Se eu adicionar um usuário a um grupo no AD, para refletir essa alteração em um computador (veja no gpresult em grupos de segurança), preciso entrar e sair da sessão do usuário duas vezes. Além disso, o mesmo acontece quando adiciono o usuário à lista de delegações em um GPO como negar ao aplicar este gpo.
Este é o comportamento habitual? Acho que não, um logoff deve ser suficiente. Mas isso acontece de forma consistente.
Algo está quebrado no meu AD? O servidor de logon do cliente e o DC onde fiz as alterações são os mesmos.
Além disso, não importa quantos gpupdate eu faça na sessão do usuário, ainda serão necessários dois logins.