![我可以授予域本地组对配置文件的访问权限(Windows 2003 R2 SP2/XP)吗?](https://linux22.com/image/489282/%E6%88%91%E5%8F%AF%E4%BB%A5%E6%8E%88%E4%BA%88%E5%9F%9F%E6%9C%AC%E5%9C%B0%E7%BB%84%E5%AF%B9%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6%E7%9A%84%E8%AE%BF%E9%97%AE%E6%9D%83%E9%99%90%EF%BC%88Windows%202003%20R2%20SP2%2FXP%EF%BC%89%E5%90%97%EF%BC%9F.png)
我在向 Windows Server 2003 R2 SP2 和 Windows XP SP3 的强制用户配置文件授予域本地组权限时遇到了问题。
我创建了一个名为 Sales 的全局组,并将 John 和 Mary 放入该组中。然后,我创建了一个名为 Sales Local 的域本地组,并将 Sales 组放入其中。我希望 John 和 Mary 使用相同的强制配置文件。
我以管理员身份登录并将配置文件复制到相应的文件夹 \server01\profiles\sales,同时分配域本地组 Sales Local 权限以使用该配置文件。
我输入了新配置文件位置的适当路径,然后单击“允许使用”上的“更改”,并选择“销售本地域本地”组(注意:我必须单击“对象类型”并选中“组”才能执行此操作)。
在服务器端,我将 ntuser.dat 重命名为 ntuser.man,然后尝试以 John 身份登录。
问题是 John 看不到所有配置文件。例如,他可以看到我放在桌面上的文本文件,但看不到我添加到桌面的“我的文档”文件夹图标。此外,如果您转到“桌面”->“属性”,您只会看到黑屏而不是主题选择,如果您尝试将“我的文档”文件夹添加到桌面,您会收到一条错误消息,提示无法设置视觉样式。
如果我将销售设为全球组,则这些问题都不存在。,但我认为对于 AG-DL-P,根据全局组授予资源权限并不是“最佳实践”。另外,为什么我必须采取额外的步骤检查“组”才能授予组对配置文件的权限?我看到一篇“操作方法”文章提到授予“BUILTIN\Users”对强制配置文件的访问权限。这听起来不太安全。
我错过了什么?这是我的配置错误吗?这是已知的限制吗?
答案1
以下是我所做工作的概要:
启动带有 Active Directory 域的 W2K3 R2 标准版 x86 SP2 VM。
在服务器虚拟机上创建了“Profiles”共享文件夹。以“所有人/完全控制”共享权限共享,并将 NTFS 设置为“管理员 - 完全控制”、“系统 - 完全控制”和“经过身份验证的用户 - 读取和执行 - 仅限此文件夹”。
在“配置文件”文件夹下创建“销售”子文件夹。
创建了一个名为“销售(本地)”的域本地组和一个名为“销售(全局)”的全局组。
创建了两个用户帐户 - “John” 和 “Mary”。保留其默认的“域用户”组成员身份,并将他们添加为“销售(全球)”组的成员。
以“john”身份登录 Windows XP Professional Service Pack 3 VM 并创建新的本地配置文件。将桌面颜色设置为红色(以便快速直观地显示配置文件的加载情况)并注销。
以域管理员帐户登录到 WinXP 计算机,并使用“我的电脑”属性中的“用户配置文件”功能将新创建的“john”用户配置文件复制到服务器计算机上的“配置文件”共享,并授予“销售(本地)”“允许使用”权限。
回到服务器计算机,我修改了“Profiles”文件夹的“Sales”子文件夹的安全性,以从父文件夹继承权限,并添加了“Sales (Local) - 读取和执行”。我将该权限重新应用于所有子文件夹。
我将“\Profiles\Sales”文件夹中的“NTUSER.DAT”文件重命名为“NTUSER.MAN”。
我修改了“John”和“Mary”用户帐户的属性,以在“\SERVER\Profiles\Sales”指定漫游用户配置文件。
我以“Mary”(之前从未登录过)的身份登录 Windows XP 计算机,并确认我收到了红色桌面背景。我修改了桌面背景颜色,注销,再次登录,并确认红色桌面颜色仍然存在(这意味着强制用户配置文件正在应用)。
我以“约翰”的身份登录并执行与“玛丽”相同的验证步骤。
通过在所有权限中指定“销售(本地)”,一切都按我预期的方式进行。我不知道该如何告诉您您所做的可能有什么不同。您认为我做了什么不同的事情?