ZCM, Windows 7, sysprep и пр.

[Антон Фридрих]

Мне как раз сейчас стала интересна тема с профилями и с редиректом документов и раб стола. Буду разбираться.

У нас несколько площадок - на каждой свой сервер кмс, а образ у нас один.В вашем случае активирует в течение трех дней.

[Андрей Тр. aka RH]

Мне как раз сейчас стала интересна тема с профилями и с редиректом документов и раб стола. Буду разбираться.

Я сейчас сижу, читаю вот это вот, например : http://nunnone.com/folder-redirection-for-unusual-paths-group-policy

Варианты есть, но я толком не разобрался, как именно устроен профиль в Windows 7.

P.S. MS пишет http://technet.microsoft.com/en-us/libr ... 32275.aspx что в GP folder redirection находится в User Configuration\Policies\Windows Settings\Folder Redirection, что доступно только в политиках домена. Выходит, придётся их сперва экспортировать ? а то в локальной у меня такого, ессно, нет ..

[Антон Фридрих]

Непонятно как это работает.
Сделал политику в АД для перемещения папки рабочего стола на сервер
Забрал политику из C:\Windows\SysVol\Policy\UID
Применил ее на машину

И ничего.

И непонятно куда смотреть в чем дело, в журналах пусто, логов как таковых по политике я не нашел...

[Андрей Тр. aka RH]

Сделал политику в АД для перемещения папки рабочего стола на сервер

А что именно указывали в настройках ? прямо UNC path, примапленный диск или через какую переменную ? Я до импорта политик из АД ещё не добрался - может, получится попробовать завтра. Кроме того, этот хелпер для работы с GP в ZCM у меня работает как-то не очень .. сейчас вот не загружает политику, которую я редактировал несколько дней назад ( на той же машине ).

P.S. А в агенте на раб. станции видно, что эта политика применяется ?

[Антон Фридрих]

Мои настройки GPO






P.S. Политика зена применена со статусом success, но

Код: Выделить всё

C:\Users\User>gpupdate
Обновление политики...

Обновление политики пользователя завершено успешно.

При обработке политики пользователя возвращены следующие предупреждения:

Windows не удалось применить параметры "Scripts". Параметры "Scripts" могут имет
ь свой собственный файл журнала. Щелкните ссылку "Дополнительные сведения".
Обновление политики для компьютера успешно завершено.

При обработке политики компьютера возвращены следующие предупреждения:

Windows не удалось применить параметры "Scripts". Параметры "Scripts" могут имет
ь свой собственный файл журнала. Щелкните ссылку "Дополнительные сведения".

Чтобы получить дополнительные сведения, просмотрите журнал событий или запустите
GPRESULT /H GPReport.html из командной строки для просмотра сведений о результа
тах групповой политики.

[Иван Иванов]

а что кажет rsop.msc ?
Попробуйте обратиться к ресурсу по имени. а лучше для начала отредиректить в другую локальную папку.

[Андрей Тр. aka RH]

Политика зена применена со статусом success, но

А почему "но" ? Если не считать предупреждения про scripts ( которых там, скорее всего, нет ) gpupdate как бы тоже ошибок не выдает. Народ на форумах пишет, что через GP работают только некоторые каталоги, и большинство редиректит через реестр, используя HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders и HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders Выставить в них редирект для требуемых каталогов ( но опять же, как я понял, такой способ работает не для всех ), потом sysprep'ом скопировать в default profile. Я теперь продолжу эксперименты только на след. неделе.

[Антон Фридрих]

Хорошо, продолжил эксперименты.

Исправил настройки рабочего стола в реестре руками с редиректом на диск H:\ Все работает, рабочий стол редиректится.
Сделал приложение в зене для изменения реестра у пользователя .DEFAULT, приложение применилось - но у нового пользователя рабочий стол не редиректится.
В теории это неплохой способ сделать настройку через реестр, но я не мгу понять как сделать ее для всех пользователей рабочей станции.

Подобная проблема, но предлагаемое решение мне не особо нравится ибо новые пользоваели создаются DLU.

[Андрей Тр. aka RH]

Исправил настройки рабочего стола в реестре руками с редиректом на диск H:\ Все работает, рабочий стол редиректится.
Сделал приложение в зене для изменения реестра у пользователя .DEFAULT, приложение применилось - но у нового пользователя рабочий стол не редиректится.
В теории это неплохой способ сделать настройку через реестр, но я не мгу понять как сделать ее для всех пользователей рабочей станции.

Подобная проблема, но предлагаемое решение мне не особо нравится ибо новые пользоваели создаются DLU.

Я пока пробую разобраться с GP, политики FR находятся в доменной GP, которую на раб. станции в локальной не отредактируешь. Я всё же хочу добить это дело через GP, а не через реестр. Хотя те, у кого оно таки работает, пока делают через реестр - насколько я понял, меняют руками для текущего пользователя, потом обновляют default user profile на образе через sysprep. Тогда для DLU пользователей это должно работать. Про изменение реестра у .DEFAULT через приложение я как-то не слышал, это что ли менять непосредственно в его hive ? там, в 7-ке, наверное, могут быть проблемы с правами.

[Антон Фридрих]

Да, я пробовал менять hive у .DEFAULT

Давайте тогда определимся с условием.
FR должны работать через AD GP и распространятся ZCM. При этом редирект должен идти на NSS шару даже при недоступном Windows AD сервере.

Ибо у меня подозрение что если сделать сервер AD доступным и редирект делать на виндовую шару, то даже распространенные ZCM политики FR будут работать без проблем.

[Андрей Тр. aka RH]

Давайте тогда определимся с условием. FR должны работать через AD GP и распространятся ZCM.

Условия, конечно, устанавливаем мы сами. Теоретически, функционал Зена должен позволять выполнять FR через GP - чего мне хочется добиться, т.к. тогда редирект не привязан к образу, локальному профилю, соответственно, возможностей больше. Но я пока не видел постов на форумах о полностью работающем FR через GP в ZCM.

При этом редирект должен идти на NSS шару даже при недоступном Windows AD сервере.

А где вообще написано, что для этого нужен домен / AD ? Насколько я понял, в худшем случае может понадобиться политика оттуда ( т.к. оно находится в доменной, а не в локальной ). А дальше, как я понимаю ( что совсем не значит, что так оно и есть ), после её импорта она никак не должна быть связана с этим доменом ? Я тут подумал, есть же средства оффлайного редактирования доменной GP, типа AGPM из MDOP, вот только оно за деньги.

Ибо у меня подозрение что если сделать сервер AD доступным и редирект делать на виндовую шару, то даже распространенные ZCM политики FR будут работать без проблем.

Я сомневаюсь, см. выше про непривязку к домену, при конфигурировании политики из AD ИМХО оно просто импортирует параметры с SYSVOL ( fdeploy.ini и пр. ), но работать оно будет только если на раб. станции в локальной добавлены соответствующие шаблоны. А вот как их туда добавить, чтобы они при этом импортировались в ZCM .. я ещё не пробовал импортировать с раб.станции, залогиненной в домен.

Короче, пока ещё много неясного

[Иван Иванов]

Хорошо, продолжил эксперименты.

на диск H:\ Все работает, рабочий стол редиректится.
Сделал приложение в зене для изменения реестра у пользователя .DEFAULT, приложение применилось - но у нового пользователя рабочий стол не редиректится.

Нужен UNC путь. Я же писал что попробуйте перенаправить в локальную папку. Править дэфолтный профиль безполезно т.к. если система при создании не находит нужную папку (не знаю имеет ли уже юзер доступ в сеть или нет в этот момент) то создает новый профиль с дэфолтным путем к тому-же десктопу. Возможно если путь будет UNC то и получится.
Виндовые политики (которые настоящая АД) применяются до загрузки explorer.exe и изменение путей к папкам профиля незаметно. В случае если поменять пути в реестре после загрузки шела то возможны различные бяки т.к. explorer запоминает стартовый конфиг и при щелчке по рабочему столу в меню сохранения файлов например вполне возможно попасть не туда. если перехапустить оболочку то в XP пропадают значки из трэя. Как в 7ке не знаю.
думаю что виндовые политики зен применяет тоже после старта оболочки и проблемы с ними тоже могут быть.

[Андрей Тр. aka RH]

Нужен UNC путь. Я же писал что попробуйте перенаправить в локальную папку. Править дэфолтный профиль безполезно т.к. если система при создании не находит нужную папку (не знаю имеет ли уже юзер доступ в сеть или нет в этот момент) то создает новый профиль с дэфолтным путем к тому-же десктопу. Возможно если путь будет UNC то и получится.

Вот я как раз и не хочу привязываться к Н:, а сделать через UNC путь, частью которого являлась бы какая-то переменная ( хотя бы типа %USERNAME%, или, возможно, генерящаяся в логин скрипте - чтобы можно потом было варьировать, к примеру, на основе OU ). И чтобы оно не зависело от дефолтного юзера, да и от образа вообще.

Сейчас пока застрял на том, как добавить данную конкретную ветку с Folder Redirect в политику в ZCM - если её создавать на основе локальной ( когда её можно редактировать через хелпер в ZCM ), то там нет нужной ветки, т.к. в Венде она имеется только в доменной политике. Если её создавать на основе доменной, тогда в ZCM редактировать потом нельзя, надо редактировать сперва в домене, что ли ( в доке про это вообще не написано - написано только пару слов о том, как добавлять политики вообще ). Вот на данный момент проблема в том, что такую политику не удаётся засунуть в ZCM, чтобы оно потом там отработало. Так что до rsop на раб.станции дело пока толком и не доходит.

[Антон Фридрих]

Отвечаю попорядку

По диску Н: - я пробовал прописывать UNC путь - работает точно также как и с диском H. Замена UNC у дефолтного юзера тоже ни к чему не приводит

Переменные - в винде есть три переменные которые могут пригодится
%HOMEDRIVE%
%HOMEPATH%
%HOMESHARE%

Доменную политику редактировать инструментами ZCM нельзя, она только применяется зеном. Внешних инструментов редактирования политики без домена я пока тоже не видел. Я создаю политику в триальном домене, забираю файлы в зен, если что нетак правлю опять в домене и снова подсовываю зену.

[Андрей Тр. aka RH]

создаю политику в триальном домене, забираю файлы в зен, если что нетак правлю опять в домене и снова подсовываю зену.

Вот я так же пробовал, в Зене написано, что для импорта доменной политики надо указать путь к каталогу, где она лежит ( на SYSVOL ). И мне пока непонятно, как он её всю оттуда симпортирует - ведь в там каталоге, если посмотреть, лежат только значения политики, которые были отредактированы. А самих политик - типа структуры и пр. ( хоть тех же admx / adm файлов ) там нету, по-моему .. То, что Зен как-то может общаться с самим доменом и брать политики из АД, я сомневаюсь - ведь нигде а настройках политики не фигурирует никакой юзер из домена, или их можно оттуда слить как everyone ?