我在向 Windows Server 2003 R2 SP2 和 Windows XP SP3 的强制用户配置文件授予域本地组权限时遇到了问题。
我创建了一个名为 Sales 的全局组，并将 John 和 Mary 放入该组中。然后，我创建了一个名为 Sales Local 的域本地组，并将 Sales 组放入其中。我希望 John 和 Mary 使用相同的强制配置文件。
我以管理员身份登录并将配置文件复制到相应的文件夹 \server01\profiles\sales，同时分配域本地组 Sales Local 权限以使用该配置文件。
我输入了新配置文件位置的适当路径，然后单击“允许使用”上的“更改”，并选择“销售本地域本地”组（注意：我必须单击“对象类型”并选中“组”才能执行此操作）。
在服务器端，我将 ntuser.dat 重命名为 ntuser.man，然后尝试以 John 身份登录。
问题是 John 看不到所有配置文件。例如，他可以看到我放在桌面上的文本文件，但看不到我添加到桌面的“我的文档”文件夹图标。此外，如果您转到“桌面”->“属性”，您只会看到黑屏而不是主题选择，如果您尝试将“我的文档”文件夹添加到桌面，您会收到一条错误消息，提示无法设置视觉样式。
如果我将销售设为全球组，则这些问题都不存在。，但我认为对于 AG-DL-P，根据全局组授予资源权限并不是“最佳实践”。另外，为什么我必须采取额外的步骤检查“组”才能授予组对配置文件的权限？我看到一篇“操作方法”文章提到授予“BUILTIN\Users”对强制配置文件的访问权限。这听起来不太安全。
我错过了什么？这是我的配置错误吗？这是已知的限制吗？
答案1
以下是我所做工作的概要：
启动带有 Active Directory 域的 W2K3 R2 标准版 x86 SP2 VM。
在服务器虚拟机上创建了“Profiles”共享文件夹。以“所有人/完全控制”共享权限共享，并将 NTFS 设置为“管理员 - 完全控制”、“系统 - 完全控制”和“经过身份验证的用户 - 读取和执行 - 仅限此文件夹”。
在“配置文件”文件夹下创建“销售”子文件夹。
创建了一个名为“销售（本地）”的域本地组和一个名为“销售（全局）”的全局组。
创建了两个用户帐户 - “John” 和 “Mary”。保留其默认的“域用户”组成员身份，并将他们添加为“销售（全球）”组的成员。
以“john”身份登录 Windows XP Professional Service Pack 3 VM 并创建新的本地配置文件。将桌面颜色设置为红色（以便快速直观地显示配置文件的加载情况）并注销。
以域管理员帐户登录到 WinXP 计算机，并使用“我的电脑”属性中的“用户配置文件”功能将新创建的“john”用户配置文件复制到服务器计算机上的“配置文件”共享，并授予“销售（本地）”“允许使用”权限。
回到服务器计算机，我修改了“Profiles”文件夹的“Sales”子文件夹的安全性，以从父文件夹继承权限，并添加了“Sales (Local) - 读取和执行”。我将该权限重新应用于所有子文件夹。
我将“\Profiles\Sales”文件夹中的“NTUSER.DAT”文件重命名为“NTUSER.MAN”。
我修改了“John”和“Mary”用户帐户的属性，以在“\SERVER\Profiles\Sales”指定漫游用户配置文件。
我以“Mary”（之前从未登录过）的身份登录 Windows XP 计算机，并确认我收到了红色桌面背景。我修改了桌面背景颜色，注销，再次登录，并确认红色桌面颜色仍然存在（这意味着强制用户配置文件正在应用）。
我以“约翰”的身份登录并执行与“玛丽”相同的验证步骤。
通过在所有权限中指定“销售（本地）”，一切都按我预期的方式进行。我不知道该如何告诉您您所做的可能有什么不同。您认为我做了什么不同的事情？