Verwenden von Windows-Profilen mit Password Manager und Single Sign-On
Dieser Artikel enthält keine spezifischen Informationen zur Profilverwaltung. Er beschreibt, wie bestimmte Windows-Optionen konfiguriert werden, damit Citrix Single Sign-On optimal mit lokalen Profilen, servergespeicherten Profilen, obligatorischen Profilen oder Hybridprofilen funktioniert. Dieses Thema gilt für Citrix Single Sign-On 4.8 oder 5.0.
Lokale Profile
Lokale Profile werden auf dem lokalen Server gespeichert, an dem sich der Benutzer angemeldet hat. Password Manager und Single Sign-On speichern Registrierungsinformationen im
HKEY_CURRENT_USER\SOFTWARE\Citrix\MetaFrame Password Manager Hive der Benutzerregistrierung unter:
%SystemDrive%\Documents und Settings\%username%\NTUSER.DAT.
Dateien werden auch gespeichert unter:
%SystemDrive%\Documents and Settings\%username%\Application Data\Citrix\MetaFrame Password Manager.
Unter Windows 7 verwendet Single Sign-On:
%APPDATA%\Roaming\Citrix\MetaFrame Password Manager
Wichtig: Es ist entscheidend, dass Single Sign-On Vollzugriff auf die folgenden Dateien hat:
| Dateiname | Beschreibung |
|---|---|
| %username%.mmf | Datei mit den Anmeldeinformationen des Benutzers mit Verweisen auf aelist.ini. |
| entlist.ini | Anwendungsdefinitionsdatei, die auf Unternehmensebene am Synchronisationspunkt oder im Active Directory erstellt wurde. |
| aelist.ini | Anwendungsdefinitionsdatei, die durch Zusammenführen der lokalen Anwendungsdefinitionsdatei des Benutzers (applist.ini) und der Unternehmensanwendungsdefinitionen (entlist.ini) erstellt wurde. |
Roaming-Profile
Roaming-Profile werden auf einer Netzwerkfreigabe gespeichert und bei jeder Benutzeranmeldung mit einer lokalen Serverkopie synchronisiert. Merkmale einer erfolgreichen Bereitstellung von Roaming-Profilen sind eine schnelle Netzwerkverbindung wie ein SAN (System Area Network) oder NAS (Network Area Storage). Weitere gängige Bereitstellungen umfassen Clustering-Lösungen, bei denen die Profile auf Hochverfügbarkeitsservern gespeichert werden.
Zwei Probleme beeinflussen die Bereitstellung von Roaming- und obligatorischen Profilen:
-
Ein einzelnes Roaming-Profil kann nur mit einem Dateisynchronisationspunkt verwendet werden. Wenn mehrere Synchronisationspunkte verwendet werden, können Daten in der Memory Mapped File (MMF) beschädigt werden.
-
Wenn Roaming-Profile mit mehreren gleichzeitigen Sitzungen verwendet werden, teilen sie sich die Back-End-MMF. Alle aktiven Sitzungen teilen sich einige gemeinsame Sitzungsdaten wie Wiederholungs-Sperrzähler, Zähler für zuletzt verwendete Daten und Ereignisprotokolleinträge.
Obligatorische oder hybride Profile
Obligatorische Profile sind per Definition schreibgeschützte Benutzerprofile. Single Sign-On benötigt Schreibberechtigungen für den Profilordner unter Anwendungsdaten. Bei obligatorischen Profilen kann ein Benutzer Änderungen vornehmen, diese werden jedoch beim Abmelden nicht im Profil gespeichert. Damit Single Sign-On mit obligatorischen Profilen korrekt funktioniert, muss der Ordner für Anwendungsdaten umgeleitet werden.
Die Registrierungsänderungen werden bei jeder Benutzeranmeldung geschrieben. Anmeldeinformationen werden mit dem Synchronisationspunkt synchronisiert, aber die Änderungen werden nicht im Profil gespeichert.
Ab Windows 2000 bietet Microsoft einen Mechanismus zur Umleitung des Ordners Anwendungsdaten. Die Verwendung von Windows NT4-Domänen erfordert jedoch Anmeldeskripte, die den Speicherort des Ordners Anwendungsdaten ändern können. Dies kann mit Tools wie
Kix oder VBScript erreicht werden, um einen beschreibbaren Speicherort für den Ordner Anwendungsdaten zu definieren.
Das folgende Beispiel verwendet
Kix, um den Ordner Anwendungsdaten während der Benutzeranmeldung umzuleiten:
Wichtig: Dieses Beispielskript dient nur zu Informationszwecken. Verwenden Sie es nicht in Ihrer Umgebung, bevor Sie es nicht zuerst getestet haben.
$LogonServer = "%LOGONSERVER%"
$HKCU = "HKEY_CURRENT_USER"
$ShellFolders_Key =
"$HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell
Folders"
$UserShellFolders_Key =
"$HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User
Shell Folders"
$UserProfFolder =
"$LogonServer\profiles\@userID"
$UserAppData =
"$LogonServer\profiles\@userID\Application Data"
$UserDesktop =
"$LogonServer\profiles\@userID\Desktop"
$UserFavorites =
"$LogonServer\profiles\@userID\Favorites"
$UserPersonal = "X:\My Documents"
$UserRecent =
"$LogonServer\profiles\@userID\Recent"
if (exist("$UserAppData") = 0)
shell '%ComSpec% /c md "$UserAppData"'
endif
if (exist("$UserDesktop") = 0)
shell '%ComSpec% /c md "$UserDesktop"'
endif
if (exist("$UserRecent") = 0)
shell '%ComSpec% /c md "$UserRecent"'
endif
if (exist("$UserFavorites") = 0)
shell '%ComSpec% /c md "$UserFavorites"'
endif
Das hybride Profil ist eine weitere Lösung für das Problem mit obligatorischen Profilen. Wenn sich der Benutzer anmeldet, wird das obligatorische Profil geladen, und eine benutzerdefinierte Anwendung lädt und entlädt Benutzerregistrierungs-Hives basierend auf den dem Benutzer zur Verfügung stehenden Anwendungen. Wie bei obligatorischen Profilen kann der Benutzer diese Teile der Registrierung während einer Sitzung ändern. Der Unterschied zu obligatorischen Profilen besteht darin, dass Änderungen beim Abmelden des Benutzers gespeichert und beim erneuten Anmelden wieder geladen werden.
Wenn ein hybrides Profil verwendet wird, müssen die
HKEY_CURRENT_USER\SOFTWARE\Citrix\MetaFrame Password Registrierungsschlüssel als Teil des An- und Abmeldevorgangs importiert und exportiert werden.
Ordnerumleitung
Die Ordnerumleitung wird mithilfe von Gruppenrichtlinienobjekten und Active Directory implementiert. Dabei werden Gruppenrichtlinien verwendet, um einen Speicherort für Ordner zu definieren, die Teil des Benutzerprofils sind.
Vier Ordner können umgeleitet werden:
-
Eigene Dokumente
-
Anwendungsdaten
-
Desktop
-
Startmenü
Zwei Umleitungsmodi können mithilfe von Gruppenrichtlinien konfiguriert werden: einfache Umleitung und erweiterte Umleitung. Beide werden von Single Sign-On unterstützt. Unter Windows 2000 müssen Sie die Freigabe, die Anwendungsdaten speichert, mithilfe der Variablen
%username% referenzieren (zum Beispiel \\servername\sharename\%username%).
Die Ordnerumleitung ist global für den Benutzer und betrifft alle seine Anwendungen. Alle Anwendungen, die den Ordner Anwendungsdaten verwenden, müssen dies unterstützen.
Lesen Sie die folgenden Microsoft-Artikel, um mehr über Ordnerumleitung zu erfahren:
Best Practices
-
Leiten Sie die Ordner für Anwendungsdaten nach Möglichkeit um. Dieser Ansatz verbessert die Netzwerkleistung, da das Kopieren der Daten in diesen Ordnern bei jeder Benutzeranmeldung entfällt.
-
Überprüfen Sie bei der Fehlerbehebung für den Password Manager Agent immer, ob der angemeldete Benutzer Vollzugriffsberechtigungen für seinen Anwendungsdatenordner hat.