1 14/04/2026 4 min

Su una rete Windows reale, “aggiornare i Criteri di gruppo” non significa sempre la stessa cosa. A volte basta forzare il refresh delle policy già applicate. Altre volte serve colpire un computer remoto che non sta ricevendo impostazioni nuove, magari perché è fuori sede, lento a contattare il controller di dominio o bloccato da un client che non ha ancora elaborato il ciclo di aggiornamento. Se l’obiettivo è intervenire senza accesso fisico, la scelta del metodo conta più del comando in sé.

Qui sotto trovi cinque strade concrete, con un taglio operativo: quando usarle, cosa verificare prima e quali effetti aspettarti. Il punto non è “fare il refresh” in astratto, ma ridurre il tempo tra modifica della policy e applicazione sul computer remoto, senza aprire più superficie del necessario.

1. Forzare l’aggiornamento con gpupdate via PsExec o PowerShell Remoting

È il metodo più diretto quando hai già amministrazione remota sul client e vuoi un refresh immediato. In pratica esegui gpupdate /force sulla macchina remota, invece di aspettare il normale intervallo di aggiornamento. Funziona bene per test veloci, troubleshooting e change controllati su pochi host.

Con PsExec, il comando tipico è questo:

psexec \PC-REMOTO -s -d gpupdate /force

Con PowerShell Remoting, la logica è simile ma più elegante se hai già WinRM attivo:

Invoke-Command -ComputerName PC-REMOTO -ScriptBlock { gpupdate /force }

Il vantaggio è evidente: tempi rapidi e risultato leggibile. Il limite è altrettanto chiaro: se WinRM, RPC o l’accesso amministrativo non sono disponibili, non vai da nessuna parte. In più, forzare il refresh non risolve problemi di replica AD o policy corrotte; accelera solo l’elaborazione locale.

Verifica subito con gpresult /r o, meglio, con gpresult /h C: emp eport.html sul client remoto per controllare se la GPO attesa è stata applicata. Se il refresh fallisce, cerca eventi in Event Viewer > Applications and Services Logs > Microsoft > Windows > GroupPolicy > Operational.

2. Usare lo Group Policy Management Console con Group Policy Update

Se lavori da console grafica e stai gestendo un insieme di computer in dominio, la Group Policy Management Console offre il comando “Group Policy Update”. È comodo quando vuoi evitare script, oppure quando devi coinvolgere un collega meno abituato alla riga di comando. Dal punto di vista operativo, è anche un buon compromesso tra velocità e controllo.

Il percorso è semplice: apri Group Policy Management, seleziona l’OU o il singolo computer, poi avvia l’update della policy. Il sistema tenterà di innescare un refresh remoto sul client tramite le meccaniche di amministrazione previste da Windows. Se il computer è raggiungibile e i prerequisiti sono a posto, il refresh parte senza dover accedere interattivamente al desktop remoto.

Questo metodo è utile soprattutto quando devi aggiornare più endpoint ma vuoi mantenere tracciabilità amministrativa. Il contro è che dipende dalla raggiungibilità del client e dal fatto che il firewall non blocchi i canali richiesti. Se una parte della flotta è in VPN intermittente o dietro segmentazione stretta, il tasso di successo può calare in fretta.

Controlla l’esito con il report della console e con i log lato client. Se il PC non risponde, non insistere a casaccio: prima verifica con ping, poi con una prova di remoting o con la presenza del computer in AD. Il fallimento spesso non è nella policy, ma nella connettività o nei permessi.

3. Programmare un refresh remoto con schtasks o attività pianificata

Quando il client è spesso acceso ma non sempre disponibile al momento in cui vuoi intervenire, una Scheduled Task remota è più robusta di un comando “one shot”. Puoi creare un’attività che esegue gpupdate /force con privilegi elevati, oppure che lanci uno script di verifica e aggiornamento in una finestra oraria precisa.

Un esempio minimale, da adattare al tuo contesto, è questo:

schtasks /Create /S PC-REMOTO /RU SYSTEM /SC ONCE /ST 23:30 /TN