Roaming Profiles. (Vraag)

[RemkoDJ]

Hoi,

Ik heb even een vraag. Ik heb volgende week herkansingen van mijn eindexamen, op het 1e examen ben in gezakt omdat ik het niet voor elkaar kreeg roaming profiles aan te maken en daardoor vast kwam te zitten en niet verder kon met de rest van het examen.

Ik heb me er een beetje in verdiept de afgelopen dagen en nu wilde ik even schetsen hoe ik denk dat het moet. en dan zou ik van jullie graag bevestiging willen of het goed is of fout, zo ja wat fout.

weet niet of dit toegestaan is, maar ben toch maar even zo brutaal om een topic aan te maken.


1. Je maakt op een specifiek aangegeven locatie op een partitie een map aan. BV. met de naam "Userprofiles".

2. Deze share je onder de naam "userprofiles$"

3. Vervolgens geef je deze share de permissies everyone -> full control.

4. Vervolgens geef je bij AD users en computters elke gebruiker bij properties -> profile -> profile path de locatie van de map aan. BV \\servernaam\userprofiles$\%username%

5. als het goed is moet als nu een gebruiker in/uitlogt hun profiel daarna toe geschreven of opgehaald worden.


Klopt dit een beetje? zo ja, dan kan ik met een redelijk gerust hart me herkansingen in.

[CH4OS]

Lijkt me niet dat je elke gebruiker full control wil geven op \\server\userprofiles$\
Gewoon elke gebruiker full control geven over zijn eigen profiel folder, dus \\server\userprofiles$\username

[Glashelder]

3. Vervolgens geef je deze share de permissies everyone authenticated users -> full control.

Ik mis ook NTFS rechten. Gebruikers moeten daar ook full control hebben (tenzij je bepaalde group policy's ingesteld hebt, maar daar ga ik niet vanuit).

GJtje schreef op donderdag 04 september 2008 @ 23:09:
Lijkt me niet dat je elke gebruiker full control wil geven op \\server\userprofiles$\
Gewoon elke gebruiker full control geven over zijn eigen profiel folder, dus \\server\userprofiles$\username

Dat maakt toch niet uit? De echte rechten worden toch bepaald op NTFS niveau.

[ Voor 42% gewijzigd door Glashelder op 04-09-2008 23:10 ]

[CH4OS]

Glashelder schreef op donderdag 04 september 2008 @ 23:10:
Dat maakt toch niet uit? De echte rechten worden toch bepaald op NTFS niveau.

Dat is waar, was ik even vergeten. Als de TS maar rekening ermee houdt om op NTFS-niveau dan niet teveel machtigingen te zetten op userprofiles$... Dat was mijn melding meer.

[RemkoDJ]

Klopt, de rechten moeten verder aangepast worden op NTFS niveau, daar kom ik voor de rest wel uit denk ik.

Vroeg me alleen af of dit voor de rest goed is.... want hier ben ik niet zeker van.

[RemkoDJ]

GJtje schreef op donderdag 04 september 2008 @ 23:12:
[...]
Dat is waar, was ik even vergeten. Als de TS maar rekening ermee houdt om op NTFS-niveau dan niet teveel machtigingen te zetten op userprofiles$... Dat was mijn melding meer.

Kan mischien dan ook ipv evryone full control te geven alleen users full control? het moet iniedergeval op maprechten redelijk openstaan omdat ze willen dat ik het dmv NTFS rechten verfijn.

[alt-92]

GJtje schreef op donderdag 04 september 2008 @ 23:12:
[...]
Dat is waar, was ik even vergeten. Als de TS maar rekening ermee houdt om op NTFS-niveau dan niet teveel machtigingen te zetten op userprofiles$... Dat was mijn melding meer.

Gheh.

De grap is dat de clientPC vervolgens het profile op de server neerzet met default alleen de desbetreffende usert die rechten heeft.
Oftewel: dat wordt automatisch al afgeschermd, normaal kan zelfs een beheerder daar niet bij komen - tenzij je dat aanzet door een policy aan te zetten waar je de administrators toevoegt.

En die policy moet je dus niet op de server toepassen maar op de werkstations

Sinds 2003 is everyone hetzelfde als authenticated users, of je moet heel doelbewust je security policies hebben aangepast zodat 'everyone includes anonymous' aan staat.

[ Voor 11% gewijzigd door alt-92 op 04-09-2008 23:19 ]

[BlaTieBla]

Op de share geef je in principe full controll aan de gebruikers. De onderliggende NTFS rechten timmer je dicht voor de gebruikers (creator/owner full control).
De gebruikershare / profiellocatie zet je bij het aanmaken van de gebruiker naar \\server\%username%$

* BlaTieBla weet niet of %username%$ werkt (hidden share 'optie' achter de username variabele). Maar is het proberen waard

[sanfranjake]

BlaTieBla schreef op donderdag 04 september 2008 @ 23:18:
Op de share geef je in principe full controll aan de gebruikers. De onderliggende NTFS rechten timmer je dicht voor de gebruikers (creator/owner full control).
De gebruikershare / profiellocatie zet je bij het aanmaken van de gebruiker naar \\server\%username%$

* BlaTieBla weet niet of %username%$ werkt (hidden share 'optie' achter de username variabele). Maar is het proberen waard

Dit is wel een hele antieke manier
Een share met daarin alle profielen werkt veel beter. Hoe meer shares hoe trager....

[engelbertus]

wij hebben small busineess server en daar werkt het idd met 1 dir, met daaronder per gebruiker een map waarin de profielen worden opgeslagen.
deze informatie kun je gewoon in de help van windoiws xp of 2003 vinden. kjijk ook even naar welke verschillende soorten profiel er zijn.

je kunt ook default ptofiel hebben, of een profiel dat bij afsluiten geen wijzigingen opslaat ( zodat je nbij opnieuw aanmelden altijd exact hetzelfde profiel geladen krijgt. is handig als je iets standaard en uniform wilthouden.

[Razwer]

BlaTieBla schreef op donderdag 04 september 2008 @ 23:18:
Op de share geef je in principe full controll aan de gebruikers. De onderliggende NTFS rechten timmer je dicht voor de gebruikers (creator/owner full control).
De gebruikershare / profiellocatie zet je bij het aanmaken van de gebruiker naar \\server\%username%$

* BlaTieBla weet niet of %username%$ werkt (hidden share 'optie' achter de username variabele). Maar is het proberen waard

dit gaat sowieso niet werken. %username% bij profile instellingen van de account is een user var die je gebruikt voor het aanmaken van een folder in een bestaande share. Je kan niet een aparte share per user aanmaken op die manier. Dus $ er achter is volledig nutteloos gezien je een folder aanmaakt ipv een share

[RemkoDJ]

Is het trouwens met die permission zo dat share permissions altijd ntfs permissions overrullen? en dat de ntfs permissions pas in werking treden zodra de share op full control staat?

[St@m]

RemkoDJ schreef op donderdag 04 september 2008 @ 23:01:
Hoi,

Ik heb even een vraag. Ik heb volgende week herkansingen van mijn eindexamen, op het 1e examen ben in gezakt omdat ik het niet voor elkaar kreeg roaming profiles aan te maken en daardoor vast kwam te zitten en niet verder kon met de rest van het examen.

Ik heb me er een beetje in verdiept de afgelopen dagen en nu wilde ik even schetsen hoe ik denk dat het moet. en dan zou ik van jullie graag bevestiging willen of het goed is of fout, zo ja wat fout.

weet niet of dit toegestaan is, maar ben toch maar even zo brutaal om een topic aan te maken.


1. Je maakt op een specifiek aangegeven locatie op een partitie een map aan. BV. met de naam "Userprofiles".

2. Deze share je onder de naam "userprofiles$"

3. Vervolgens geef je deze share de permissies everyone -> full control.

4. Vervolgens geef je bij AD users en computters elke gebruiker bij properties -> profile -> profile path de locatie van de map aan. BV \\servernaam\userprofiles$\%username%

5. als het goed is moet als nu een gebruiker in/uitlogt hun profiel daarna toe geschreven of opgehaald worden.


Klopt dit een beetje? zo ja, dan kan ik met een redelijk gerust hart me herkansingen in.

Dit klopt helemaal Als de vraag is, hoe maak je een roaming profile aan, dan heb je een 10

RemkoDJ schreef op vrijdag 05 september 2008 @ 16:38:
Is het trouwens met die permission zo dat share permissions altijd ntfs permissions overrullen? en dat de ntfs permissions pas in werking treden zodra de share op full control staat?

Zie het als een hotel:
Iedereen mag een hotel binnenlopen (share permissies), maar iedereen heeft een aparte kamer (NTFS).
Als jij op je share alleen lees rechten geeft, dan zal iedereen die het hotel binnenkomt alleen maar mogen lezen op zijn kamer

Wat wil je verder voor een NTFS rechten geven dan? Als je accounts op deze manier aanmaakt staat alles dicht, zelfs voor de admin (zoals al eerder gezegd).

[ Voor 19% gewijzigd door St@m op 05-09-2008 16:45 ]

[mutsje]

out of the box werkt een share die je aanmaakt al goed. Je kan volstaan met users Change rechten te geven op share niveau FC hebben ze niet echt nodig. Om van hinderlijke events af te komen wordt meestal full control op share niveau gegeven. Dit wordt ook als oplossing door microsoft aangedragen.
Verder Creator Owner moet full control hebben maar dit is de default.
Let wel als je als administrator later nog bij de shares wil komen zonder take ownership te doen moet je de policy activeren die de administrator automatisch rechten geeft op het moment dat een profile aangemaakt wordt. er staat in de howto's ook een howto over roaming profiles hierin staan ook de rechten vermeld.

[RemkoDJ]

Heb me herkansingen gehaald Wilde ik nog even melden en dan kan er nu een slotje op