Überlegungen zu serverseitig gespeicherten Benutzerprofilen

[willy-goergen 0]

Die o.g. Sache bin ich die Tage in meinem jugendlichen Leichtsinn angegangen, weil ich dachte das geht schnell.

Ich musste dabei auch Lehrgeld zahlen, was aber nicht unbedingt das Thema sein soll. (ich sage nur Berechtigungen im Profilverzeichnis, falls jemand was zum Lachen braucht ;))

 

Mein Ziel war es serverseitig gespeicherte Benutzerprofile für einen guten Teil meiner Nutzer anzulegen. Die Überlegung war, dass es doch Sinn macht. Es kommt vor, dass die Leute hin und wieder mal den Rechner wechseln. Außerdem war der Aspekt der Sicherung für mich wichtig. wenn die Profile zentral gespeichert sind. Vorher wurde bei jeder Anmeldung eines Nutzers in der Domäne auf einem anderen Rechner ein neues Profil angelegt, was evtl. wieder "Handarbeit" bedeutet hat.

 

Die Profile liegen in einem von mir angelegten DFS. Einmal auf dem Primären DC, einmal auf dem Backup-DC. Das gefällt mir schon ganz gut. Ich habe per GPO die Berechtigung für mich gesetzt, dass ich auch auf dem Server auch problemlos auf die Verzeichnisse zugreifen kann. Außerdem habe ich die Profilgröße per GPO beschränkt. 

 

Dabei habe ich ein paar Kompromisse gemacht, die ich gerade noch nicht so optimal finde.

Meine Kollegen haben sich über die Zeit unglaublich in ihren Profilen zugemüllt. Teilweise werden auch Informationen gehortet, die manche nicht teilen möchten.

 

Aktuell habe ich die Profilgröße auf 800 MB beschränkt, um einen groben Überblick über die aktuelle Situation zu bekommen. Damit sollten auch die meisten "Ausreißer" abgedeckt sein. Wähle ich die Größe für's Erste kleiner, sehe ich eine Unzahl von Anrufen kommen, die mich dann wieder Zeit kosten. Teilweise sind die Leute auch echt unmöglich... haben selber keinen Plan vom Umgang mit ihrem Rechner und wollen sich dann auch noch bei der Geschäftsführung beschweren, weil ich (unter anderem deswegen) Einschränkungen machen möchte. Aktuell ist das vor allem eine Nutzerin, der ich ihre lokalen Administratorrechte entzogen habe, mit der sie sich irgendwelche Toolbars und sonstigen Müll installiert hat. Sie braucht das einfach nicht. Wirklich selber helfen kann sie sich auch nicht. Ich fand das gerechtfertigt. Soviel dazu.

 

Wirklich praktikabel finde ich die Lösung gerade nicht. Ich würde gerne bei 300 MB maximaler Profilgröße herauskommen. Damit wären wir auch beim Kern meiner Frage. 

 

Welche Profilgröße rechnet ihr pro Nutzer?

Welche Ausschlüsse macht ihr evtl. bei der Synchronisation?

Habt ihr eventuell noch ein paar gute Tipps für mich diesbezüglich?

Wie geht ihr mit den Leuten bei solchen Umstellungen um? Teilweise finde ich es teils echt richtig richtig schwierig. Irgendwo muss man sich ja in einem gewissen Rahmen bewegen. 

 

Ich wäre über ein paar Erfahrungswerte von euch ganz froh, sofern ihr sie mir geben möchtet. :)

bearbeitet 24. März 2015 von willy-goergen

[Doso 77]

1. Wir rechnen nicht. Extreme Ausreiser werden darum gebeten aufzuräumen. Das größte Profil das wir hatten war 32 GB - iTunes Musiksammlung komplett.

2. Es wird nicht synchronisiert. Roaming Proflie und DFS-Replikation wird afair nicht mal von Microsoft unterstützt.

3. Zentrales Backup rechtfertigt viel.

4. Leute werden immer meckern, egal ob du was umstellst oder es gleich lässt. 

[lefg 276]

Nun, bei uns im Hause wünschten sich damals die Niederlassungsleitung und aucg die zwischen Back- und Frontoffice wandernden Damen servergespeicherte Benutzerprofile, sie wollten überall ihren Desktop und ihr Outlook. Auf eine Begrenzung der Grösse wurde verzichtet. Einige,auch der Leiter legten sich in Outlook umfangreiche Archive mit Anhängen, das machte das Profil manchmal gross in den GB-Bereich, Bei Arbeitsplatzwechwechsel konnte das schon mal zu längeren Wartezeiten führen: Der Niederlassungsleiter meldete sich in einem anderen Büro an, das Übertragen der Archive.pst dauerte, es dauerte lange, bis er den Zusammenhang kapierte, er musste damit leben. Ich greife nicht auf Profil- und Homeverzeichnisse zu, ich bin nicht Besitzer, ich habe darauf keine Berechtigung. Es gibt einfach keinen Grund dafür.

[willy-goergen 0]

Ich greife nicht auf Profil- und Homeverzeichnisse zu, ich bin nicht Besitzer, ich habe darauf keine Berechtigung. Es gibt einfach keinen Grund dafür.

 

Der Besitzer der Dateien ist ja weiterhin der User. Mir ging es in dem Fall nur darum erst mal herauszufinden, ob die von mir gesetzten GPOs auch für alle ziehen, nachdem ich zuerst Probleme damit hatte. Dabei sind mir eben so ein paar Sachen aufgefallen.

 

 

1. Wir rechnen nicht. Extreme Ausreiser werden darum gebeten aufzuräumen. Das größte Profil das wir hatten war 32 GB - iTunes Musiksammlung komplett.

2. Es wird nicht synchronisiert. Roaming Proflie und DFS-Replikation wird afair nicht mal von Microsoft unterstützt.

3. Zentrales Backup rechtfertigt viel.

4. Leute werden immer meckern, egal ob du was umstellst oder es gleich lässt. 

 

Mir hat diese Lösung immer noch besser gefallen, als das Verzeichnis direkt ins SYSVOL zu legen. Da bin ich wirklich wieder bei einer Lösung, die offiziell nicht unterstützt wird? Mir sind dabei schon Probleme aufgefallen, so ist es nicht. Greift der Client gerade auf den falschen Replikationspartner zu, gibt es Probleme bei der Anmeldung.

bearbeitet 24. März 2015 von willy-goergen

[Sunny61 806]

Ordnerumleitung für die Eigenen Dateien und darunterliegenden Ordner einrichten sowie den Desktop umleiten.

Und mit den Leuten die es betrifft intensiv *vorher* sprechen. Notfalls Anleitungen mit Screenshots erstellen und den Leuten an die Hand geben.

[NorbertFe 2.027]

Was genau hättest du denn ins sysvol gelegt?

[willy-goergen 0]

Was genau hättest du denn ins sysvol gelegt?

 

Ich habe im Netz Tipps gelesen, das Verzeichnis, in dem ich die Benutzerprofile speichere, direkt ins SYSVOL zu legen. Das hat mir gar nicht gefallen. Deswegen hatte ich dafür mein eigenes DFS eingerichtet.

 

Gerade hab ich aber das Gefühl, dass das auch kein besonders guter Gedanke war.

bearbeitet 24. März 2015 von willy-goergen

[daabm 1.348]

Benutzerprofile ins Sysvol???? Böarrgh...

 

DFS-N ist ok, zwei Verweisziele und Replikation auch, solange nur ein Verweisziel aktiv ist UND Du weißt, was Du tust.

Zum zweimal lesen und dauerhaft verinnerlichen: http://blogs.technet.com/b/askds/archive/2010/09/01/microsoft-s-support-statement-around-replicated-user-profile-data.aspx

 

Und 800 MB als Profilgrenze? Wir haben 30 MB und leben prima damit. Bei 800 MB dauert der Profil-Sync unangenehm lange :D

 

PS: Profile ins DFS-N zu legen, ist ein SEHR guter Gedanke. Ohne Ironie. Ist es wirklich. Nur das mit "mehrere Verweisziele" und DFS-R ist etwas - hm - heikler :D Problem dabei ist IMHO, daß DFS-N und DFS-R eigentlich nichts miteinander zu tun haben, aber bei den meisten in einen Topf geworfen werden.

[NorbertFe 2.027]

Was du so für Tipps liest...

[daabm 1.348]

Was du so für Tipps liest...

Meine hoffentlich :D

[NorbertFe 2.027]

Kam der sysvol Tipp von dir?

[daabm 1.348]

Gar niemals nicht - wir haben bei uns den Schreibzugriff auf Freigabeebene für Netlogon sogar auf den PDC reduziert... Für Sysvol geht das leider nicht wegen dem "blöden" GPO-Gedöns :)

[NorbertFe 2.027]

Ja furchtbar die gpos.

[lefg 276]

Wird den Ordner Eigene dateinen eigentlich benötigt? Sollte der nicht vorbeugend abgeschafft werden? Die von unseren Angestellten erzeugten und bearbeiteten  Dokomente, Daten gehören der Firma, sind keine eigenen Dateien der Benutzer, sie gehören also in Firmeverzeichnisse auf dem Server.

bearbeitet 25. März 2015 von lefg

[NorbertFe 2.027]

War das da oben nicht von dir, dass du nicht auf die Ordner zugreifst? Ihr habt sie also nicht abgeschafft? Oder ist das ein Vorschlag gewesen, der bei dir noch nicht umgesetzt wurde?