD 值”。
b.在“数值名称”框中，键入 WaitForNetwork。

4.右键单击“WaitForNetwork”，然后单击“修改”。

5.在“编辑 DWORD 值”对话框的“数值数据”框中键入 1，然后单击“确定”。

6.退出注册表编辑器。

Microsoft Windows XP

Service Pack 信息

要解决此问题，请获取最新的 Windows XP Service Pack。

状态

Microsoft 已经确认这是在“这篇文章中的信息适用于：”部分中列出的 Microsoft 产品中存在的问题。
此问题最早在 Windows Server 2003 Service Pack 1 中得到了解决。
此问题最早在 Windows XP Service Pack 2 中得到了解决。

替代方法

要解决此问题，可以运行 Dfsutil.exe 文件。Microsoft Windows Server 2003 支持工具包含 Dfsutil.exe 文件。要安装 Windows Server

2003 支持工具，请运行 Windows Server 2003 光盘中的 \\SUPPORT\TOOLS\SUPTOOLS.MSI。您也可以直接从 \\SUPPORT\TOOLS\SUPPORT.CAB

文件提取支持工具。 要运行 Dfsutil.exe 文件，请按照下列步骤操作：

1.依次单击“开始”、“运行”，键入 cmd，然后单击“确定”。
2.在命令提示符下，键入 dfsutil /PurgeMupCache，然后按 Enter。