Verwenden von Windows-Profilen mit Password Manager und Single Sign-On
Dieser Artikel enthält keine spezifischen Informationen zur Profilverwaltung. Er beschreibt, wie bestimmte Windows-Optionen konfiguriert werden, damit Citrix Single Sign-on optimal mit lokalen Profilen, servergespeicherten Profilen, obligatorischen Profilen oder Hybridprofilen funktioniert. Dieses Thema gilt für Citrix Single Sign-on 4.8 oder 5.0.
Lokale Profile
Lokale Profile werden auf dem lokalen Server gespeichert, an dem sich der Benutzer angemeldet hat. Password Manager und Single Sign-on speichern Registrierungsinformationen im HKEY_CURRENT_USER\SOFTWARE\Citrix\MetaFrame Password Manager-Hive der Benutzerregistrierung unter:
%SystemDrive%\Dokumente und Einstellungen\%username%\NTUSER.DAT.
Dateien werden auch gespeichert unter:
%SystemDrive%\Dokumente und Einstellungen\%username%\Anwendungsdaten\Citrix\MetaFrame Password Manager.
Unter Windows 7 verwendet Single Sign-on:
%APPDATA%\Roaming\Citrix\MetaFrame Password Manager
Wichtig: Es ist entscheidend, dass Single Sign-on Vollzugriff auf die folgenden Dateien hat:
| Dateiname | Beschreibung |
|---|---|
| %username%.mmf | Datei mit den Anmeldeinformationen des Benutzers mit Verweisen auf aelist.ini. |
| entlist.ini | Anwendungsdefinitionsdatei, die auf Unternehmensebene im Synchronisationspunkt oder Active Directory erstellt wurde. |
| aelist.ini | Anwendungsdefinitionsdatei, die durch Zusammenführen der lokalen Anwendungsdefinitionsdatei des Benutzers (applist.ini) und der Unternehmensanwendungsdefinitionen (entlist.ini) erstellt wurde. |
Roaming-Profile
Roaming-Profile werden auf einer Netzwerkfreigabe gespeichert und bei jeder Anmeldung des Benutzers mit einer lokalen Serverkopie synchronisiert. Merkmale einer erfolgreichen Roaming-Profil-Bereitstellung sind eine Hochgeschwindigkeits-Netzwerkkonnektivität wie ein SAN (System Area Network) oder NAS (Network Area Storage). Andere gängige Bereitstellungen umfassen Clustering-Lösungen, bei denen die Profile auf Hochverfügbarkeitsservern gespeichert werden.
Zwei Probleme beeinflussen Roaming- und obligatorische Profilbereitstellungen:
- Ein einzelnes Roaming-Profil kann nur mit einem Dateisynchronisationspunkt verwendet werden. Wenn mehrere Synchronisationspunkte verwendet werden, können Daten in der Memory Mapped File (MMF) beschädigt werden.
- Wenn Roaming-Profile mit mehreren gleichzeitigen Sitzungen verwendet werden, teilen sie sich das Back-End-MMF. Alle aktiven Sitzungen teilen sich einige gemeinsame Sitzungsdaten wie Wiederholungs-Sperrzähler, zuletzt verwendete Datenzähler und Ereignisprotokolleinträge.
Obligatorische oder Hybridprofile
Obligatorische Profile sind per Definition schreibgeschützte Benutzerprofile. Single Sign-On benötigt Schreibberechtigungen für den Profilordner unter Anwendungsdaten. Bei obligatorischen Profilen kann ein Benutzer Änderungen vornehmen, diese werden jedoch beim Abmelden nicht im Profil gespeichert. Damit Single Sign-On mit obligatorischen Profilen korrekt funktioniert, muss der Ordner „Anwendungsdaten“ umgeleitet werden.
Die Registrierungsänderungen werden bei jeder Anmeldung des Benutzers geschrieben. Anmeldeinformationen werden mit dem Synchronisationspunkt synchronisiert, die Änderungen werden jedoch nicht im Profil gespeichert.
Ab Windows 2000 bietet Microsoft einen Mechanismus zur Umleitung des Ordners Anwendungsdaten. Die Verwendung von Windows NT4-Domänen erfordert jedoch Anmeldeskripte, die den Speicherort des Ordners Anwendungsdaten ändern können. Dies kann mit Tools wie Kix oder VBScript erreicht werden, um einen beschreibbaren Speicherort für den Ordner Anwendungsdaten zu definieren.
Das folgende Beispiel verwendet Kix, um den Ordner Anwendungsdaten während der Benutzeranmeldung umzuleiten:
Wichtig: Dieses Beispielskript dient nur zu Informationszwecken. Verwenden Sie es nicht in Ihrer Umgebung, bevor Sie es nicht zuerst getestet haben.
``` pre codeblock
$LogonServer = “%LOGONSERVER%” $HKCU = “HKEY_CURRENT_USER” $ShellFolders_Key = “$HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders” $UserShellFolders_Key = “$HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders” $UserProfFolder = “$LogonServer\profiles\@userID” $UserAppData = “$LogonServer\profiles\@userID\Application Data” $UserDesktop = “$LogonServer\profiles\@userID\Desktop” $UserFavorites = “$LogonServer\profiles\@userID\Favorites” $UserPersonal = “X:\My Documents” $UserRecent = “$LogonServer\profiles\@userID\Recent” if (exist(“$UserAppData”) = 0) shell ‘%ComSpec% /c md “$UserAppData”’ endif if (exist(“$UserDesktop”) = 0) shell ‘%ComSpec% /c md “$UserDesktop”’ endif if (exist(“$UserRecent”) = 0) shell ‘%ComSpec% /c md “$UserRecent”’ endif if (exist(“$UserFavorites”) = 0) shell ‘%ComSpec% /c md “$UserFavorites”’ endif ```
Das Hybridprofil ist eine weitere Lösung für das Problem mit obligatorischen Profilen. Wenn sich der Benutzer anmeldet, wird das obligatorische Profil geladen, und eine benutzerdefinierte Anwendung lädt und entlädt Benutzerregistrierungsstrukturen basierend auf den dem Benutzer zur Verfügung stehenden Anwendungen. Wie bei obligatorischen Profilen kann der Benutzer diese Teile der Registrierung während einer Sitzung ändern. Der Unterschied zu obligatorischen Profilen besteht darin, dass Änderungen beim Abmelden des Benutzers gespeichert und beim erneuten Anmelden wieder geladen werden.
Wenn ein hybrides Profil verwendet wird, müssen die HKEY_CURRENT_USER\SOFTWARE\Citrix\MetaFrame Password Registrierungsschlüssel als Teil des An- und Abmeldevorgangs importiert und exportiert werden.
Ordnerumleitung
Die Ordnerumleitung wird mithilfe von Gruppenrichtlinienobjekten und Active Directory implementiert. Sie verwendet Gruppenrichtlinien, um einen Speicherort für Ordner zu definieren, die Teil des Benutzerprofils sind.
Vier Ordner können umgeleitet werden:
- Eigene Dokumente
- Anwendungsdaten
- Desktop
- Startmenü
Zwei Umleitungsmodi können mithilfe von Gruppenrichtlinien konfiguriert werden: einfache Umleitung und erweiterte Umleitung. Beide werden von Single Sign-On unterstützt. Unter Windows 2000 müssen Sie die Freigabe, die Anwendungsdaten speichert, mithilfe der %username% Variable referenzieren (zum Beispiel \\servername\sharename\%username%).
Die Ordnerumleitung ist global für den Benutzer und betrifft alle seine Anwendungen. Alle Anwendungen, die den Ordner Anwendungsdaten verwenden, müssen dies unterstützen.
Lesen Sie die folgenden Microsoft-Artikel, um mehr über die Ordnerumleitung zu erfahren:
VORGEHENSWEISE: Dynamisches Erstellen sicherer umgeleiteter Ordner mithilfe von Ordnerumleitungen
Ordnerumleitungsfunktion in Windows
Ermöglichen des Zugriffs des Administrators auf umgeleitete Ordner
Bewährte Methoden
- Leiten Sie die Anwendungsdatenordner, wo möglich, um. Dieser Ansatz verbessert die Netzwerkleistung, indem er die Notwendigkeit eliminiert, die Daten in diesen Ordnern bei jeder Benutzeranmeldung zu kopieren.
- Bei der Fehlerbehebung des Password Manager Agent sollten Sie immer überprüfen, ob der angemeldete Benutzer Vollzugriffsberechtigungen auf seinem Anwendungsdatenordner besitzt.