Vše o roamingových profilech a přesměrování složek jednoduchými slovy / Habr

O roamingových profilech jsem chtěl psát už dlouho, ale neměl jsem čas. Četl jsem na internetu mnoho různých recenzí, názorů, komentářů atd. Mnoho článků a videí zveřejněných online nebylo zcela zveřejněno, ale obecně. Připadá mi to, jako by ten člověk sám úplně nepochopil podstatu problému (o čemž pochybuji), nebo si myslí, že všichni už mají dostatečné znalosti, a proto mnoho podrobností není zveřejněno. Chyběly maličkosti, kterým bylo třeba věnovat pozornost. Nikde jsem nenašel úplně probrané téma, tak jsem se rozhodl napsat tento článek.

Chtěl jsem napsat pro lidi, kteří nemají praktické zkušenosti s prací s roamingovými profily, nevědí, jak vše dělat správně, aby později nebyla bolest a zášť za promarněné úsilí a čas.

Zkrátka vše je zde pro začátečníky. Vyžvýkané do nejmenších detailů. Pokud uděláte vše správně, nebudou žádné problémy.

Než jsem se posadil k napsání tohoto článku, připojil jsem k serveru 56 počítačů a všech 56 používá roamingové profily. Od připojení posledního počítače uplynulo více než šest měsíců a od připojení prvního počítače přibližně 10 měsíců. Proto mám v této věci, byť malé, dobré zkušenosti.

Jsem si jistý, že v komentářích bude spousta negativních ohlasů. Budou otázky, diskuse a odsouzení. Jsem na to připraven. A tak začnu krátkým úvodem.

1. Co nám kromě bolesti hlavy přinášejí roamingové profily a přesměrování složek?

1.1 Možnost pracovat s dokumenty z libovolného počítače v doméně.

1.2 Nemusíte se bát, že vám zemře (rozbije se, vyhoří atd.) váš počítač a všechna vaše data budou ztracena, protože nikdy není čas přenést vše cenné z plochy na flash disk a vše cenné vždy uchováváme na ploše. Prostě vezmeme další počítač a pracujeme na něm, jako by to byl náš vlastní.

1.3 S operačním systémem můžete experimentovat dle libosti, protože pokud OS vypadne, vše, co bylo uloženo na ploše, v souborech ke stažení, v dokumentech, se uloží na server.

1.4 Uživatel, který ví, že obsah jeho plochy a dalších složek je umístěn na serveru, který má k dispozici správce systému, pravděpodobně nebude na svém počítači ukládat důvěrné informace. I když je chráněn heslem.

2. Jaký druh bolesti hlavy může způsobit přesměrování roamingového profilu a složky?

2.1 Uživateli – žádné. Uživatel někdy ani nemůže pochopit, že server zemřel a pracuje s dokumenty v offline režimu.

2.2 Pro správce systému – pokud je vše provedeno správně, nebudou také žádné problémy. To však podléhá splnění nezbytných požadavků.

Trochu mušky s profily.

Cestovní profil a přesměrování složek byste neměli nasazovat na běžný počítač, kde je nasazena doména. I když nemáte jeden doménový řadič, ale tři (o čemž silně pochybuji), pak se třemi řadiči vaše profilová složka na dvou podřízených řadičích nebude užitečná.

Ano, replikuje se z prvního ovladače na další dva. Ano, všechna data vašeho profilu budou duplikována dvakrát. Pokud však primární řadič domény není spuštěn, uživatelé se nebudou moci připojit k serveru, protože jejich profily jsou pevně zakódovány na primární řadič domény. A jedinou dočasnou možností bude pro uživatele pracovat v autonomním režimu, dokud nebude obnoven hlavní ovladač.

Abyste tomu zabránili, musí být splněny následující hardwarové požadavky:

1. Doméně přidělte skutečný server, na kterém je možné vytvářet pole RAID.
2. Přidělte systému 2 pevné disky a vložte je do pole RAID 1.
3. Přidělte alespoň 3 pevné disky pro uživatelské profily a vložte je do pole RAID 5.
4. Server musí mít možnost obnovit provoz po výpadku napájení.

Nebo jiná možnost:

1. Základní desky s podporou RAID 1, 5,10,50, 2016, 2019 jsou nyní k dispozici k prodeji. Na této základní desce sestavte počítač, nainstalujte Server XNUMX/XNUMX. A ve výsledku dostaneme server, který není plně funkční, ale docela funkční a spolehlivý. I když dojde k výpadku napájení serveru, můžete jej kdykoli později restartovat ručně.
2. Pro deštivý den mějte zálohu systému spolu s GPO, uživateli atd. Nejlepší možností by byla záloha přes Acronis. No, to je můj osobní názor. Svoboda svobodným.

A pouze pokud jsou splněny tyto podmínky, můžete nasadit cestovní profil a přesměrování složek.

část 1

Vytváření uživatelských složek v AD a cestovního profilu.

1. Otevřete „Uživatelé a počítače“ v AD na serveru.
2. V obecném rozdělení „uživatelé“ definujeme přístupová práva. Pro administrátory budeme potřebovat bezpečnostní skupinu „Administrator“ a pro uživatele – „Domain Users“.
3. Vytvořte sdílenou složku – nejlépe na samostatném disku (pro začátek na čistém). Dovolte mi vysvětlit – pokud se s profily něco pokazí (zadáte špatnou cestu) – je obtížné je odstranit, pokud byly v profilech provedeny chyby. Právě jsem zformátoval disk. Poté, když vše uděláte bez chyb, sdílejte složku, kdekoli ji potřebujete.
4. Vytvořil jsem sdílenou složku s názvem „PROFILY UŽIVATELE“. Toto je moje složka. Ten tvůj se může jmenovat jak chceš. Plný přístup k této složce udělujeme skupině zabezpečení Domain Users. Na kartě „SecurityAdvanced“ odeberte dědičnost.
5. Oddělení administrátorů a uživatelů vytváříme v aktuálním kontejneru, tedy v naší doméně.

1. Poté vytvoříme rozdělení uživatelů podle oddělení a následně v odděleních oddělení vytvoříme uživatelské účty.

1. Otevřete vlastnosti uživatelského účtu Ivanov. (Všechny ostatní uživatelské účty jsou vytvořeny podle stejného principu). Ve výchozím nastavení mají nově vytvořené účty skupinu zabezpečení Domain Users. To je to, co potřebujeme. Nic neměníme.

Klikněte na tlačítko „Profil“.

Cesta profilu – nic nezadáváme.

Připojit – vyberte disk (nejedná se o disk, ale o uživatelskou složku na serveru, i když bude vypadat jako síťový disk) a zadejte server nameshared folder namedepartment name a %username%

%username% je uživatelská proměnná, aby se zabránilo ručnímu zadávání uživatelů do sdílené složky.

Mám to takhle: Profily virtuálního serveruACCOUNTING%username%

Jakmile klikneme na OK, okamžitě se ve sdílené složce objeví složka s uživatelským jménem Ivanov. Potom uděláme totéž s účtem Petrova a účtu Sidorova. V důsledku toho se osobní složky uživatelů objeví ve složce ÚČETNICTVÍ.

Tito. Proměnná %username% se překládá na uživatelské jméno ve struktuře složek.

Proč takové manipulace? Aby se uživatel, který se přihlásí pod svým účtem, dostal do své vlastní složky na ploše, tzn. zadá se název profilu a ve sdílené složce se zobrazí složka s názvem profilu.

Všechny složky služeb budou přesměrovány do těchto uživatelských složek na základě skupinových zásad – tak se jim říká – REDIRIVED FOLDERS.

V budoucnu, až vytvoříme několik GPO s různým nastavením pro různé uživatele, lze je použít konkrétně na určité počítače nebo na všechny uživatele nebo jednotlivě. Více o tom v dalším článku.

V této fázi jsme vytvořili strukturu uživatelských profilů oddělení a tyto profily distribuovali do jejich složek. Prozatím jsou tyto profilové složky prázdné.

Tím je první etapa dokončena.

část 2

Vytvořte zásadu skupiny FOLDER REDRIVE

1. V AD spusťte „Správa zásad skupiny“

1. V části „Objekty zásad skupiny“ vytvořte novou zásadu kliknutím pravým tlačítkem myši na „Vytvořit“ a přiřaďte jí jasný název, který označuje, k čemu je tato zásada určena. Pro účetnictví jsem přiřadil název – ÚČETNÍ PROFILY.
2. POZOR! Pro každé oddělení vytvoříme samostatný GPO s cestou určenou pro vaše oddělení! Vše pochopíte později.
3. Dále vyberte vytvořený GPO a klikněte na něj pravým tlačítkem myši a klikněte na „Upravit“. Otevře se Editor správy zásad skupiny.
4. Otevřete tuto cestu – User ConfigurationPoliciesWindows Configuration.
5. Zajímá nás karta „Přesměrování složky“. Pojďme to otevřít.

Pravý sloupec zobrazuje složky, které lze přesměrovat. Můžete přesměrovat pouze „Desktop“ a je to. No a přidejme také „Dokumenty“. Ale přesměruji všechny složky kromě „Uložené hry“. Hry – to je jasné. V práci není čas na hraní.

Ačkoli „Kontakty“, „Odkazy“ a „Hledat“ nejsou téměř nikdy potřeba. Je na rozhodnutí každého, kdo které složky přesměruje.

Dále klikněte pravým tlačítkem myši na složku Plocha a otevřete kartu „Vlastnosti“.

1. Otevře se následující okno:

1. V prvním řádku je potřeba nastavit hodnotu „Přesměrovat složky všech uživatelů do jednoho umístění.“

2. Ve druhém řádku nastavte hodnotu „Vytvořte složku pro uživatele v kořenové cestě.“

3. A do třetího řádku zadejte cestu k vaší sdílené složce, kde se budou profily ukládat. Vezměte prosím na vědomí – cesta přesměrování složky je pro různá oddělení.

Pro účetnictví po server nameshared název složky je třeba zadat Účetnictví, pro plánovací oddělení zadejte Oddělení plánování atd.

Mluvil jsem o tom v bodě 3 druhé etapy.

4. V tomto okně je také tlačítko s názvem „Možnosti“.

1. Odstraníme první zaškrtnutí, necháme druhé, třetí jsem odstranil, protože. Já takové nápravy nemám.
2. „Odstranění zásady“. Podle vašeho uvážení, ale někdy nejsou složky přesměrovány zpět správně. S tím jsem se setkal několikrát. Nebudu tedy měnit politiku a nechal jsem tečku v prvním okně.
3. Klepněte na tlačítko OK. To znamená, že složky budou přesměrovány do sdílené složky a do složky profilu, která byla dříve vytvořena. Vše je propojeno. Profil každého uživatele a GPO mají stejnou cestu.
4. Po dokončení tohoto GPO zavřete Editor zásad skupiny. Zatím ale není vázán na uživatele a počítače.

Tím je druhá fáze dokončena.

část 3

Konfigurace a propojení objektu GPO s konkrétním objektem

Vraťme se ke „Správě zásad skupiny“.

Chcete-li propojit objekt GPO s objektem, jednoduše jej přetáhněte do požadované složky. Tito. GPO s názvem ÚČETNÍ PROFILY přetáhneme do oddělení ÚČETNICTVÍ. Proto tato zásada platí pro všechny v jednotce. A na uživatele Ivanov a na uživatele Petrov a na Sidorova.

Ale pokud omylem přetáhnete GPO do Petrova oddělení, pak bude politika fungovat pouze pro uživatele Petrov. Párkrát jsem udělal chyby v žáru okamžiku a pak jsem nemohl pochopit, proč všechno nefunguje správně.

Pro vytvořený GPO je ale nutné nastavit vlastní pravidla aplikace. Jinak to nepůjde.

Vyberte svůj GPO a zobrazte toto okno.

1. V bezpečnostních filtrech na kartě „Rozsah“ přidejte „Doménové počítače“ a „Uživatelé domény“. Ve výchozím nastavení je zde umístěna skupina zabezpečení Authenticated Users. Zatím to mažeme.

2. Podívejte se na kartu „Delegace“ nahoře

V pravém dolním rohu tohoto okna klikněte na tlačítko „Upřesnit“.

Zde přidáme skupinu „Ověřeno“. Této skupině dáváme práva pouze pro čtení.

Udělujeme práva „Číst“ a „Provádět zásady skupiny“ „Počítače v doméně“ a „Uživatelé domény“.

„Enterprise Domain Controllers“ – pouze pro čtení.

„Systém“ – práva neplatí. Jsem prázdný.

„Domain Admins“ a „Enterprise Admins“ – plná práva kromě „Execute Group Policy“.

Poznámka! Zde potřebujeme pouze „Domain Computers“, „Domain Users“ a „Authenticated Users“. Zbytek lze smazat. Objekt GPO bude fungovat dobře, ale v případě potřeby jej nebudete moci změnit. Tak ať vše zůstane tak, jak je.

Teprve poté je objekt GPO považován za nakonfigurovaný.

Chcete-li aktualizovat objekt GPO na serveru, klepněte na „Start“ Spustit“ a zadejte příkaz „gpupdate /force“. Všechny zásady budou aplikovány a aktualizovány.

Teď už jen zbývá vše zkontrolovat.

Přihlásíme se na testovací počítač (nikoli na server) pod vytvořeným uživatelem – Ivanov a čekáme. Plocha bude připravena na počítači.

Po otevření plochy otevřete na serveru sdílenou složku s názvem profilu Ivanov.

Tyto složky služeb by se měly objevit ve složce profilu Ivanova:

To znamená, že GPO přesměrování složek fungovalo skvěle.

Tím je dokončen krok vytvoření zásad skupiny přesměrování složek a přesunutí uživatelského profilu.

Tím je třetí etapa dokončena.

část 4

Finále

Nyní musíme vytvořit stejné skupinové zásady pro ostatní oddělení.

Není ale potřeba je znovu vytvářet. Jednoduše v části „Objekty zásad skupiny“ zkopírujte vytvořenou zásadu pro účetnictví, vložte ji do „Objekty zásad skupiny“ (zachování stávajících oprávnění,

Přejmenujte jej na název jiného oddělení, klikněte pravým tlačítkem a vyberte změnit.

Jdeme znovu po cestě – Zásady konfigurace uživatelePřesměrování složky Nastavení systému Windows.

V přesměrovaných složkách měníme pouze název oddělení, jak jsem řekl dříve.

Výsledkem bude několik různých zásad pro různá oddělení.

Připomínáme, že se jedná o zásady pro přesměrování složek a přesun profilu..

Vytváření skupinových zásad pro různé úlohy pro různé uživatele bude vysvětleno v jiném článku.

Nyní jeden z důležitých bodů.

Pokud je hlavní ovladač odpojen, síťový kabel je odpojen, přepínač je mrtvý, jak může uživatel pracovat bez připojení k serveru?

Jen. V režimu offline.

A abyste to mohli udělat, musíte tento režim povolit.

Poté, co se přihlásíte ke svému účtu (například Ivanov’s) a otevřete „Tento počítač“, uvidíte něco takového:

1. Vaše místní disky.

2. Síťový disk pod jménem uživatelského profilu.

Ve skutečnosti se nejedná o síťovou jednotku, ale o složku profilu na serveru. Chcete-li povolit režim offline, klikněte pravým tlačítkem na tuto síťovou složku. Objeví se okno jako toto:

Zajímá nás karta „Soubory offline“. Pojďme to otevřít.

Zaškrtněte políčko „Vždy dostupné offline“ a klikněte na „Synchronizovat“.

Vaše soubory se začnou synchronizovat do speciální složky.

Po synchronizaci můžete v klidu pracovat, bez obav, že pokud se odpojíte od serveru, nedostanete se na plochu.

Při spouštění s deaktivovaným serverem bude načítání poněkud pomalejší, protože počítač bude server hledat. Nenajde to a použije se režim offline. Z vaší plochy nic nezmizí, všechny soubory zůstanou na svých místech.

Můžete pokračovat v práci, jako by se nic nestalo. Jakmile bude server opět online, bude trvat asi 1-2 minuty, než se váš počítač replikuje se serverem a všechny změněné soubory budou replikovány na server.

Můžete si tak být jisti, že všechna vaše data jsou pod spolehlivou ochranou.

Nyní o nezbytných.

Dostali jsme novou plochu, nové systémové složky v uživatelském profilu. Ale všechny tyto složky jsou prázdné. Zbývá poslední krok – všechny informace o uživateli z jeho počítače musí být přeneseny na server.

Vše je velmi jednoduché. Otevřeme uživatelský profil na pracovním počítači a z každé systémové složky zkopírujeme vše do stejných složek, které jsou na „síťové jednotce“

Věřte mi, zkontroloval jsem vše, co zde zveřejňuji na svých serverech a počítačích uživatelů. Došlo k mnoha chybám, dokud nebyla propracována technologie a posloupnost vytváření a používání pohyblivých profilů.

No, to je zatím vše. Přeji všem hodně štěstí.

• roamingové profily
• Přesměrované složky