Контроллер домена Samba4, сбой обработки групповой политики, сбой gpupdate

Я использую контроллер домена Samba4, и на машинах, подключенных к домену, я вижу это сообщение:

The processing of Group Policy failed. Windows attempted to read the file \\mydomain.org\sysvol\mydomain.org\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}\gpt.ini from a domain controller and was not successful. Group Policy settings may not be applied until this event is resolved. This issue may be transient and could be caused by one or more of the following: 
a) Name Resolution/Network Connectivity to the current domain controller. 
b) File Replication Service Latency (a file created on another domain controller has not replicated to the current domain controller). 
c) The Distributed File System (DFS) client has been disabled.

Запуск gpupdate выдает мне ту же ошибку. Если я открою окно запуска и введите notepad \\mydomain.org\sysvol\mydomain.org\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}\gpt.iniЯ открываю Блокнот с файлом в нем. Содержание это:

[General]
Version=14

Очевидно, что файл существует и доступен (в любом случае, администратором домена). Имя mydomain.org восстанавливается до IP-адреса моего контроллера домена. Если я бегу GPRESULT /H GPReport.htmlПолученный файл говорит:

Group Policy Infrastructure failed due to the error listed below.

Access is denied. 

Note: Due to the GP Core failure, none of the other Group Policy components processed their policy. Consequently, status information for the other components is not available.

Я проверил ACL через smbcacls в папке домена под общей папкой sysvol и получил следующий вывод:

pi@dc-rpi1 ~ $ smbcacls //mydomain.org/sysvol mydomain.org -U administrator@mydomain.org
Enter administrator@mydomain.org's password:
REVISION:1
CONTROL:SR|PD|DP
OWNER:MYDOMAIN\Administrator
GROUP:BUILTIN\Administrators
ACL:BUILTIN\Administrators:ALLOWED/OI|CI/FULL
ACL:BUILTIN\Server Operators:ALLOWED/OI|CI/READ
ACL:NT AUTHORITY\SYSTEM:ALLOWED/OI|CI/FULL
ACL:NT AUTHORITY\Authenticated Users:ALLOWED/OI|CI/READ

Если я пытаюсь получить ACL для самого файла gpt.ini, я получаю это:

pi@dc-rpi1 ~ $ smbcacls //mydomain.org/sysvol mydomain.org/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}/gpt.ini -U administrator@mydomain.org
Enter administrator@mydomain.org's password:
REVISION:1
CONTROL:SR|PD|DP
OWNER:MYDOMAIN\Domain Admins
GROUP:MYDOMAIN\Domain Admins
ACL:MYDOMAIN\Domain Admins:ALLOWED/OI|CI/FULL
ACL:MYDOMAIN\Enterprise Admins:ALLOWED/OI|CI/FULL
ACL:CREATOR OWNER:ALLOWED/OI|CI|IO/FULL
ACL:MYDOMAIN\Domain Admins:ALLOWED/OI|CI/FULL
ACL:NT AUTHORITY\SYSTEM:ALLOWED/OI|CI/FULL
ACL:NT AUTHORITY\Authenticated Users:ALLOWED/OI|CI/READ
ACL:NT AUTHORITY\ServerLogon:ALLOWED/OI|CI/READ

Почему не работает обработка групповой политики? ACL не работают, потому что мой DC не работает с правильной файловой системой или какая-то другая проблема с настройкой?