[WinS2008 R2] Folder redirection zet foute machtigingen

[MadEgg]

Ik probeer op een Windows 2008 R2 server folder redirection via een GPO aan de praat te krijgen. Omdat ik wil dat de deskop/documenten etc ook voor administrators leesbaar zijn heb ik de guides op

http://support.microsoft.com/kb/274443/en-us en
http://support.microsoft....aspx?scid=kb;en-us;288991

gebruikt, deze verschillen eigenlijk alleen in of ze Everyone of Authorized Users toestemming geven.

Ik heb nu dus op een directory F:\USERS\DATA waarin deze redirected folders terecht moeten komen. De permissies staan zoals in bovengenoemde URLs:

System en Administrators hebben full control op this folder, subfolders and files. OWNER RIGHTS heeft full control op subfolders en files only. Authorized Users hebben leespermissies en mogen mapen aanmaken, op this folder only. Deze directory erft geen permissies van bovenliggende directories.

In het GPO staat Folder Redirection op 'Standaard: alle mappen naar dezelfde locatie omleiden' en Locatie: 'Voor iedere gebruiker in het hoofdpad een map maken'. Bij pad naar hoofdmap staat: \\SERVER\USERDATA waarbij USERDATA de share is die wijst naar F:\USERS\DATA. Voor deze share heeft iedereen 'Full Control' machtigingen. Op het tablad Settings' staat 'Grant exclusive rights' uit.

Als ik me nu als nieuwe gebruiker 'testuser' aanmeldt, wordt netjes het roaming profile aangemaakt en ook in F:\USERS\DATA wordt een map 'testuser' aangemaakt, met daarin 'AppData', 'Desktop', 'Documents', en 'Start Menu'. Vanaf de server is alles te openen, vanaf de zojuist ingelogde gebruiker krijg ik foutmeldingen dat Desktop niet te lezen is. Bij nadere inspectie blijkt dat alleen 'AppData' te openen is, maar de subdirectory 'Roaming' die daarin staat is weer niet te openen.

testuser is netjes eigenaar van zijn eigen directory en de subdirs. Probleem lijkt te zijn dat bij alle directories op het laagste niveau bij de machtigingen voor 'Eigendomsrechten' de instelling 'Toepassen op' op 'Niets' staat. Vanaf de client (testuser) kan ik deze machtingen wel handmatig aanpassen om Eigendomsrechten full control te zetten maar dat ga ik natuurlijk niet van de gebruikers verwachten.

Ook als ik ná het aanmaken van de redirected folders (dus nadat testuser is ingelogd in de dirs op de server zijn aangemaakt) naar de permissions van F:\DATA ga en alle machtigingen op onderliggende objecten vervang door overneembare machtigingen van dit object, kan de gebruiker netjes bij zijn spullen. Het lijkt dus echt de client te zijn die de permissies expliciet verprutst.

Ik vond het vreemd dat 'OWNER RIGHTS' alleen toegepast moest worden op subfolders and files dus heb ik geprobeerd om deze op 'This folder, subfolder and files' te zetten, maar ook dat maakt niet uit.

Het gaat hiet om een Windows XP SP3 client die inlogt op een Windows 2008 R2 server. Wat doe ik hier verkeerd?

[MadEgg]

Toevoeging:

Ik heb zojuist ontdekt dat het alléén voorkomt als de redirected folders tegelijk met het zwervend profiel worden aangemaakt.

Ik heb zwervende profielen op f:\users\profiles en de redirected folders in f:\users\data

Als ik me aanmeld terwijl ik geen van beide directories 'testuser' bestaat dan krijg ik bovenstaand probleem. Het zwervend profiel wordt moeiteloos aangemaakt en werkt prima. De redirected folders worden aangemaakt en krijgen verkeerde permissies.

Als ik daarna uitlog met 'testuser', op de server 'testuser' uit f:\users\data verwijder en opnieuw aanmeldt op de client met 'testuser' dan worden de redirected folders wel met goede permissions aangemaakt. Veel wijzer wordt ik er niet van...

Update: het wordt nog bijzonderder. Ik schreef hierboven al dat de gebruiker in kwestie zelf de rechten goed kan zetten. Dat hoeft niet eens; andere rechten mogen ook. Een willekeurige wijziging aan de ACL's van de share (\\server\userdata\testuser dus) heeft tot gevolg dat alles werkt. Bijvoorbeeld WRITE instellen op DENY voor de user Administrator heeft tot gevolg dat testuser weer bij zijn eigen gegevens kan. Dit lijkt haast wel een bug of iets te zijn...

[ Voor 24% gewijzigd door MadEgg op 29-12-2009 17:36 . Reden: update ]

[MadEgg]

Iemand hier ervaring mee?

[MadEgg]

Uiteindelijk via een vriend een oplossing gehoord: de volgende 2 updates moeten geïnstalleerd worden op Windows XP, hierna werkt het wel.

Het gaat om de updates met KB-nummers KB943729 en KB915865. Hierna werkt ook het verbinden van stationsletters wat eerder niet deed. Vreemd dat dit niet automatisch met Windows Update binnenkwam.

[Zwelgje]

MadEgg schreef op zaterdag 02 januari 2010 @ 12:29:
Uiteindelijk via een vriend een oplossing gehoord: de volgende 2 updates moeten geïnstalleerd worden op Windows XP, hierna werkt het wel.

Het gaat om de updates met KB-nummers KB943729 en KB915865. Hierna werkt ook het verbinden van stationsletters wat eerder niet deed. Vreemd dat dit niet automatisch met Windows Update binnenkwam.

die client side extensions zijn geen 'criticals' maar 'optionals' als je in je had aangegeven dat je die ook wil downloaden installeren had je ze wel gehad

of wsus gebruiken