Настройка перенаправления папок пользователя с помощью групповой политики

Перенаправление папок позволяет хранить некоторые папки профиля пользователя (специальные папки, такие как «Рабочий стол», «Документы», «Изображения», «Загрузки» и т. д.) в общей сетевой папке на файловом сервере. Перенаправленные папки работают аналогично подключенным сетевым дискам (пользователи получают доступ к файлам своего профиля через сеть на файловом сервере). В этой статье мы рассмотрим, как использовать групповую политику для включения перенаправления папок на компьютерах пользователей в домене Active Directory.

Преимущества использования перенаправленных папок:

• Вы можете настроить централизованное резервное копирование пользовательских данных на своем файловом сервере (вместо включения резервного копирования на каждой рабочей станции);

• Когда пользователь входит в систему на любом компьютере, он получает доступ к файлам своего личного профиля;

• Вы можете управлять разрешенным содержимым в разных файлах (используя роль FSRM в Windows Server) или ограничивать размер профиля пользователя с помощью дисковых квот NTFS;

• Вы можете использовать перенаправленные папки как для рабочих станций, так и для терминальных серверов (ферма Remote Desktop Services/RDS);

• Вы можете использовать перенаправление папок в RDS вместе с перемещаемыми профилями (дисками профилей пользователей или контейнерами профилей FSLogix). Это может снизить нагрузку на сеть и ускорить загрузку профилей, поскольку вам не придется копировать данные из перенаправленных папок на хост RDS при входе в систему и обратно при выходе из системы.

Вы можете настроить перенаправленные папки в среде Active Directory в два этапа:

1. Создайте общую сетевую папку на файловом сервере и предоставьте разрешения;

2. Настройте параметры перенаправления папок с помощью групповой политики.

Создайте группу пользователей домена, для которой вы хотите включить перенаправление папок. Вы можете создать новую группу AD и добавить в нее пользователей с помощью PowerShell или оснастки ADUC mmc:

New-ADGroup munFolderRedirection -path 'OU=Groups,OU=Munich,dc=active-directory,DC=com' -GroupScope Global -PassThru -Verbose
Add-AdGroupMember -Identity munFolderRedirection -Members user1,user2,user3

Создайте общую папку для хранения перенаправленных папок пользователя на вашем файловом сервере.

Для хранения пользовательских папок рекомендуется использовать отдельный диск (кроме системного диска C:). Создайте сетевую папку и поделитесь ею с помощью проводника Windows или с помощью командлета PowerShell New-SmbShare:

New-SmbShare -Name RedirFolder -Path D:\RedirFolder -description "Target location for user's redirected folders"

Затем вам необходимо настроить правильные разрешения NTFS для папки, чтобы каждый пользователь мог получить доступ только к своим файлам.

Откройте свойства папки и перейдите на вкладку Безопасность. Нажмите «Дополнительно», затем нажмите Отключить наследование. При появлении предупреждения выберите Преобразовать унаследованные разрешения в явные разрешения для объекта.

Удалите пользователей/прошедших проверку пользователей из списка разрешений NTFS и оставьте следующие разрешения:

• Администраторы (Полный доступ, Эта папка, подпапки и файлы)

• СИСТЕМА (Полный доступ, Эта папка, подпапки и файлы)

• СОЗДАТЕЛЬ-ВЛАДЕЛЕЦ (Полный доступ, только подпапки и файлы)

Теперь добавьте группу безопасности munFolderRedirection и предоставьте следующие разрешения для корневой папки (применяется только к -> Эта папка):

• Обход папки/Выполнение файла

• Список папок/Чтение данных

• Чтение атрибутов

• Чтение расширенных атрибутов

• Создать папку/Добавить данные

• Разрешения на чтение

Предоставьте разрешения «Полный доступ» для

Authenticated Users

группу в свойствах сетевого ресурса (Общий доступ -> Расширенный общий доступ -> Разрешения).

При такой конфигурации пользователям разрешено создавать папки в корне каталога, а доступ к содержимому подпапок имеют только владельцы.

Затем вы можете создать групповую политику перенаправления папок для пользователей. Откройте домен Консоль управления групповой политикой (

gpmc.msc

), создайте новый объект групповой политики и свяжите его с организационным подразделением (OU) с целевыми учетными записями пользователей.

Чтобы применить политику только к определенным пользователям, удалите группу Прошедшие проверку из Фильтрации безопасности и добавьте munFolderRedirection и Компьютеры домена. вместо этого сильные> группы.

Отредактируйте новый объект групповой политики и разверните Конфигурация пользователя -> Политики -> Настройки Windows -> Перенаправление папок.

Вот варианты перенаправления разных папок профиля пользователя. В этом примере я настрою перенаправление только для папки Документы (аналогично вы можете включить перенаправление для других папок профиля).

AppData (roaming)

Откройте свойства папки Документы и настройте следующие параметры перенаправления папок:

• Настройки: - Базовые, перенаправить все папки в одно и то же место.

• Расположение целевой папки: создайте папку для каждого пользователя в корневом пути.

• Корневой путь:

  \\mun-fs1\RedirFolder

  (укажите UNC-путь к ранее созданной общей папке)

На вкладке «Настройки» есть несколько опций:

• Предоставить пользователю исключительные права на документы - можно отключить, поскольку мы заранее уже настроили правильные разрешения NTFS;

• Переместить содержимое документов в новое место - следует ли переместить существующие файлы в документах пользователя в перенаправленную папку на файловом сервере;

• Перенаправить папку обратно в местоположение локального профиля пользователя при удалении политики - этот параметр включает автономный доступ к данным (с использованием автономных файлов в Windows) и определяет поведение при отключении объекта групповой политики.

  

Добавьте свой файловый сервер и/или домен в доверенную локальную интрасеть, используя параметр Список назначения зон в разделе Конфигурация компьютера -> Административные шаблоны. -> Компоненты Windows -> Internet Explorer -> Панель управления Интернетом -> Страница безопасности.

В настройках политики укажите список доверенных серверов в следующем формате:

• Имя сервера или домена (в формате:

  file://hostname

  ,

  \\hostame

  или его IP-адрес)

• Номер зоны (

  1

  - для локальной интрасети)

Если вы не настроите этот параметр, запуск ярлыков и исполняемых файлов из перенаправленного каталога может привести к появлению предупреждений системы безопасности Windows.

Выйдите из системы и войдите на компьютер пользователя (это приведет к обновлению настроек групповой политики на устройстве).

Затем откройте свойства папки «Документы» и убедитесь, что UNC-путь к вашей общей папке на файловом сервере отображается как Местоположение.

Вы можете создавать файлы и папки в папке «Документы», и они будут доступны пользователю на любом компьютере вашего домена.