Хранение профилей на сервере

[Той Серью]

Как известно, профили пользователей можно держать на сервере, что позволяет пользователю переходить от машины к машине, не утрачивая результатов работы. Предположим, что у сервера летит жесткий. Никто из юзеров не может войти в учетную запись. Как поступают в таких случаях?
Возможны, конечно, два варианта (если это вообще важно)
а) сервер один (контроллер домена)
б) имеется второй сервер, куда реплицируется первый.
Пусть периодически куда-то в надежное место архивируется папка с профилями. Но ведь в профилях указан явный сетевой путь до сетевой расшаренной папки с указанием имени сервера, на котором она располагается, поэтому архив здесь оперативно, видимо, не поможет. Вначале нужно поднять другой комп с таким же именем (если это возможно), потом разархивировать на него эту папку.
Может, есть более штатные методы?

[Iska]

Предположим, что у сервера летит жесткий. Никто из юзеров не может войти в учетную запись. »
Вы описываете два разных события — невозможность регистрации пользователя в домене (на самом деле войти локально под доменной учётной записью — может, используя кэшированные данные на машине), и недоступность сетевого профиля пользователя (при этом выводится уведомление, и просто используется локальная копия профиля без предварительной синхронизации с сервером).

[aESThete]

Я так понял, что вопрос гипотетический:
Предположим, что у сервера летит жесткий. »
Даже этот случай не показателен. Достаточно, например, падения локальной сети. Сервер не виден, профиль недоступен.
Как правильно заметил войти локально под доменной учётной записью — может»
В моём случае, например, когда профиль из соображений безопасности перенесён на сервер с отключенной синхронизацией, пользователь нормально входил, но получал чистый рабочий стол и отсутствие документов.

[Telepuzik]

Пусть периодически куда-то в надежное место архивируется папка с профилями. Но ведь в профилях указан явный сетевой путь до сетевой расшаренной папки с указанием имени сервера, на котором она располагается, поэтому архив здесь оперативно, видимо, не поможет. »
Прежде чем настраивать перенаправление папок создаете в DNS запись CNAME указывающую на нужный Вам файловый сервер. При перенаправлении папок используете не имя сервера, а запись CNAME. При падении файлового сервера восстанавливаете архив на любой доступный сервер и правите запись на DNS сервере.

[paranoya]

Правильное использование перемещаемых профилей и перенаправляемых папок подразумевает использование DFS. Тогда неважно на каком сервере лежат профили, потому как путь к профилю будет унифицирован.
И отвечая на вопрос при выходе из строя жёсткого диска с профилями, то юзеры продолжат работать (авторизовываться на компьютерах), но их файлов у них не будет и система будет об этом предупреждать.
Для того чтобы файлы не пропадали, нужно использовать рейд, как минимум рейд 1 (зеркало). Тогда выход из строя одного жёсткого диска не повлечёт за собой потерю данных. Дополнительно к этому можно использовать бекап файлов и/или ещё один сервер настроенном на использование DFS. Тогда выход из строя первого сервера для юзеров будет не заметен и у них всё будет лежать на месте.

[Iska]

но их файлов у них не будет »
Только не в случае перемещаемых профилей.

[paranoya]

Только не в случае перемещаемых профилей. »
И при условии, что юзер уже входил на компьютер. Либо искать файлы на других компьютерах, где он уже работал. :)

[Iska]

И при условии, что юзер уже входил на компьютер. »
Естественно ;).

[El Scorpio]

Правильное использование перемещаемых профилей и перенаправляемых папок подразумевает использование DFS. Тогда неважно на каком сервере лежат профили, потому как путь к профилю будет унифицирован. »
Поддерживаю
Создаёте сетевой ресурс с адресом типа \\имя.домена\dfs\документы\профили и подключаете к нему сетевые папки файловых серверов.
При использовании более одной сетевой папки система предложит создать правило репликации для автоматической синхронизации всех изменений на другие сервера.
В случае отказа одного сервера достаточно устранить проблему и повторно подключить сетевую папку.


когда профиль из соображений безопасности перенесён на сервер с отключенной синхронизацией, пользователь нормально входил, но получал чистый рабочий стол и отсутствие документов. »
Обычно такая ситуация (вход в систему с пустым профилем) возникает, если возникла ошибка при синхронизации перемещаемого профиля (в профиле есть файл с неправильными правами доступа или просто слишком длинным именем). В этом случае система создаёт для сеанса пользователя временный профиль по адресу "%профили%\TEMP".
Для ошибки "контроллер домена не найден" как раз таки характерна ситуация продолжения работы со старым локальным профилем.

Сделайте отчёт групповой политики для такого пользователя. Возможно у вас установлен параметр "удалять перемещаемый профиль при выходе из системы"

[aESThete]

El Scorpio, не помню уже все тонкости настроек, дело было лет 5-6 назад. Сервер был под "Windows Server 2003". Безопасники потребовали, чтобы профили были не перемещаемые, а именно хранились на сервере. Перенаправил на сервер групповой политикой. Синхронизация отключена, т.е. работа напрямую с файлами на сервере. Трафик, конечно, дикий, и подтормаживало иногда, но, как говорится, "хозяин-барин".

[El Scorpio]

El Scorpio, не помню уже все тонкости настроек, дело было лет 5-6 назад. »
А что тут "помнить"?
Запускаете RSOP.MSC и всё видите, что, где и когда было прописано.

Безопасники потребовали, чтобы профили были не перемещаемые, а именно хранились на сервере. Перенаправил на сервер групповой политикой. Синхронизация отключена »
При таком подходе при отказе сети или сервера оператор действительно остаётся практически без профиля.

Если такие требования уже не актуальны, то простой отмены политики может оказаться мало.
Создайте новую политику и явно пропишите в ней использование путей по умолчанию.

[Той Серью]

Как я вычитал в учебнике, начиная с 2003 локальный (который в любом случае создается на локальном, обычно системном диске) и сетевой профили синхронизируются. При изменении на одном из профилей сделанные изменения дублируются на локальный и наоборот. Таким образом ускоряется работа с сетевыми профилями по сравнению с pre-2003 системами (ранее их администраторы не любили). И документы вроде бы не теряются для пользователя при отказавшей сети?

Цитата aESThete:
когда профиль из соображений безопасности перенесён на сервер с отключенной синхронизацией, пользователь нормально входил, но получал чистый рабочий стол и отсутствие документов. »

Обычно такая ситуация (вход в систему с пустым профилем) возникает, если возникла ошибка при синхронизации перемещаемого профиля (в профиле есть файл с неправильными правами доступа или просто слишком длинным именем). В этом случае система создаёт для сеанса пользователя временный профиль по адресу "%профили%\TEMP". »Не могу сказать, что у меня с синхронизацией - я думал, что синхронизация происходит автоматически по умолчанию, но ...

Вот я создал профиль пользователя Template, расположил его на расшаренном ресурсе. Настроил. Потом еще выполнил копирование этого преднастроенного профиля в папку друго пользователя Template1. При локальном входе на сервере (пришлось эту возможность включать) все настройки такие же, как у шаблона Template. Казалось бы, задача выполнена.
Однако при входе с рабочей станции Win7, присоединенной к домену, ничего от этих настроек нет и впомине. Обнаруживаю, что в расшаренной для профилей папке создается второй сетевой профиль Template.V2 и Template1.V2 соответственно. Вот чешу репу, нужно ли поднимать WinXP для опытов.

[Iska]

Как я вычитал в учебнике, начиная с 2003 локальный (который в любом случае создается в Docements and Settings на локальном, обычно системном диске) и сетевой профили синхронизируются. При изменении на одном из профилей сделанные изменения дублируются на локальный и наоборот. Таким образом ускоряется работа с сетевыми профилями по сравнению с pre-2003 системами (ранее их администраторы не любили). И документы вроде бы не теряются для пользователя при отказавшей сети? »
С появлением службы каталогов — Windows 2000 Server в качестве сервера и Windows 2000 Professional в качестве клиента, если мне не изменяет память. Да, документы не теряются.

[Той Серью]

Ну что, докладаю, видимо, никто такие вещи не замечал, хотя семерочные хосты же работают под управлением 2003-го сервера? Так вот, в семерке преднастроенный профиль с шары 2003 не отрабатывается, по крайней мере Рабочий стол, и вообще, семерке профиль, созданный для нее 2003-м сервером, не нравится, поэтому и создается параллельно сетевой профиль в папке %username%.V2
Но если зайти под юзером домена с сетевым профилем на рабочей станции ХР, то используется созданная изначально папка, рабочий стол получаем такой, каким мы его настроили в профиле на сервере.

Что еще интересно, поскольку соблюдая какие-то там этические нормы, Майкрософт не позволяет Администратору подсматривать за рабочим столом и документами пользователя, и его папка сетевого профиля недоступна для просмотра (доступ запрещен, можно только сменить владельца), но! локальный-то профиль просмотреть можно, а он синхронизируется с сетевым.
Что это, дыра? В чем смысл запрета чтения Администратору?

[Iska]

Что еще интересно, поскольку соблюдая какие-то там этические нормы, Майкрософт не позволяет Администратору подсматривать за рабочим столом и документами пользователя, и его папка сетевого профиля недоступна для просмотра (доступ запрещен, можно только сменить владельца), но! локальный-то профиль просмотреть можно, а он синхронизируется с сетевым.
Что это, дыра? В чем смысл запрета чтения Администратору? »
Пользовательские профили и их управление. Часть 2 (http://www.oszone.net/14008/userprofiles2):
Добавляет группу безопасности «Администраторы» к перемещаемым профилям пользователя.

Данный параметр групповой политики используется для добавления группы безопасности «Администраторы» в общий ресурс с перемещаемым профилей пользователя, а также для назначения полного доступа. После того как вы настроите перемещаемый пользовательский профиль, он будет создан при следующем входе пользователя в систему в указанном вами расположении. Если параметр отключен или не задан, то только пользователь получит полный доступ к своему профилю, а у группы администраторов не будет доступа к файлам, а если данный параметр включен, то группа администраторов также будет иметь все права доступа к папке профиля пользователя. Если вы включите данный параметр после создания профиля, то не будет влиять на созданный ранее профиль. …

[El Scorpio]

Ну что, докладаю, видимо, никто такие вещи не замечал, хотя семерочные хосты же работают под управлением 2003-го сервера? Так вот, в семерке преднастроенный профиль с шары 2003 не отрабатывается, по крайней мере Рабочий стол, и вообще, семерке профиль, созданный для нее 2003-м сервером, не нравится, поэтому и создается параллельно сетевой профиль в папке %username%.V2 »
Дело в том, что Windows Vista и последующие версии Windows используют другой формат пользовательского профиля (тот самый V2).
Посему в целях обеспечения совместимости с предыдущими версиями (2000, XP и 2003) Windows 7 для перемещаемого профиля создаёт и использует каталог с расширением .V2. То есть клиентские компьютеры Windows XP загружают профиль из каталога %Username%, а клиентские компьютеры Windows 7 загружают профиль из каталога %Username%.V2
При этом групповые политики могут применять перенаправление папок "Мои документы", "Рабочий стол" и "Application data" для обоих типов профилей, обеспечивая доступ к единому набору файлов для профилей всех версий.

[Опиум]

тут уже писали, что когда юзеры не брезгут на рабочем столе (читай в профиле) размещать огромные медиаданные, папки с фотками и фильмами... путь даже корпоративными...???

при перемещаемых профилях все это жутко тормозит.

я считаю что гибель локального диска у пользователя, это своего рода самоочистка: почта не теряется, корпоративные доки тоже в шарах на сервере похорошему.
т.е. по сути ничего важного как-правило не теряется.

[paranoya]

при перемещаемых профилях все это жутко тормозит. »
Ничего не тормозит, если использоваться связку перемещаемый профиль и перенаправление папок. При этом имея Win 2008 и выше можно использовать file screening и навсегда запретить юзерам хранить фотки и видео на рабочем столе.
Гибель диска = простой юзера = потеря денег фирмой. К тому-же юзер может хранить промежуточные данные у себя на диске, что только увеличивает сумму потерь.