Verwenden von Windows-Profilen mit Password Manager und Single Sign-On
Dieser Artikel enthält keine spezifischen Informationen zur Profilverwaltung. Er beschreibt, wie bestimmte Windows-Optionen konfiguriert werden, damit Citrix Single Sign-On optimal mit lokalen Profilen, servergespeicherten Profilen, obligatorischen Profilen oder Hybridprofilen funktioniert. Dieses Thema gilt für Citrix Single Sign-On 4.8 oder 5.0.
Lokale Profile
Lokale Profile werden auf dem lokalen Server gespeichert, an dem sich der Benutzer angemeldet hat. Password Manager und Single Sign-On speichern Registrierungsinformationen im HKEY_CURRENT_USER\SOFTWARE\Citrix\MetaFrame Password Manager Hive der Benutzerregistrierung unter:
%SystemDrive%\Dokumente und Einstellungen\%username%\NTUSER.DAT.
Dateien werden auch gespeichert unter:
%SystemDrive%\Dokumente und Einstellungen\%username%\Anwendungsdaten\Citrix\MetaFrame Password Manager.
Unter Windows 7 verwendet Single Sign-On:
%APPDATA%\Roaming\Citrix\MetaFrame Password Manager
Wichtig: Es ist entscheidend, dass Single Sign-On Vollzugriff auf die folgenden Dateien hat:
| Dateiname | Beschreibung |
|---|---|
| %username%.mmf | Datei mit Benutzeranmeldeinformationen und Zeigern auf aelist.ini. |
| entlist.ini | Anwendungsdefinitionsdatei, die auf Unternehmensebene im Synchronisationspunkt oder Active Directory erstellt wurde. |
| aelist.ini | Anwendungsdefinitionsdatei, die durch Zusammenführen der lokalen Anwendungsdefinitionsdatei des Benutzers (applist.ini) und der Anwendungsdefinitionen des Unternehmens (entlist.ini) erstellt wurde. |
Servergespeicherte Profile
Servergespeicherte Profile werden auf einer Netzwerkfreigabe gespeichert und bei jeder Benutzeranmeldung mit einer lokalen Serverkopie synchronisiert. Merkmale einer erfolgreichen Bereitstellung servergespeicherter Profile sind Hochgeschwindigkeits-Netzwerkkonnektivität wie ein SAN (System Area Network) oder NAS (Network Area Storage). Weitere gängige Bereitstellungen umfassen Clusterlösungen, bei denen die Profile auf Hochverfügbarkeitsservern gespeichert werden.
Zwei Probleme beeinflussen die Bereitstellung von servergespeicherten und obligatorischen Profilen:
- Ein einzelnes servergespeichertes Profil kann nur mit einem Dateisynchronisationspunkt verwendet werden. Wenn mehrere Synchronisationspunkte verwendet werden, können Daten in der Memory Mapped File (MMF) beschädigt werden.
- Wenn servergespeicherte Profile mit mehreren gleichzeitigen Sitzungen verwendet werden, teilen sie sich die Back-End-MMF. Alle aktiven Sitzungen teilen sich einige gemeinsame Sitzungsdaten wie Wiederholungs-Sperrzähler, Zähler für zuletzt verwendete Daten und Ereignisprotokolleinträge.
Obligatorische oder Hybridprofile
Obligatorische Profile sind per Definition schreibgeschützte Benutzerprofile. Single Sign-On benötigt Schreibberechtigungen für den Profilordner unter Anwendungsdaten. Bei obligatorischen Profilen kann ein Benutzer Änderungen vornehmen, diese werden jedoch beim Abmelden nicht im Profil gespeichert. Damit Single Sign-On mit obligatorischen Profilen korrekt funktioniert, muss der Ordner „Anwendungsdaten“ umgeleitet werden.
Die Registrierungsänderungen werden bei jeder Benutzeranmeldung geschrieben. Anmeldeinformationen werden mit dem Synchronisationspunkt synchronisiert, die Änderungen werden jedoch nicht im Profil gespeichert.
Ab Windows 2000 bietet Microsoft einen Mechanismus zur Umleitung des Ordners Anwendungsdaten. Die Verwendung von Windows NT4-Domänen erfordert jedoch Anmeldeskripte, die den Speicherort des Ordners Anwendungsdaten ändern können. Dies kann mit Tools wie Kix oder VBScript erreicht werden, um einen beschreibbaren Speicherort für den Ordner Anwendungsdaten zu definieren.
Das folgende Beispiel verwendet Kix, um den Ordner Anwendungsdaten während der Benutzeranmeldung umzuleiten:
Wichtig: Dieses Beispielskript dient nur zu Informationszwecken. Verwenden Sie es nicht in Ihrer Umgebung, bevor Sie es nicht getestet haben.
``` pre codeblock
$LogonServer = “%LOGONSERVER%” $HKCU = “HKEY_CURRENT_USER” $ShellFolders_Key = “$HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders” $UserShellFolders_Key = “$HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders” $UserProfFolder = “$LogonServer\profiles\@userID” $UserAppData = “$LogonServer\profiles\@userID\Application Data” $UserDesktop = “$LogonServer\profiles\@userID\Desktop” $UserFavorites = “$LogonServer\profiles\@userID\Favorites” $UserPersonal = “X:\My Documents” $UserRecent = “$LogonServer\profiles\@userID\Recent” if (exist(“$UserAppData”) = 0) shell ‘%ComSpec% /c md “$UserAppData”’ endif if (exist(“$UserDesktop”) = 0) shell ‘%ComSpec% /c md “$UserDesktop”’ endif if (exist(“$UserRecent”) = 0) shell ‘%ComSpec% /c md “$UserRecent”’ endif if (exist(“$UserFavorites”) = 0) shell ‘%ComSpec% /c md “$UserFavorites”’ endif ```
Das Hybridprofil ist eine weitere Lösung für das Problem mit obligatorischen Profilen. Wenn sich der Benutzer anmeldet, wird das obligatorische Profil geladen und eine benutzerdefinierte Anwendung lädt und entlädt Benutzerregistrierungsstrukturen basierend auf den dem Benutzer zur Verfügung stehenden Anwendungen. Wie bei obligatorischen Profilen kann der Benutzer diese Teile der Registrierung während einer Sitzung ändern. Der Unterschied zu obligatorischen Profilen besteht darin, dass Änderungen beim Abmelden des Benutzers gespeichert und beim erneuten Anmelden wieder geladen werden.
Wenn ein Hybridprofil verwendet wird, müssen die HKEY_CURRENT_USER\SOFTWARE\Citrix\MetaFrame Password Registrierungsschlüssel als Teil des An- und Abmeldevorgangs importiert und exportiert werden.
Ordnerumleitung
Die Ordnerumleitung wird mithilfe von Gruppenrichtlinienobjekten und Active Directory implementiert. Sie verwendet Gruppenrichtlinien, um einen Speicherort für Ordner zu definieren, die Teil des Benutzerprofils sind.
Vier Ordner können umgeleitet werden:
- Eigene Dokumente
- Anwendungsdaten
- Desktop
- Startmenü
Zwei Umleitungsmodi können mithilfe von Gruppenrichtlinien konfiguriert werden: einfache Umleitung und erweiterte Umleitung. Beide werden von Single Sign-On unterstützt. Unter Windows 2000 müssen Sie die Freigabe, die Anwendungsdaten speichert, mithilfe der %username% Variablen referenzieren (zum Beispiel \\servername\sharename\%username%).
Die Ordnerumleitung ist global für den Benutzer und betrifft alle seine Anwendungen. Alle Anwendungen, die den Ordner Anwendungsdaten verwenden, müssen dies unterstützen.
Lesen Sie die folgenden Microsoft-Artikel, um mehr über die Ordnerumleitung zu erfahren:
HOW TO: Dynamically Create Secure Redirected Folders By Using Folder Redirections
Folder Redirection Feature in Windows
Dem Administrator Zugriff auf umgeleitete Ordner ermöglichen(https://support.microsoft.com/?kbid=288991)
Bewährte Methoden
- Leiten Sie die Anwendungsdatenordner um, wo immer dies möglich ist. Dieser Ansatz verbessert die Netzwerkleistung, da das Kopieren der Daten in diesen Ordnern bei jeder Benutzeranmeldung entfällt.
- Bei der Fehlerbehebung des Password Manager Agent stellen Sie immer sicher, dass der angemeldete Benutzer Vollzugriffsberechtigungen auf seinen Anwendungsdatenordner hat.