Разрешения безопасности для перемещаемых профилей, перенаправления папок, домашних дисков и автоматического создания
Рассматривая изменение способа управления перемещаемыми профилями, домашними дисками и перенаправлением папок.
Наш последний системный администратор был ленив и предоставил всем доступ ко всему, чтобы обойти головную боль при настройке разрешений для папок.
Я хочу, чтобы эти папки создавались автоматически при указании пути в AD. На данный момент домашняя папка создается нормально, однако при создании профиля мне нужно взять на себя ответственность за каждую папку для просмотра / изменения файлов, что является головной болью и не жизнеспособным в долгосрочной перспективе.
Я настроил 3 ресурса для этих функций со следующими разрешениями
HomeStore и ProfileStore
Безопасность:
Владелец Создателя - Полный
Администратор домена - полный
Прошедшие проверку пользователи - Читать
Совместное использование:
Аутентифицированные пользователи (только в этой папке) - полный
Администратор домена - полный
Система - Полная
FolderStore
Владелец Создателя - Полный
Администратор домена - полный
Прошедшие проверку пользователи - Читать
Совместное использование:
Все (только эта папка) - Полный
Администратор домена - полный
Система - Полная
Они установлены правильно? Я знаю, что у администратора есть проблемы с доступом к пользовательским файлам, но мы небольшая компания, и это часто требуется от меня.
1 ответ
Без разбора разрешений, которые вы перечислили (потому что это мешает моему слуху), я бы предложил следующую статью:
http://technet.microsoft.com/en-us/library/cc737633(WS.10).aspx
Кроме того, в групповой политике есть параметр для добавления группы безопасности "Администраторы" в перемещаемые профили, который предоставит группе "Администраторы" соответствующие разрешения для перемещаемых профилей, что устраняет необходимость вступать во владение при доступе к профилям, что, несомненно, вызовет проблемы. в конце концов.
Примечание 1: вышеупомянутая настройка GP влияет только на вновь созданные профили, а не на существующие.
Примечание 2. Параметр GP необходимо задать в объекте групповой политики, который применяется к объекту клиентского компьютера, а не к объекту компьютера сервера профилей.