[2008r2] Schoon profiel bij inloggen via RDP

[Verwijderd]

Wij hebben een Windows 2008 R2 server waar meerdere mensen (~50) gebruik van maken.
De server wordt beperkt gebruikt en als kostenbesparing hebben we maar 3 lokale gebruikers op de server aangemaakt. Men logt in via RDP op één van de accounts.
Wij willen graag dat je een schoon profiel krijgt als je inlogt. Dit om te zorgen dat de ene gebruiker geen (per ongeluk achtergelaten) bestanden te zien krijgt.

Er zijn verschillende manieren te bedenken om dit voor elkaar te krijgen, maar ze lijken allemaal lastig:
- Alleen lezen profielen.
- Tijdelijke profielen die bij uitloggen worden verwijderd.
- Profiel bij inloggen opschonen zodat het weer als nieuw is.

Welke weg is de makkelijkste weg?
Alvast dank voor de antwoorden!

[Razwer]

Mandatory profiles gebruiken.
zie hier uitleg er over: MSDN: Mandatory User Profiles (Windows)
zie hier hoe je het doet: http://markswinkels.nl/20...n-windows-server-2008-r2/

[ Voor 241% gewijzigd door Razwer op 21-02-2014 20:29 ]

[Hero of Time]

De term waar je naar moet kijken is Mandatory Profiles. Je stelt zo'n profiel helemaal in en past een bestand aan (hernoemd 'm), waarna wijzigingen niet worden opgeslagen. Of het meer dan alleen de gebruikerssettings zijn die in 't register worden opgeslagen weet ik niet, dat moet je even uitzoeken.

[Razwer]

*knip* . Je krijgt zo nog een berichtje van me

[ Voor 87% gewijzigd door Lustucru op 21-02-2014 13:44 ]

[CMD-Snake]

Verwijderd schreef op vrijdag 21 februari 2014 @ 11:37:
Wij hebben een Windows 2008 R2 server waar meerdere mensen (~50) gebruik van maken.
De server wordt beperkt gebruikt en als kostenbesparing hebben we maar 3 lokale gebruikers op de server aangemaakt. Men logt in via RDP op één van de accounts.

Tja... het is niet echt een nette setup voor wat feitelijk een terminal server is. Je moet je ook afvragen als je ooit controle cq. audit krijgt op je licenties of dit geaccepteerd gaat worden. In feite zou je de machine gewoon de terminal server rol moeten geven en een aantal CAL's aanschaffen. Dan zou je met tsprofiles kunnen gaan werken zodat mensen een apart terminal server profiel hebben.

Dat daargelaten. Mandatory profile is een goede optie, alternatief zou je nog een log off script kunnen overwegen dat het profiel weer leegt. Maar let dan ook op dat mensen niet dingen in een map buiten het profiel bewaren.

[Razwer]

CMD-Snake schreef op vrijdag 21 februari 2014 @ 15:45:
[...]


Tja... het is niet echt een nette setup voor wat feitelijk een terminal server is. Je moet je ook afvragen als je ooit controle cq. audit krijgt op je licenties of dit geaccepteerd gaat worden. In feite zou je de machine gewoon de terminal server rol moeten geven en een aantal CAL's aanschaffen. Dan zou je met tsprofiles kunnen gaan werken zodat mensen een apart terminal server profiel hebben.

Dat daargelaten. Mandatory profile is een goede optie, alternatief zou je nog een log off script kunnen overwegen dat het profiel weer leegt. Maar let dan ook op dat mensen niet dingen in een map buiten het profiel bewaren.

onzin over licenties. 3 concurent users is 3 concurent users. Dat mag prima.al laat je half nederland er mee inloggen, zolang er maar niet meer dan 3 tegelijk zijn...

[ftpfreak]

Razwer schreef op vrijdag 21 februari 2014 @ 20:28:
[...]

onzin over licenties. 3 concurent users is 3 concurent users. Dat mag prima.al laat je half nederland er mee inloggen, zolang er maar niet meer dan 3 tegelijk zijn...

RDS cals gaan per user of device. Niet per concurent user. Als je 50 gebruikers hebt zul je 50 user cals moeten kopen. Of machine cals als je minder machines (waarvandaan verbinding gemaakt wordt met je RDS server) dan gebruikers hebt.

[Razwer]

ja dus als je maar met 3 named accounts werkt is het prima...

[Wim-Bart]

Licentietechnisch moet je of voor iedere PC een licentie hebben of voor iedere user. Dus loggen er 20 users in (niet simultaan) dan heb je gewoon 20 licenties nodig want de standaard 2 users is voor beheer sessies, wat ook in de licentie voorwaarden beschreven is.

Je kan ook de pc's licenseren, maar dat kan soms wel duurder uitpakken. Maar op deze wijze ben je gewoon illegaal bezig.

Maar waar jij naar zoekt is "Mandatory" profiles in combinatie met bijvoorbeeld folder redirection.

[Razwer]

Wim-Bart schreef op zaterdag 22 februari 2014 @ 01:16:
Licentietechnisch moet je of voor iedere PC een licentie hebben of voor iedere user. Dus loggen er 20 users in (niet simultaan) dan heb je gewoon 20 licenties nodig want de standaard 2 users is voor beheer sessies, wat ook in de licentie voorwaarden beschreven is.

Je kan ook de pc's licenseren, maar dat kan soms wel duurder uitpakken. Maar op deze wijze ben je gewoon illegaal bezig.

niet waar. zolang er maar 3 named accounts zijn aangemaakt die toegang hebben tot de RDS en er maar 3 concurent users zijn is er niets illegaals aan. Hebben meer accounts toegang tot de RDS, dan is het wel illegaal.
http://technet.microsoft.com/en-us/library/cc753650.aspx
http://social.technet.mic...9b70fd84f87/rds-licensing

Maar waar jij naar zoekt is "Mandatory" profiles in combinatie met bijvoorbeeld folder redirection.

*knip* : troll dat vermeld ik al in post 2. De 2e link legt het allemaal haarfijn uit. *knip* offtopic

[ Voor 24% gewijzigd door Lustucru op 22-02-2014 10:50 ]

[Dysmael]

Razwer schreef op zaterdag 22 februari 2014 @ 10:27:
[...]
niet waar. zolang er maar 3 named accounts zijn aangemaakt die toegang hebben tot de RDS en er maar 3 concurent users zijn is er niets illegaals aan. Hebben meer accounts toegang tot de RDS, dan is het wel illegaal.
http://technet.microsoft.com/en-us/library/cc753650.aspx
http://social.technet.mic...9b70fd84f87/rds-licensing
[...]

Je verward users met user accounts. Met een user wordt een persoon bedoeld, niet een gebruikersaccount.

In de webpagina's waar je zelf naar verwijst staat dat zelfs expliciet zo beschreven;

If you choose Per User RDS CALs, the licenses are for specific users. If you choose Per Device RDS CALs, the licenses are for specific devices.
NOTE: RDS Licensing is not concurrent. What this means is that if you purchase 15 RDS CALs they are for 15 specific users, not "any" 15 users at a given moment in time, which is how it would be under a concurrent scheme. For tracking purposes, a Per User CAL is issued to a user for 60 days.p

Failure to have an RDS Per User CAL for each user, if Per User licensing mode is being used, is a violation of the license terms.

[ Voor 5% gewijzigd door Dysmael op 22-02-2014 13:08 ]

[Razwer]

user = user account in AD, niet fysiek persoon.
Als dat wel zo zou zijn zou je je helemaal blauw moeten betalen voor bijvoorbeeld kiosk machines en zouden shared accounts (bijvoorbeeld room mailboxen enzo) verboden zijn. Dat is onwerkbaar.

[ Voor 67% gewijzigd door Razwer op 22-02-2014 18:24 ]

[Vorkie]

Razwer, wil je aub niet zomaar wat in de rondte slingeren qua licenties? Het is al verwarrend genoeg voor de meeste en als iemand maar wat roept wordt het er niet duidelijk om... lees je aub dan even in voordat je dit roept, ja, licentiestructuur bij MS is nou niet de makkelijkste, maar om dit maar gewoon te roepen is niet wijs (tenzij onderbouwd natuurlijk).
Wil je er gecertificeerd in raken; 70-671 en 70-672 is wat je dan nodig hebt

User CAL is gerelateerd aan een fysieke gebruiker > http://blogs.msdn.com/b/m...ve/2006/04/19/579256.aspx

So, User CALs are associated with a PHYSICAL USER.

Device CAL is gerelateerd aan 1 fysieke machine, met 1 of meerdere fysieke personen > dus als voorbeeld een KIOSK pc.

Voor meer informatie verwijs ik je naar de volgende site, hier staan het allemaal uitgelegd

https://www.microsoft.com...lient-access-license.aspx

[ Voor 30% gewijzigd door Vorkie op 22-02-2014 19:29 ]

[Razwer]

mooi, heb ik ook wat geleerd.
Ben benieuwd of zoiets ook kan blijven staan in een licentie rechtzaak. User cal verbinden aan fysieke gebruikers is bijna niet te doen in bijvoorbeeld grote bedrijven. Dat er meer betaald moet worden voor account sharing vind ik belachelijk.

[Dennism]

Razwer schreef op zaterdag 22 februari 2014 @ 22:16:
mooi, heb ik ook wat geleerd.
Ben benieuwd of zoiets ook kan blijven staan in een licentie rechtzaak. User cal verbinden aan fysieke gebruikers is bijna niet te doen in bijvoorbeeld grote bedrijven. Dat er meer betaald moet worden voor account sharing vind ik belachelijk.

Ik zie niet waarom dit een probleem is. Je bent niet verplicht de software van MS te gebruiken (er zijn altijd al dan niet even goed werkende alternatieven) en MS kan natuurlijk zelf de voorwaarden voor gebruik van haar software opstellen, tenzij deze uiteraard de wet breken, maar daar is mijn inziens in dit geval geen sprake van. Tevens zijn de voorwaarden vooor gebruik van de software van te voren in te zien, MS heeft in alle gevallen waar ik ervaring heb met licening PDF's die per product de voorwaarden uitleggen (al zijn deze voor een leek op dit gebied niet altijd even duidelijk, maarja een leek hoort dit soort (soms) gecompliceerde zaken ook niet te regelen). Daarnaast wordt je ook eigenlijk altijd geadviseerd een gecertificeerde expert in de hand te nemen bij het bepalen van de licentie benodigdheden bij deployments. Juist hierom heeft bijna iedere ICT dienstverlener/automatiseerder wel een of meerdere licentie experts in dienst die gecertificeerd zijn op deze vlakken.

Daarnaast hebben de echt grote jongens qua bedrijven altijd wel een of meerdere personen die binnen de organisatie verantwoordelijk is voor SAM. Bij kleinere bedrijven zal dit natuurlijk minder of niet voorkomen, dus deze zijn vaker afhankelijk van het (juiste) advies van de eigen ICT afdeling, of een externe automatiseerder.

Voor grote bedrijven zijn licenties ook vaak niet echt het issue is mijn ervaring. Deze hebben vaak voldoende licenties in Open Licence (in het geval van MS) om alle gebruikers of devices af te dekken is mijn ervaring, maar bij dit soort bedrijven zie je ook vaak dat alles goed geadministreerd is (al zullen ook hier vast wel voorbeelden zijn aan te halen waar het niet klopt). Het zijn juist vaker de middelgrote tot kleine bedrijven (bijv. situatie TS) waar ik het vaakst licentie issues tegen ben gekomen (te weinig licenties, verkeerde licenties, dat soort zaken).

In het geval van TS kan het vrij simpel opgelost worden. RDS licentie verkrijgen voor alle gebruikers die van de server gebruikmaken (wanneer ze allemaal ook een of meerdere eigen devices gebruiken). Of wanneer het bijv. enkel 3 PC's op kantoor betreft waar bijv ieder half uur iemand anders gebruik maakt van de PC's RDS licenties verkrijgen voor het minimaal aantal Devices (ik geloof 5) en per device calls gebruiken. Deze laatste optie is natuurlijk in dit geval een stuk voordeliger om compliant te zijn wanneer mogelijk.

Van meer betalen bij account sharing is dan ook in de meeste gevallen geen sprake als je van te voren goed uitzoekt of User of Device Cals voordeliger zijn in de situatie waarin ze gebruikt gaan worden. Bij kantoor omgevingen met bijv. veel thuiswerkers zal in veel gevallen per user voordeliger zijn, terwijl in bijv. productie omgevingen waar misschien 10 medewerkers van 1 werkplek gebruik maken per device vaak voordeliger uit zal pakken.

[ Voor 7% gewijzigd door Dennism op 22-02-2014 22:51 ]

[Hero of Time]

Houd ook rekening mee dat een licentie maar voor bepaalde tijd aan de gebruiker gekoppeld is. Als iemand het bedrijf verlaat, zal na een periode (weet even niet uit m'n hoofd, dacht 60 dagen, maar kan ook minder zijn) deze licentie weer beschikbaar zijn. Als je een bedrijf hebt met 140 medewerkers en je hebt 150 user CALs, dan heb je genoeg. Zelfs als er 15 bij komen en 5 weg gaan zit je nog prima in je licenties (randje, want alles is vergeven), maar bij een audit is er geen probleem iig.

Device CALs net zo. Heb je 5 CALs en 4 computers, geen probleem. Moet je er eentje herinstalleren, dan neemt die de 5e licentie in gebruik (want identificatie is verandert van bestaande, gelicenceerde computer) en na de vervaldatum heb je er weer eentje vrij.

Het raakt wel erg off-topic trouwens. We hebben niets meer vernomen van youme of dat de oplossing met mandatory profiles het gewenste resultaat heeft gegeven.

[ Voor 9% gewijzigd door Hero of Time op 22-02-2014 23:26 ]

[mutsje]

De 3 users die op een RDS server mogen aanmelden zijn sessies 0,1,2 0 console is in principe de administrator console en heeft verminderde cpu en memory tot zijn beschikking omdat men er vanuit gaat dat de administrator dat ding niet als remote desktop gaat gebruiken .

Je moet niet alleen rekening houden met je aantal device of user calls maar ook dat je netjes de software licenseerd. In principe geld bijvoorbeeld voor Office 20xx dat je een licentie voor elke gebruiker die op de server kan aanmelden een licentie moet hebben. Meeste andere software leveranciers hanteren dezelfde methodiek. Iets wat je niet moet vergeten dus als je je RDS licenties aangeschaft hebt.

terugkomend op de vraag stelling met profiles om die schoon te laten beginnen kun je zoals al vermeld is het beste met mandatory profiles werken. Groot nadeel men moet alles opnieuw instellen als dit niet door de beheerder met maken mandatory profile gedaan is.

[alt-92]

Sterker nog, ik ken software pakketten die helemaal niet gebruikt mogen worden via RDP.

Overigens zie ik niemand hier verwijzen naar de nog steeds aanwezige RDS user profile optie - daarmee kun je het 'normale' profile en het Remote Desktop profile apart configureren dus ook de gewenste mandatory profile setting alleen voor RDS.

[Rolfie]

mutsje schreef op zondag 23 februari 2014 @ 14:22:
Je moet niet alleen rekening houden met je aantal device of user calls maar ook dat je netjes de software licenseerd. In principe geld bijvoorbeeld voor Office 20xx dat je een licentie voor elke gebruiker die op de server kan aanmelden een licentie moet hebben. Meeste andere software leveranciers hanteren dezelfde methodiek. Iets wat je niet moet vergeten dus als je je RDS licenties aangeschaft hebt.

En hij kan nog mooier als men via BYOD, telewerken verbinding maakt met de Terminal server, waar office op draait. En kan het zelf nog complexer zijn (en duurder).

Licentie structuur van MS zijn zeer complex.