Problem mit Mandatory Profiles und Group Policy

[jonasseybold 10]

Hallo zusammen,

 

habe ein Problem mit Mandatory Profiles. Kurz zu meiner Serverumgebung:

 

Habe eine W2K3 SP1 Server mit ADS-Benutzerverwaltung und mehrere WXP SP2 Clients die sich daran anmelden.

 

Nun habe ich im Prinzip mehrere User die in zwei Usergruppen unterteilt sind (Administratoren und Benutzer)

 

Alle diese Benutzer bekommen ein Mandatory Profile, dass auf dem ADS-Server gespeichert ist.

 

Der unterschied zwischen den Gruppen ist der, dass die Admins ein offenes Profil bekommen und die Benutzer ein über die Group-Policy beschränktes Profil bekommen, auf dem sie nichts machen können außer ein bestimmtes Programm aufrufen.

 

Nun zu meinem eigentlichen Problem:

 

Ich habe das Phänomen, wenn sich zuerst ein Admin an einem PC anmeldet und sich danach am selben PC ein normaler Benutzer anmeldet, dass auch der Benutzer ein offenes Profil bekommt.

Wenn ich mich wieder abmelde und erneut mit dem gleichen Benutzer anmelde bekomme ich dann wieder das beschränkte Profil.

 

Vermute, dass da noch was irgendwo im Cache rumhängt und es deshalb zu überschneidungen der Profile bekommt. Aber weiß nicht so recht wie ich das beheben kann.

 

Hat das schon einmal jemand gehabt und was kann ich dagegen tun?

 

Danke schonmal im voraus.

[Leachim 10]

Zumindest mal einen Workaround:

Per Gruppenrichtlinie das lokale Profil löschen lassen, wenn sich der Benutzer abmeldet.

 

Aber erlaube mir die Frage, warum überhaupt Mandatory Profiles? Mircosoft selbst rät vom Einsatz derselbigen seit dem letzten Jahrhundert ab.

[jonasseybold 10]

Zuerst mal danke für den Tipp, werd ich am Montag gleich ausprobieren.

 

Mandatory Profiles deshalb, dass die User nicht's ändern können. Ist zwar doppelt gemopplet, da das auch schon über die Group Policy passiert.

 

Aber was die Projektleitung spezifiziert, muss ich halt umsetzten ;-)

[Finanzamt 73]

Hi!

Den Cache kannst Du in der Registry HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon über den Wert für CachedLogonsCount setzen. Typ: REG_SZ, Standardwert ist 10, mit dem Wert 0 gibt es keine Anmeldung, wenn der DC nicht oben ist (und die MandantoryProfiles nicht greifbar).

An der gleichen Stelle wird dann noch der Wert für DeleteRoamingCache (Ebenfalls REG_SZ) auf 0 gesetzt. Ich meine, standardmäßig ist der Wert überhaupt nicht gesetzt; Du müßtest ihn also anlegen und 0 eintragen. Mit dem Eintragswert "1" schaltest Du das Löschen wieder ab.

 

M.E. ist bei dieser Handhabung zu berücksichtigen, daß alles unter Dokumente und Einstellungen keinerlei Wandel unterworfen ist bzw. weil hier die dicksten Daten hängen, heftig was hergeschoben wird. Aber das hast Du ja wahrscheinlich im Zusammenhang mit den mandantory Profiles schon alles bedacht.

Gegrüßt!

 

PS.: Bei DAUs sind auch MS-Empfehlungen nicht immer prickelnd.