Как настроить перенаправление папок

Введение

Перенаправление папок может ограничить объем данных, копируемых между общей папкой перемещаемого профиля и сервером терминалов при каждом входе в систему и выходе из нее. Это достигается за счет перенаправления таких папок, как «Рабочий стол», «Мои документы» и «Данные приложения», на общую сетевую папку за пределами общей папки перемещаемого профиля, чтобы она не копировалась при каждом входе в систему и выходе из нее.

Перенаправление папок также может предоставлять заблокированные папки рабочего стола и меню «Пуск» путем перенаправления на общие сетевые ресурсы, из которых конечные пользователи могут только читать, или его можно настроить таким образом, чтобы отдельные папки меню «Пуск» и рабочего стола пользователей находились в общей папке, а не копировались. туда и обратно с остальной частью перемещаемого профиля. Это уменьшает объем данных, передаваемых при каждом входе/выходе, и обеспечивает более стабильную среду для пользователей, которые одновременно входят в несколько сеансов сервера терминалов. Это связано с тем, что нет риска потери данных из-за того, что одна копия папки рабочего стола перемещаемого профиля перезаписывает ранее сохраненную копию, поскольку они всегда ссылаются на каталог в общей папке, а не на локальную папку профиля.

Рекомендации по групповой политике сервера терминалов

Прежде чем мы углубимся в настройку перенаправления папок, давайте рассмотрим, как настроить групповые политики для использования со службами терминалов. Рекомендация по применению настроек к пользователям только при их входе на серверы терминалов:

1. Создайте подразделение, содержащее набор терминальных серверов.
   
2. Заблокировать наследование политики в OU (Свойства -> Групповая политика). Это предотвращает влияние настроек из более высокого уровня в AD на ваши терминальные серверы.
   
3. Переместите объекты компьютера сервера терминалов в OU. НЕ размещайте учетные записи пользователей в этом подразделении.
   
4. Создайте группу безопасности Active Directory под названием «Серверы терминалов» (или что-то похожее, что вы узнаете) и добавьте серверы терминалов из этой OU в эту группу.
   
5. Создайте объект групповой политики под названием «Политика машины TS», связанный с OU.
   
6. Установите флажок «Отключить параметры конфигурации пользователя» в объекте групповой политики.
   
7. Включить обработку политик Loopback в GPO
   
8. Отредактируйте безопасность политики, чтобы применить политику для «аутентифицированных пользователей» и группы безопасности, содержащей терминальные серверы.
   
9. Создайте дополнительные объекты групповой политики, связанные с этим OU, для каждой группы пользователей, т. е. «Пользователи TS», «Администраторы TS».
   
10. Установите флажок «Отключить параметры конфигурации компьютера» в этих объектах групповой политики.
    
11. Отредактируйте параметры безопасности в этих объектах групповой политики конфигурации пользователя, чтобы применить политику для целевой группы пользователей, а запретить применение политики для пользователя, к которому политика не должна применяться.

Если объекты групповой политики настроены таким образом, политика машины применяется ко всем, кто входит в систему на сервере терминалов (обрабатываются только параметры конфигурации компьютера политики машины) в дополнение к соответствующему объекту групповой политики конфигурации пользователя (обрабатывается только часть объекта групповой политики, посвященная конфигурации пользователя). ) для целевой группы пользователей.

Настройки GPO для перенаправления папок

Поскольку перенаправление папок находится в разделе «Конфигурация пользователя» объекта групповой политики, можно создать несколько разных политик и применить одну к каждой отдельной группе пользователей, отфильтровав параметры безопасности в свойствах объекта групповой политики. Это позволяет администраторам перенаправлять папки некоторых пользователей в предварительно настроенные каталоги, которые пользователи не имеют достаточных разрешений NTFS для изменения, и перенаправлять других пользователей в папки, которые поддерживаются самостоятельно.

Настройки перенаправления папок находятся в разделе «Конфигурация пользователя» -> «Параметры Windows» -> «Перенаправление папок». В этом узле можно найти:

Чтобы настроить элемент, щелкните правой кнопкой мыши и выберите «Свойства». Это предоставляет пользовательский интерфейс конфигурации для указанной папки. В одном объекте групповой политики можно либо настроить папку для перенаправления в указанное место для всех пользователей, к которым применяется объект групповой политики, либо можно настроить папку для перенаправления в указанное место на основе членства в группе.

NTFS и общие разрешения

Чтобы перенаправление папок работало правильно, целевая общая папка NTFS и разрешения общего доступа должны быть правильно настроены. При перенаправлении папки в место, которое конечный пользователь не должен изменять, например, в меню «Пуск» или «Заблокированный рабочий стол», следует применить следующие разрешения:

• Поделиться разрешениями:
  
  
  
  • Все — полный контроль
    
  • Администраторы — полный доступ
    
  • Система — полный контроль
  
  
• Разрешения NTFS:
  
  
  
  • Всем — прочитать и выполнить
    
  • Администраторы — полный доступ
    
  • Система — полный контроль

Если групповая политика настроена на перенаправление в место, где объект групповой политики автоматически создаст целевую папку, т. е. отдельные папки пользователя «Данные приложения», «Рабочий стол» или «Мои документы», к родительской папке следует применить следующие разрешения:

• Поделиться разрешениями:
  
  
  
  • Все — полный контроль
    
  • Администраторы — полный доступ
    
  • Система — полный контроль
  
  
• Разрешения NTFS:
  
  
  
  • Все — создать папку/добавить данные (только для этой папки)
    
  • Все — список папок/чтение данных (только для этой папки)
    
  • Все — чтение атрибутов (только для этой папки)
    
  • Все — просмотреть папку/выполнить файл (только для этой папки)
    
  • CREATOR OWNER — Полный доступ (только вложенные папки и файлы)
    
  • Система — полный доступ (эта папка, подпапки и файлы)
    
  • Администраторы домена — полный доступ (эта папка, подпапки и файлы)

Важно отметить, что при перенаправлении папок, таких как «Мои документы», в уже существующее расположение, т. е. в домашнюю папку пользователя, необходимо учитывать еще один параметр — право собственности. Если пользователь не является владельцем целевого каталога, перенаправление папки завершится ошибкой с настройками перенаправления папки по умолчанию. В этом случае необходимо снять флажок «Предоставить пользователю исключительные права на Мои документы».

Если это не настроено, перенаправление папок завершится ошибкой, и в журнал событий сервера терминалов будет записано следующее:

Идентификатор события: 101
Пользователь: имя пользователя
Компьютер: имя_компьютера
Описание:
Не удалось выполнить перенаправление папки имя_папки. Не удалось создать новые каталоги для перенаправленной папки. Папка настроена на перенаправление на \ servername sharename \%username%, окончательный расширенный путь был \ servername sharename username. Произошла следующая ошибка:
Доступ запрещен.

Заметки:

• Параметры конфигурации пользователя в групповой политике вступают в силу при первом входе в систему после того, как политика будет сохранена и реплицирована на сервер входа пользователя.
  
• Параметры конфигурации компьютера в групповой политике вступают в силу, когда компьютер загружается и входит в Active Directory. Имея это в виду, необходимо перезагрузить сервер терминалов, прежде чем будут применены изменения настроек конфигурации компьютера.
  
• Перенаправление папок не существует в локальной политике. Если кто-то хочет перенаправить папки без использования Active Directory, им следует исследовать перенаправление папок, отредактировав реестр по адресу:
  [HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionExplorerПапки оболочки]
  
• При перенаправлении меню «Пуск» следует помнить, что «по умолчанию» пользователи, щелкнув правой кнопкой мыши кнопку «Пуск» для просмотра, будут исследовать, начиная с сетевого расположения перенаправленной папки, даже если у вас есть ограниченный доступ к «Моему сетевому окружению». Чтобы избежать этого, можно отредактировать следующую запись реестра:
  [HKEY_LOCAL_MACHINESOFTWAREClassesFoldershellexploreddeexec]
  @=”[ExploreFolder(”Буква диска:\”, Буква диска:\, %S)]”

Резюме

Перенаправление папок — это мощный и довольно гибкий набор параметров конфигурации в групповой политике. Как и все в групповой политике, настройки следует протестировать в контролируемой среде и протестировать с небольшой группой пользователей перед развертыванием в производственной среде.

использованная литература

Как динамически создавать защищенные перенаправленные папки с помощью перенаправления папок в Windows 2000

Функция перенаправления папок в Windows

Рекомендации по безопасности для перенаправления папок