GPO - Servergesp. Profile für bestimmte Benutzer

[PsychoX7]

Hallo CB'ler,

ich bin gerade dabei via GPO Servergespeicherte Profile einzurichten, allerdings will mir das nicht so ganz gelingen. Vorgabe ist, dass die Servergespeicherten Profile nur für eine bestimmte Benutzergruppe angewandt werden sollen.

Was ich bisher gemacht habe:
- Benutzergruppe "Serverprofil" erstellt und die betroffenen Benutzer aufgenommen
- Verzeichnis für die Profile auf dem Server erstellt und freigegeben (Freigabename: "profile" - Berechtigungen: jeder vollzugriff)
- NTFS-Berechtigungen für die Gruppe "Serverprofil" auf "Vollzugriff" eingestellt.
- Neues Gruppenrichtlinienobjekt in der Verwaltung unter DOMÄNE -> MyBusiness -> Computers -> SBSComputers mit dem namen "Serverprofil" erstellt.
- Unter Bereich -> Sicherheitsfilterung wurde die Gruppe "Authentifizierte Benutzer" entfernt und "Serverprofil" hinzugefügt.
- Das Gruppenrichtlinienobjekt wurde danach bearbeitet: Computerkonfiguration -> Richtlinien -> Administrative Vorlagen -> System -> Benutzerprofile -> Pfad des servergespeicherten Profils für alle Benutzer festlegen, ...
- Der Pfad auf dem Server ("\\IP\profile\%USERNAME%") wurde angegeben.

Das Problem: Wenn sich ein Benutzer der Gruppe am System anmeldet, wird lediglich ein lokales Profil erstellt. Ein Profil auf dem Server ist auch nach mehrmaliger Anmeldung mit einem entsprechenden Benutzer nicht zu finden.
Der Befehl "GPUPDATE" zeigte keine Wirkung im Bezug auf diese Problematik.
Wenn ich den Befehl "GPRESULT /R" ausführe, wird mir die Richtlinie allerdings nichteinmal angezeigt?!
Der Hinweiß, dass der Benutzer in der entsprechenden Gruppe Mitglied ist, ist allerdings vorhanden.

Erstelle ich das Gruppenrichtlinienobjekt im Bereich Users -> SBSUsers wird mir mit dem Befehl GPRESULT /R zwar angezeigt, dass das Objekt vorhanden ist, aber nicht angewendet wird, mit dem Hinweiß "(leer)".

Neustart des Clients brachte ebenfalls keine Besserung. Getestet wurde es auf zwei Clients. Einmal mit Windows Vista SP2 und einmal mit Windows 7 SP1.
Die Domäne basiert auf einem SBS2011 und einem zusätzlichen Server 2008R2 als 2. Domänencontroller. AD/DNS werden repliziert. Die Replikation funktioniert absolut problemlos.

Wo liegt mein Fehler?

Danke vorab, für die Hilfe!

 

[Quanar]

Ich sehe nirgendswo, wo du den Pfad zum Profil im Benutzerkonto eingetragen hast. Oder sehe ich da was falsh?

 

[PsychoX7]

Naja.. der Pfad wird ja in der Gruppenrichtlinie angegeben. Natürlich muss es
"\\{IP}\profile\%USERNAME%" lauten.
Die Einstellung passte vorher bereits, aber danke für den Hinweiß auf meinen fehlerhaften Beitrag.

 

[Frightener]

Du darfst die 'Authenticated Users' nicht entfernen, lediglich den Haken bei 'Apply Group Policy' wegmachen ('Read' muß aktiviert bleiben). 'Authenticated Users' sind auch die Computerkonten. Wenn Du diese entfernst, kann der Client die Policy nicht auf die Policy zugreifen und anwenden.

 

[PsychoX7]

Danke für die Antwort.
Das ergibt natürlich Sinn, dass man die Authentifizierten Benutzer nicht entfernen darf.

Allerdings finde ich den von dir genannten Punkt bezüglich "Apply Group Policy" nicht.
Wie kann ich es dann bewerkstelligen, dass die Gruppenrichtlinie nur für die Benutzer der entsprechenden Gruppe angewendet wird?
Stehe gerade ein wenig auf dem Schlauch.

EDIT:
Bei Bereich müsste ja festgelegt werden, auf welche Gruppe die Richtlinie zutrifft.
Das würde bedeuten, wenn ich dort die Authentifizierten Benutzer eintrage, gilt die Richtlinie für alle.

Genügt es den Authentifizierten Benutzern unter "Delegierung" die Leserechte zu erteilen?
Das würde, so wie ich es verstanden habe, dem entsprechen was du damit meintest, FBrenner.
Wenn ich die Konfiguration ändere, bleibt es leider immernoch beim lokalen Profil.

 

[Frightener]

Das meinte ich damit.
'Authenticated Users' -> READ
'Serverprofil' -> READ, APPLY Group Policy (wahrscheinlich 'Anwenden' in deutsch)

Troubleshooting:
- Event Log am Client
- gpresult (wird das GPO überhaupt angewendet)

BTW: Ich würde der Gruppe 'Serverprofil' nur 'Ändern' NTFS Rechte erteilen.

 

[PsychoX7]

Die Option scheint es in dieser Form nicht zu geben. Ich kann nur den Bereich ändern und die Delegierung anpassen. Authentifizierte Benutzer sind nun ausgenommen aus der GPO, haben aber in der Delegierung Leseberechtigungen.

GPResult /R liefert mir keinen Eintrag zum GPO.
Verlege ich das GPO in einen anderen Bereich; Beispielsweise "MyBusiness"; wird das GPO angezeigt, allerdings als "nicht angewendet (leer)".
Unter Einstellungen des GPO ist jedoch die Konfiguration zu sehen.

Im Eventlog sind keine Fehler vorhanden, die auf irgendwelche GPO oder Profile hinweisen.

 

[Frightener]

Ich gehen bei solchen Filtern auf das GPO -> Edit (Ändern, bearbeiten?) und dann im Editor auf 'Eigenschaften'. Hier kannst Du die Sicherheitseinstellungen bearbeiten.

Wenn das GPO 'leer' ist, schaust Du evtl. im Computer-Kontext? Dieser Teil ist ja wirklich leer, da dies eine User-Einstellung ist. Führe mal gpresult /H C:\temp\result.html aus (C:\temp muß existieren).

 

[PsychoX7]

Hmm. Die Sache mit den Berechtigungen scheint dem zu entsprechen, was ich vorher bereits einstellte.

Btw.: Die Sache mit den Servergespeicherten Profilen ist in der Gruppenrichtlinienverwaltung unter der Computerkonfiguration zu finden.
Ich habe nun mal 2 Verknüpfungen angelegt. Die eine Verknüpfung zeigt er mir garnicht erst an (Unter SBS-Computers) und die andere wird verweigert, da angeblich leer.

Ich habe das Ergebnis der Datei mal angehängt. HTML-Dateien lassen sich nicht hochladen
Anhang anzeigen Result.zip

 

[Frightener]

Wenn das eine Computerpolicy ist, bringt der Sicherheitsfilter auf Userebene nichts. Außerdem hast Du in der HTML Datei nur die Usereinstellungen. Du hast aber eine Computereinstellung konfiguriert, so daß Du gpresult /H als Administrator ausführen mußt. Ich würde den Profilpfad in den Eigenschaften der Benutzer unter 'Profile Path' eintragen.

Edit: Du kannst per GPO AFAIK gar keine Roaming Profiles für Usergruppen erstellen. Die Computereinstellungen beziehen sich auf alle User an den entsprechenden PCs.

 

[PsychoX7]

Den verdacht habe ich solangsam auch. Vermutlich muss ich dann entweder alle Profile umstellen, oder eben die Benutzer einzeln Konfigurieren. Wäre auch zu einfach gewesen, das einfach für eine bestimmte Gruppe zu Konfigurieren.
Aber danke für eine Hilfe!

 

[Frightener]

Muß denn das ganze Profil umgestellt warden? Evtl. kannst Du Dein Vorhaben per Folder Redirection lösen. Das wird im Userteil konfiguriert.