Ablösung von Servergesteuerten profilen durch GPP.

[Eismann 10]

Nabend,

ich habe heute mal den schönen htread über GPP gelesen und mich auch bei Gruppenrichtlinien umgesehen. Gebe zu, das hätte ich mal ein paar Jahre früher machen sollen. :shock:

 

Meine Umgebung ist Domäne im W2k3 Server und etliche sehr gleiche XP-Clients - klassisches Schulnetzwerk mit Mandantory Serverprofilen.

Vorgeschichte: eine sogenannte Pädagogische Software erwartet bei uns ein Servergespeichertes Profil. Das soll wohl auch bei der nächsten Version der Software so bleiben, die aber dann Win7 und Server 2008 unterstützt.

In meinem Testnetz mit den neuren Bs-Versionen beiße ich beim Thema Serverprofile voll ins Gras. Die ganzen Tricks, die ich in der Vergangenheit so gesammelt hatte, kamen letztendlich nur über die Profile zum Einsatz und nun habe ich mit GPP und Co 100% Neuland.

Ich ziehe aber jetzt wohl die Konsequenz:

Die Profile werden nur noch aus "Kompatiblitätsgründen" auf den Server kopiert und dann auch nur ein unbearbeitete Original eines win7-Clients. Das ist wohl die einzig schnelle Lösung. :(

Alles was dann stört, muss man mit den neuen Techniken realisieren.

 

Mal so nebenbei: wie nehme ich bei Firefox und bei Office 2010 den ersten Start vorweg? ( "Möchten Sie jetzt registieren... oder möchten Sie am Programmverbesserungsprogramm mitarbeiten... oder mit welchem Format möchten Sie speichern...) Auch mit einer GPP?

 

Hatte ich vergessen zu erwähnen: diese besagte Software stellt die Clients nach einem Neustart zurück. So ähnlich wie Dr. Wächter- Karten

 

Gruß Eismann

[Sunny61 773]

Mal so nebenbei: wie nehme ich bei Firefox und bei Office 2010 den ersten Start vorweg? ( "Möchten Sie jetzt registieren... oder möchten Sie am Programmverbesserungsprogramm mitarbeiten... oder mit welchem Format möchten Sie speichern...) Auch mit einer GPP?

 

Für die Office 2010 gibt es eigene ADM Templates. Zu finden hier: Richtlinien Office 2010 Du kannst dort ja auch Online nach den Einstellungen suchen lassen, auswendig weiß ich benötigte Einstellung nicht.

 

Für den FF wirst Du wohl auf Firefox MSI zurückgreifen müssen. Weshalb aber FF? Den IE kannst Du out of the Box administrieren und mit dem WSUS auch immer schön aktualisieren.

[Marco31 31]

Für den Firefox kannst du dir das hier mal anschauen...

 

FrontMotion Firefox Community Edition

 

Da kannst du auch die Anpassungen per GPO machen. Wird auch regelmäßig upgedatet.

[Marco31 31]

Argh, da war ich wohl zu langsam.. Sorry.

[Eismann 10]

;)

Vielen Dank für die Links Sunny und Marco!

 

Heute habe ich mir das Testnetz mal an einen ruhigeren Platz (nämlich zuhause) umgezogen.

 

Immerhin: Ordnerumleitung und diverse gpp laufen jetzt. Und der Servermanager begeistert mich!

 

Gruß Eismann

[Eismann 10]

Für den Firefox kannst du dir das hier mal anschauen...

 

FrontMotion Firefox Community Edition

 

Da kannst du auch die Anpassungen per GPO machen. Wird auch regelmäßig upgedatet.

 

Wenn ich Dich richtig verstanden habe, dann funktionieren die Firefox-GPOs nur bei der Version von Frontmotion?

 

Die Artikel von Gruppenrichtlinien habe ich gelesen und mir dann die Sache in meinem Testnetz mal genauer angesehen.

Der testClient (Win7Ultimate mit Firefox 12 nicht von FM) hat vor der Anwendung der adm in der egistry für Firefox weder unter LocalMachine noch unter CurrentUser bei software\Policies irgendwelche Einstellungen von Mozilla oder Firefox.

Durch eine erneute Anmeldung nach Einrichtung der adm und Erstellung einer pol-datei. schreibt winlogon mithilfe der cse dan die aktivierten richtlinien als Schlüssel dazu. Ist das so rchtig?

Wenn schließlich die Applikation beim Start diese Registry-Werte erkennt und ausliest, funktioniert auch die Richtlinie. So müßte es doch laufen oder?

 

Noch'n Problem: Auf meinem Server 2008R2 kann ich immerhin adm-vorlagen hinzufügen. wie läuft das denn mit admx und amdl-Vorlagen? Die findet das Dateifenster nicht und filtert sie raus. :mad:

 

und: weder in firefox.adm noch in mozilla.adm finde ich etwas über das Speichern von Kennwörtern. :(

 

Gruß Eismann

[Weingeist 157]

Mit den Sysinternals tools könntest mitloggen welche Registry-Keys beim bearbeiten der Kennwortrichtlinien etc. modifiziert werden. Je nach dem - wenn sich noch niemand die Mühe gemacht hat (Google) kannst du dann eigene ADM bzw. vorzugsweise ADMX Templates schreiben und darauf hoffen, dass die bei neuen Version immer noch die gleichen sind.

 

Nicht umsonst ist MS stark im Serverbereich, die nötigen Werkzeuge liefern sie gleich mit und sie schauen, dass die Parameter in der Registry in der Regel sehr lange und Versionsübergreifend gültig sind. Deshalb: IE

[Marco31 31]

Also zu GPO und FM-Firefox muss ich gestehen dass ich immer nur beides zusammen genutzt habe (also nicht den "Original"-FF). Ich habe hier nicht viele User und der FF wird auch fast ausschließlich für Internet-Browsen verwendet. Von daher halten sich meine Anpassungen per GPO hier sehr in Grenzen...

Hab da eher so Sachen wie Proxy, Ausnahmen, Startseite, Update-Disable etc. eingestellt.

[Sunny61 773]

Noch'n Problem: Auf meinem Server 2008R2 kann ich immerhin adm-vorlagen hinzufügen. wie läuft das denn mit admx und amdl-Vorlagen? Die findet das Dateifenster nicht und filtert sie raus. :mad:

 

Hier wird beschrieben wie das mit ADMX und ADML funktioniert: Central Store - PolicyDefinitions

[Eismann 10]

@Sunny61: danke für Info!

 

muss nochmal zurück zum Thema Ordnerumleitung.

Zwischendurch ging die Ordnerumleitung, weil ich wohl mit alten unsauberen Profilen hantierte...die sind jetzt weg. Da ich default user manipuliert hatte, habe ich einfach eine andere win7 machine geholt und deren Original Benutzerprofil auf den Server geschoben. Jetzt geht zwar die Profilübertragung (Ohne den Fehler mit tempäreren Profil, aber die Ordnerumleitung nicht mehr.)

 

Geprüft habe ich: Pfad der Daten, die in der Ordnerumleitung stehen (Version Erweitert - Gruppenabhängig: \\server\unterricht\test\%username%\Documents) lassen sich auf dem Client im Kontext des Testusers öffnen und bearbeiten. Damit habe ich schon mal keine Freigabe oder NTFS-Problem.

 

Außerdem habe ich das gleiche Problem wie in dem Produktivnetz( 2k3server + XP): alte Profile werden beim Abmelden nicht gelöscht, obwohl ich das in der GPO angegeben habe.

Ich arbeite mit 2 Usern in der gleichen OU. Einer davon hat Adminrechte, der andere nicht.

Was könnte ich denn jetzt noch machen?

 

Noch einen Wunsch hätte ich: Auf dem Clients gibts ja auch "Öffentliche Dokumente". Kann man die auch auf den Server umleiten ? am liebsten als Readonly-Bereich für zentrale Informationen?

 

Gruß Eismann, der jetzt eine Pause braucht.

[Sunny61 773]

Außerdem habe ich das gleiche Problem wie in dem Produktivnetz( 2k3server + XP): alte Profile werden beim Abmelden nicht gelöscht, obwohl ich das in der GPO angegeben habe.

Ich arbeite mit 2 Usern in der gleichen OU. Einer davon hat Adminrechte, der andere nicht.

Was könnte ich denn jetzt noch machen?

 

Wird die GPO denn auch übernommen? RSOP.MSC und/oder gpresult /v in einer Commandline helfen. Gibt es Fehlermeldungen im Eventlog?

 

Noch einen Wunsch hätte ich: Auf dem Clients gibts ja auch "Öffentliche Dokumente". Kann man die auch auf den Server umleiten ? am liebsten als Readonly-Bereich für zentrale Informationen?

 

Ich glaube nicht das man die Public Folder umleiten kann. Wenn Du sie unbedingt nur Read Only haben möchtest, würde ich das mit NTFS Berechtigungen über eine GPO abbilden.

[Eismann 10]

Wird die GPO denn auch übernommen? RSOP.MSC und/oder gpresult /v in einer Commandline helfen. Gibt es Fehlermeldungen im Eventlog?

 

Sehr Gut. Das kannte ich noch nicht. Ich nehme an, der Befehl muss am Client gemacht werden.

 

 

Ich glaube nicht das man die Public Folder umleiten kann. Wenn Du sie unbedingt nur Read Only haben möchtest, würde ich das mit NTFS Berechtigungen über eine GPO abbilden.

 

Wenn ich jetzt wieder mit Profilen herum machen könnte, hätte ich schon eine Idee: mit Regedit CurrentUser\....Explorer\Shellfolder\Public Documents ändern auf "d:\Public" und das Profil dann auf den Server kopieren. So habe ich im Produktivnetz auch die "Eigenen Dateien" eingestellt. Klappte super. aber das wird wohl jetzt nichts mehr.

Den alten Public-Bereich habe ich dann selbst mit NTFS verändert: Schreiben nur für Admins.

 

Gruß Eismann

[Eismann 10]

Die Ordnerumleitungen veräppeln mich immer noch, also habe ich mir was anderes ausgetüftelt:

 

mit einer neuen Benutzer GPO in Einstellungen\Windowes\Einstellungen\Registrierung kann am Client die Registry patchen. Und diese reg-einträge habe ich gemacht:

\Current User\Software\microsoft\windows\currentversion\explorer\shell folders

bzw etwas tiefer User Shell Folders

Dort gibt es jeweils die Schlüssel Desktop, und Personal. Beide habe ich eingestellt auf h:\documents bzw h:\desktop

 

Auch die öffentlichen Dokumente lassen sich auf den Server umleiten. Hier habe ich auf dem Server einen Order "public" angelegt und freigegeben.

 

Der regkey ist in localmachine\\Software\microsoft\windows\currentversion\explorer\user shell folders und heißt "common documents"

. Hier steht bei mir dann zb \\server\public als Wert.

Im Client erscheint dann unter Bibliotheken ein Eintrag "public" als Netzwerkresource.

 

Das Löschen der Profile läuft jetzt auch. Es ist aber eine Computer GPO...und der test-client muss dazu natürlich in eine OU geschoben werden.

 

die Ergebnisse von rsop.msc zeigen nicht alles an. Computer-GPOs fehlen immer. Und natürlich die Ordnerumleitung

 

So, jetzt kann ich besser schlafen.

Gruß

Eismann