Verwenden von Windows-Profilen mit Password Manager und Single Sign-On
Dieser Artikel enthält keine spezifischen Informationen zu Profile Management. Er beschreibt, wie bestimmte Windows-Optionen konfiguriert werden, damit Citrix Single Sign-On optimal mit lokalen Profilen, servergespeicherten Profilen, obligatorischen Profilen oder Hybridprofilen funktioniert. Dieses Thema gilt für Citrix Single Sign-On 4.8 oder 5.0.
Lokale Profile
Lokale Profile werden auf dem lokalen Server gespeichert, auf dem sich der Benutzer angemeldet hat. Password Manager und Single Sign-On speichern Registrierungsinformationen in der HKEY_CURRENT_USER\SOFTWARE\Citrix\MetaFrame Password Manager-Struktur der Benutzerregistrierung unter:
%SystemDrive%\Dokumente und Einstellungen\%username%\NTUSER.DAT.
Dateien werden auch gespeichert unter:
%SystemDrive%\Dokumente und Einstellungen\%username%\Anwendungsdaten\Citrix\MetaFrame Password Manager.
Unter Windows 7 verwendet Single Sign-On:
%APPDATA%\Roaming\Citrix\MetaFrame Password Manager
Wichtig: Es ist entscheidend, dass Single Sign-On Vollzugriff auf die folgenden Dateien hat:
| Dateiname | Beschreibung |
|---|---|
| %username%.mmf | Datei mit Benutzeranmeldeinformationen mit Verweisen auf aelist.ini. |
| entlist.ini | Anwendungsdefinitionsdatei, die auf Unternehmensebene am Synchronisationspunkt oder im Active Directory erstellt wurde. |
| aelist.ini | Anwendungsdefinitionsdatei, die durch Zusammenführen der lokalen Anwendungsdefinitionsdatei des Benutzers (applist.ini) und der Unternehmensanwendungsdefinitionen (entlist.ini) erstellt wurde. |
Roaming-Profile
Roaming-Profile werden auf einer Netzwerkfreigabe gespeichert und bei jeder Anmeldung des Benutzers mit einer lokalen Serverkopie synchronisiert. Zu den Merkmalen einer erfolgreichen Roaming-Profil-Bereitstellung gehört eine Hochgeschwindigkeits-Netzwerkkonnektivität wie ein SAN (System Area Network) oder NAS (Network Area Storage). Andere gängige Bereitstellungen umfassen Clustering-Lösungen, bei denen die Profile auf Hochverfügbarkeitsservern gespeichert werden.
Zwei Probleme beeinflussen die Bereitstellung von Roaming- und obligatorischen Profilen:
- Ein einzelnes Roaming-Profil kann nur mit einem Dateisynchronisationspunkt verwendet werden. Wenn mehrere Synchronisationspunkte verwendet werden, können Daten in der Memory Mapped File (MMF) beschädigt werden.
- Wenn Roaming-Profile mit mehreren gleichzeitigen Sitzungen verwendet werden, teilen sie sich das Back-End-MMF. Alle aktiven Sitzungen teilen sich einige gemeinsame Sitzungsdaten wie Wiederholungs-Sperrzähler, zuletzt verwendete Datenzähler und Ereignisprotokolleinträge.
Obligatorische oder Hybridprofile
Obligatorische Profile sind per Definition schreibgeschützte Benutzerprofile. Single Sign-On benötigt Schreibberechtigungen für den Profilordner unter Anwendungsdaten. Bei obligatorischen Profilen kann ein Benutzer Änderungen vornehmen, diese werden jedoch beim Abmelden nicht im Profil gespeichert. Damit Single Sign-On mit obligatorischen Profilen korrekt funktioniert, muss der Ordner „Anwendungsdaten“ umgeleitet werden.
Die Registrierungsänderungen werden bei jeder Anmeldung des Benutzers geschrieben. Anmeldeinformationen werden mit dem Synchronisationspunkt synchronisiert, die Änderungen werden jedoch nicht im Profil gespeichert.
Ab Windows 2000 bietet Microsoft einen Mechanismus zur Umleitung des Ordners Anwendungsdaten. Die Verwendung von Windows NT4-Domänen erfordert jedoch Anmeldeskripte, die den Speicherort des Ordners Anwendungsdaten ändern können. Dies kann mit Tools wie Kix oder VBScript erreicht werden, um einen beschreibbaren Speicherort für den Ordner Anwendungsdaten zu definieren.
Das folgende Beispiel verwendet Kix, um den Ordner Anwendungsdaten während der Benutzeranmeldung umzuleiten:
Wichtig: Dieses Beispielskript dient nur zu Informationszwecken. Verwenden Sie es nicht in Ihrer Umgebung, bevor Sie es nicht getestet haben.
``` pre codeblock
$LogonServer = “%LOGONSERVER%” $HKCU = “HKEY_CURRENT_USER” $ShellFolders_Key = “$HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders” $UserShellFolders_Key = “$HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders” $UserProfFolder = “$LogonServer\profiles\@userID” $UserAppData = “$LogonServer\profiles\@userID\Application Data” $UserDesktop = “$LogonServer\profiles\@userID\Desktop” $UserFavorites = “$LogonServer\profiles\@userID\Favorites” $UserPersonal = “X:\My Documents” $UserRecent = “$LogonServer\profiles\@userID\Recent” if (exist(“$UserAppData”) = 0) shell ‘%ComSpec% /c md “$UserAppData”’ endif if (exist(“$UserDesktop”) = 0) shell ‘%ComSpec% /c md “$UserDesktop”’ endif if (exist(“$UserRecent”) = 0) shell ‘%ComSpec% /c md “$UserRecent”’ endif if (exist(“$UserFavorites”) = 0) shell ‘%ComSpec% /c md “$UserFavorites”’ endif ```
Das Hybridprofil ist eine weitere Lösung für das Problem mit obligatorischen Profilen. Wenn sich der Benutzer anmeldet, wird das obligatorische Profil geladen, und eine benutzerdefinierte Anwendung lädt und entlädt Benutzerregistrierungsstrukturen basierend auf den dem Benutzer zur Verfügung stehenden Anwendungen. Wie bei obligatorischen Profilen kann der Benutzer diese Teile der Registrierung während einer Sitzung ändern. Der Unterschied zu obligatorischen Profilen besteht darin, dass Änderungen beim Abmelden des Benutzers gespeichert und beim erneuten Anmelden wieder geladen werden.
Wenn ein hybrides Profil verwendet wird, müssen die HKEY_CURRENT_USER\SOFTWARE\Citrix\MetaFrame Password Registrierungsschlüssel als Teil des An- und Abmeldevorgangs importiert und exportiert werden.
Ordnerumleitung
Die Ordnerumleitung wird mithilfe von Gruppenrichtlinienobjekten und Active Directory implementiert. Sie verwendet Gruppenrichtlinien, um einen Speicherort für Ordner zu definieren, die Teil des Benutzerprofils sind.
Vier Ordner können umgeleitet werden:
- Eigene Dokumente
- Anwendungsdaten
- Desktop
- Startmenü
Zwei Umleitungsmodi können mithilfe von Gruppenrichtlinien konfiguriert werden: einfache Umleitung und erweiterte Umleitung. Beide werden von Single Sign-On unterstützt. Unter Windows 2000 müssen Sie die Freigabe, die Anwendungsdaten speichert, mithilfe der %username% Variablen referenzieren (zum Beispiel \\servername\sharename\%username%).
Die Ordnerumleitung ist global für den Benutzer und betrifft alle seine Anwendungen. Alle Anwendungen, die den Ordner Anwendungsdaten verwenden, müssen dies unterstützen.
Lesen Sie die folgenden Microsoft-Artikel, um mehr über die Ordnerumleitung zu erfahren:
Vorgehensweise: Dynamisches Erstellen sicherer umgeleiteter Ordner mithilfe von Ordnerumleitungen
Ordnerumleitungsfunktion in Windows
Ermöglichen des Zugriffs des Administrators auf umgeleitete Ordner
Best Practices
- Leiten Sie die Ordner für Anwendungsdaten um, wo immer dies möglich ist. Dieser Ansatz verbessert die Netzwerkleistung, da das Kopieren der Daten in diesen Ordnern bei jeder Benutzeranmeldung entfällt.
- Bei der Fehlerbehebung des Password Manager Agent stellen Sie immer sicher, dass der angemeldete Benutzer über die Berechtigung „Vollzugriff“ für seinen Ordner „Anwendungsdaten“ verfügt.