Mandatory User Profile funktioniert einfach nicht...

[Shemeneto 11]

Hallo zusammen,

 

ich versuche für Windows 10 Clients ein unveränderliches Benutzerprofil zu erstellen, was bei Windows 7 eigentlich immer problemlos funktioniert hat...

 

DC: Windows 2012 R2

Fileserver: Windows 2008 R2

Clients: Windows 10 Enterprise (1703)

 

Nach folgenden Anleitungen bin ich vorgegangen:

 

https://docs.microsoft.com/en-us/windows/client-management/mandatory-user-profile

 

Hier ist das Problem, dass er zwar das Profil als "obligatorisch" anlegt, aber Änderungen zulässt...

 

http://www.htguk.com/how-to-create-mandatory-profiles-in-windows-10-creators-update-1703/

 

Hier bekomme ich gleich bei der Anmeldung (aber erst wenn ich die ntuser.dat in .man umbenenne) den Fehler bei der Anmeldung:

"Anmeldung des Dienstes 'Gruppenrichtlinienclient' ist fehlgeschlagen. Zugriff verweigert"

 

Wie erstellt ihr ein solches Benutzerprofil bei Windows 10?

 

Gruß,

Shemeneto

[NilsK 2.957]

Moin,

 

Mandatory Profiles sind eine Technik aus den Neunzigern. Das sollte man heute wirklich nicht mehr verwenden. Neben diversen Detailproblemen drohen dabei auch Datenverluste.

 

Gruß, Nils

[Shemeneto 11]

und wie soll man dann Benutzerprofile vor Änderungen schützen?

Die Benutzer die es betrifft sollen ja während der Sitzung nicht zu arg eingeschränkt werden, also schon Änderungen ausführen dürfen. Es sollen aber alle Änderungen zurückgesetzt werden ohne, dass man dafür eine lange Anmeldezeit in Kauf nehmen muss. (Also ein Userprofil immer neu zu erstellen ist damit auch raus!)

 

Ich habe jedenfalls keine andere Möglichkeit gefunden, dies zu realisieren...

bearbeitet 11. Juli 2017 von Shemeneto

[NilsK 2.957]

Moin,

 

damit sind wir bei der Frage der Anforderungen und des Anwendungsfalls. Die sind zu definieren, dann kann man nach einer Lösung suchen.

 

Gruß, Nils

[lefg 276]

Moin

 

Nach dem nächsten Boot ist alles wieder gut: PC-Wächter von Dr Kaiser wird bei uns verwendet im Veranstaltungsbereich landesweit auf Desktops und Laptops.

 

Wir haben bis auf wenige Ausnahmen auch keine Server mehr und keine persönlichen Benutzerkonten, die Rechner nicht mehr in einer Domäne.

 

Mandantory Profile gelangen mir nur servergespeichtert, nicht auf dem Desktop.

 

Auf dem Desktop habe ich damals dann jeweils für den Standardbenutzer dem die Schreibrechte verweigert z.B. auf den Desktop, Eigene Dateien, ..... . Da ging das Bereitstellen, Fertigsein des Profils von lokal auch schneller als vom Server.

bearbeitet 11. Juli 2017 von lefg

[Shemeneto 11]

Hallo lefg,

 

genau das ist eben nicht gewollt! Eine Soft-, bzw Hardware, die das ganze System zurücksetzt. Das gibt Probleme mit Software- und Betriebssystemupdates usw. (Wurde alles schon getestet!)

[zahni 554]

Von Microsoft gibt es  ein Tool, das  vielleicht Deine Anforderungen umsetzt:

 

https://technet.microsoft.com/de-de/windows/hh943107.aspx

 

Erfahrungen habe leider keine damit.

[NilsK 2.957]

Moin,

 

genau das ist eben nicht gewollt!

 

daher meine Frage ... seufz. Gib doch bitte an, was genau gewünscht ist. Dann können wir nach einer Lösung schauen. Sonst wird das eher nicht gehen.

 

Gruß, Nils

[Shemeneto 11]

Hallo zahni,

 

danke für den Link. Ist sehr interessant das Thema und für andere Bereiche auch von Interesse. Leider ist es für diesen Fall nicht nutzbar...

 

@Nils,

 

Hier ein Beispiel:

Ein Benutzer loggt sich an PC xy zum ersten mal an und bekommt das "Default Profile" zugewiesen. In diesem sind alle notwendigen Einstellungen, die nicht über GPO´s einstellbar sind vorgenommen (z.B. dass das Programm paint.net nicht nach Updates sucht). 

Der User nimmt Änderungen an den Benutzereinstellungen vor z.B. stellt er wieder ein, dass Paint.net nach Updates sucht. Er legt Dateien auf den Desktop ab (was er auch können soll). Er füllt Cache/Temp Ordner. Er füllt den Explorer Verlauf, er synchronisiert sein OneDrive Ordner usw.  

Dies sollte beim Abmelden wieder mit dem "Default Profile" zurückgesetzt werden ohne dass man das ganze Benutzerprofil löschen muss (so wird es momentan gemacht, was eine lange Anmeldezeit zur Folge hat...)

[NilsK 2.957]

Moin,

 

du hast jetzt das Verhalten von Madatory Profiles beschrieben. Du hast aber nicht beschrieben, warum das Verhalten erwünscht ist. Was ist die geschäftliche Anforderung dahinter? Warum sollen die Profile zurückgesetzt werden?

 

Gruß, Nils

[Shemeneto 11]

an diesen PC´s melden sich unterschiedliche Personen an. Personen mit Roaming Profilen aber auch Personen die eben nur eine Standardumgebung benötigen. Dafür gibt es einen Standardbenutzer (die Zugangsdaten für diesen User sind am jeweiligen PC angebracht). Und dieses Profil soll eben nach Abmeldung wieder zurückgesetzt werden.
 

Beispiel: In einem Konferenzraum steht ein Notebook, dass an einem Beamer angeschlossen ist. Nun will jemand einen Vortrag halten, hat aber für diese Domain keinen User Account bzw. weiß seine Zugangsdaten nicht (was hier leider sehr häufig vorkommt!!!). Dann meldet er sich mit dem Standard-User an, macht seine Präsentation...

 

Bisher war es immer so, dass das Userprofil beim Herunterfahren gelöscht wurde, was aber beim Hochfahren eine etwas längere Anmeldezeit zur Folge hat, da das Profil ja erst wieder neu angelegt werden muss.

Diese Anmeldezeit soll eben verkürzt werden!

[lefg 276]

Moin

 

Du beschreibst im Prinzip ein Kiosksystem.

bearbeitet 12. Juli 2017 von lefg

[Shemeneto 11]

nein, ein Kiosksystem schränkt die Anwender zu arg ein. Das ist nicht gewollt...

[lefg 276]

Nach meiner momentanen Einschätzung sind deine Anforderungen und Ablehnungen mit den Möglichkeiten von Windows nicht in Übereinstimmung zu bringen. Ich sehe nicht, wie ein benutztes Profil zurückgesetzt werden könnte mit Bordmitteln. Deine Beschreibung ist ein Kiosk. Ansonsten eben ein neues Profil erzeugen, dazu genügend leistungsfähige, schnelle Rechner.

[NilsK 2.957]

Moin,

 

auf jeden Fall schon mal danke für die Beschreibung. Jetzt ist nachvollziehbar, was die Anforderung ist. Durchaus ein verstehbarer Einsatzfall.

 

Tatsächlich könnte dies ein Fall sein, in dem Mandatory Profiles hilfreich wären, ist ja ein spezielles Szenario. Nach kurzer Recherche sollte das auch mit Windows 10 grundsätzlich funktionieren. Vielleicht helfen die folgenden Links, das Verfahren noch mal zu überprüfen.

 

http://www.linuxgfx.co.uk/karoshi/documentation/wiki/index.php?title=Creating_a_Windows_10_Mandatory_Profile

https://social.technet.microsoft.com/Forums/en-US/0b6a929c-adaf-469e-8be8-8b74ba82c196/mandatory-profiles-in-windows-10?forum=win10itprosetup

 

Sonst wäre als Workaround evtl. ein Skript denkbar, das die wichtigen Stellen des Profils beim Abmelden oder beim Login gezielt löscht.

 

Gruß, Nils