Steady State und SysPrep

[xcode-tobi 10]

Moin Moin,

 

ich habe da eine Herausforderung: Wir bereiten ein System mit alle Programmen und Einstellungen entsprechend vor. Auch Windows Steady State kommt zum Einsatz. Innerhalb von Steady State legen wir 4 Benutzer (ohne Kennwort) mit der höchsten Einschränkung an. Im Autostart der User ist jeweils ein Script welches BgInfo samt BGI-File lädt und anschliessend eine virtuelle Umgebung. Funktioniert auch soweit. Die Benutzer können quasi lediglich auf Start / Programme / Autostart und eben das Script starten - alles andere ist gesperrt. Auch Internetzugriff und was es noch so alles zum sperren gibt...

 

Jetzt kommt aber der Punkt, an dem wir das System mit sysprep "vorbereiten". Beim erneutem Starten der Maschine kommt ja dann das MiniSetup ins Spiel. Wir geben also den Computernamen ein und dann macht er den rest...

Das Problem: Alle Benutzer sind zwar da, aber die Scripte laufen nicht mehr, die Benutzer haben auf einmal wieder Symbole auf dem Desktop (was vorher nicht der Fall war). Was mir noch aufgefallen ist, dass die Benutzerkonten und "Documents and Settings" aufeinmal nicht mehr "User" heissen sondern "User.orig" :suspect:

 

Hat jemand bereits ähnliche Erfahrungen mit Steady State und Sysprep gemacht? Hat jemand ein Tipp woran es liegen könnten, dass er da alles durcheinander macht?

 

Übrigens: Bevor Sysprep ausgeführt wird, sind die Benutzerkonten unter Steady State NICHT gesperrt, auch die Discprotection ist OFF - so wie es quasi im Handbuch steht.

[ducke 11]

Das Problem wird die SIDs der User sein. Diese wird neu generiert und somit haben die schon vor dem Sysprep angelegten User kein Recht auf ihre RegKeys.

Hab das aus dem TechNet Forum:

Hi Kaelen,

 

 

 

I have done a local test. Before running Sysprep, I created four user accounts:

 

 

 

Locked (I set High Restrictions and locked the profile)

 

EverLocked (I set High Restrictions. Locked the profile and then unlocked it.)

 

Restrictions (High Restrictions were configured)

 

Original (No restriction was configured)

 

 

 

After running the Sysprep tool:

 

 

 

Locked

 

---------------------

 

No restriction was retained. Unlocked the user profile and then set restrictions, still no restriction was applied.

 

 

 

 

 

EverLocked

 

---------------------

 

Most restrictions were not retained (such as Start Menu & IE restrictions etc.)

 

 

 

Some other restrictions were kept, such as the following one as I cannot create folder on Desktop (Access is denied),

 

 

 

“Prevent users from saving files to desktop”

 

 

 

Make restriction changes from SteadyState, only some of them can be applied, such as the above one. Other restrictions such as Start Menu & IE restrictions will not apply although they have been checked. Lock and then unlock the profile make no change to the result.

 

 

 

 

 

Restrictions

 

---------------------

 

All restrictions were retained. No problem was found when performing further operations in SteadyState.

 

 

 

 

 

Original

 

---------------------

 

No problem was found when performing further operations in SteadyState.

 

 

 

 

 

Based on our further research, if a user account was ever locked before running the Sysprep tool. Sysprep will not update the user’s registry hive which contains the information of the user account and its permission. When running Sysprep, a new user SID was created. As the new SID doesn’t match the SID information in the registry hive of the user account. The new user have no permission to write to its registry hive. Thus, group policy restrictions will not load and take effect.

 

 

 

If you would like to get it work after running Sysprep, we have to load the user’s registry hive and then give Full Control permissions to the user account.

 

 

 

As the steps will be a little complex and time consuming, I recommend only making restrictions changes before running the Sysprep tool. The handbook will be updated on this issue.

 

 

 

Regards,

 

Re: SysPrep and locked user accounts - TechNet Forums

[xcode-tobi 10]

Naja, ich habe nach langem gesuche leider keine passende Antwort finden können. Aber habe mir jetzt mal ein Workaround gebastelt:

 

- SteadyState - User exportieren, z.B. in Ordner C:\Temp\Install\SSU\

- SteadyState deinstallieren

- Sysprep ausführen

 

Beim erneuten Starten dieses Images wird eben das MiniSetup ausgeführt, im Anschluss laufen insgesamt 3 Scripte:

- Setup SteadyState im Quiet-Modus

- Import der user via SCTUI.EXE

- und schliesslich wird noch die IP-Adresse angepasst...

 

 

zur Info:

Um SteadyState im "Quiet-Modus" zu installieren, sind ein paar vorarbeiten nötig:

- ausführen von Setup_SteadyState.exe (wie auch immer die jetzt heisst..)

- unter C:\ wird ein temporärer Ordner mit irgendeiner Zahlen/Buchstabenkombination erstellt und eben die Setupfiles dahin kopiert

- Alle files samt Unterordner "update" in einen anderen Ordner kopieren

- im Ordner \update befindet sich die UPDATE.EXE

- in einer CMD kann man jetzt mit UPDATE /? weitere Optionen erfahren...

[xcode-tobi 10]

sooo, jetzt habe ich einen Weg gefunden wie es mit SteadyState und Sysprep doch noch klappt:

- Zunächst die Benutzer unter Windows anlegen (entweder manuel oder per script)

- Die Benutzer sollten in einer Admingruppe sein (warum kann ich nicht sagen, geht aber so)

- Dann SteadyState installieren / Starten

- die entsprechenden Berechtigungen setzen

- Wichtig: Die Profile NICHT (!) sperren

- Sysprep mit der entsprechenden sysprep.inf ausführen - fertig.