Профили пользователей

1. Настройка профиля пользователя в терминальной среде Windows

Перемещаемые профили позволяют пользователям получить доступ к своему профилю независимо от того, к какому именно терминальному серверу или виртуальному рабочему месту он подключился. Профиль пользователя включает настройки программ, документы, ветви реестра и прочие настройки, файлы и параметры. При выходе из системы все измененные настройки профиля и документы синхронизируются с файловым сервером.

В этом документе описано, как настроить перемещаемые профили (roaming profiles) на компьютерах пользователей в домене Active Directory (AD) с помощью групповых политик (GPO) для группы доступа пользователей домена.

Для ускорения загрузки профиля пользователя помимо Перемещаемых профилей рекомендуется также настроить Перенаправление папок. Подробнее о настройке перенаправления папок можно прочесть на официальном сайте Microsoft.
Рекомендуется самостоятельно или при помощи сторонних специалистов спланировать архитектуру перемещаемых профилей, подходящую вашей организации. Ниже описан пример одного из вариантов настройки.

При использовании перемещаемых профилей на ТС/ВРМ под управлением Windows Server 2012 R2 сделайте следующее:
1. В разделе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ProfSvc\Parameters добавьте новый ключ UseProfilePathExtensionVersion со значением 1 с помощью команды:
  reg add "HKLM\SYSTEM\CurrentControlSet\Services\ProfSvc\Parameters" /v UseProfilePathExtensionVersion /d 1 /t REG_DWORD
2. Перезагрузите ТС/ВРМ.
Создайте в домене AD группу безопасности «RoamingProfilesGroup» и добавьте в нее пользователей и ТС/ВРМ, для и на которых будут использоваться Перемещаемые профили, с помощью консоли Active Directory Users and Computers (ADUC).
Создайте и опубликуйте на файловом сервере сетевую папку, в которой будут храниться перемещаемые профили с помощью проводника Windows:
1. На файловом сервере создайте новую папку и назовите ее, например «RoamingProfiles».
2. Предоставьте полный доступ (чтение/запись) для Authenticated users .
3. В свойствах папки перейдите на вкладку Безопасность (Security), нажмите Дополнительно (Advanced), затем нажмите Отключение наследования (Disable Inheritance).
4. В открывшемся окне выберите Преобразовать унаследованные разрешения в явные разрешения этого объекта (Convert inherited permissions into explicit permissions on the object).
5. В списке разрешений NTFS оставьте права:
  - СИСТЕМА (Полный доступ, Для этой папки, ее подпапок и файлов) (SYSTEM (Full control, This folder, subfolders and files))
  - Администраторы (Полный доступ, Для этой папки, ее подпапок и файлов) (Administrators (Full control, This folder, subfolders and files))
  - СОЗДАТЕЛЬ-ВЛАДЕЛЕЦ (Полный доступ, Только для подпапок и файлов) (CREATOR OWNER (Full control, Subfolders and files only))
  - RoamingProfilesGroup (Содержание папки/ чтение данных, Создание папок/ дозапись данных, Только для этой папки) (RoamingProfilesGroup (Folder contents/reading data, Creating folders/writing additional data, This folder))
Создайте в домене AD групповую политику, например «RoamingProfilesGPO».
Для групповой политики «RoamingProfilesGPO»:
1. Из фильтров безопасности «RoamingProfilesGPO» удалите Authenticated users и добавьте группу безопасности «RoamingProfilesGroup».
2. Перейдите на вкладку Делегирование (Delegation) и добавьте Authenticated users с разрешением на чтение (Read).

Откройте групповую политику «RoamingProfilesGPO» на редактирование, перейдите в Конфигурация компьютера Политики Административные шаблоны Система Профили пользователей (Computer Configuration Policies Administrative Templates System User Profiles), включите параметр Установить путь к перемещаемым профилям для всех пользователей, входящих в систему на данном компьютере (Set roaming profile path for all users logging onto this computer) и укажите в качестве его значения UNC-путь до сетевой папки с профилями пользователей, например \\fileserver.termit.local\RoamingProfiles\%username%.

Путь до папки \\fileserver.termit.local\RoamingProfiles\ используется в качестве примера. Необходимо заменить его на актуальный.

Привяжите групповую политику «RoamingProfilesGPO» к Organizational Unit, где располагаются ТС/ВРМ.
Включите связь (Link enabled).

2. Настройка профиля пользователя в терминальной среде Linux

В этом документе описано, как установить NFS-сервер, настроить папку профиля пользователя и ТС/ВРМ.

В настройке используются:

NFS-сервер на РЕД ОС 7.3.х;
терминальный сервер на РЕД ОС 7.3.4;
Active Directory на Windows Server 2019.

2.1. Установка NFS-сервера

Разверните сервер.

Введите сервер в домен с помощью команды:

join-to-domain.sh -d ‘имя домена’ -n ‘имя сервера’ -u ‘УЗ’ -p ‘Пароль’ –ou "CN=Computers" -f -y

Установите пакеты nfs-utils nfs4-acl-tools с помощью команды:
```
dnf install nfs-utils nfs4-acl-tools
```
Добавьте автостарт с помощью команды:
```
systemctl enable --now nfs-server.service
```
Проверьте запуск с помощью команды:
```
systemctl status nfs-server.service
```

После успешного запуска NFS-сервера его статус изменится на «active».

2.2. Настройка папки для профилей

Создайте папку с помощью команды:
```
mkdir -p /srv/nfs/home
```
Назначьте права доступа на папку с помощью команд:
```
chgrp 'Пользователи домена' /srv/nfs/home
chmod g+w /srv/nfs/home
```
Настройте доступ к папке с помощью команд:
```
echo "/srv/nfs/home *(rw,sync,no_subtree_check,no_root_squash)" | tee -a /etc/exports
exportfs -vra (работает при su -)
```
Вместо * необходимо прописать IP-адрес или подсеть IP-адресов, с которых будет разрешен доступ.

2.3. Настройка терминального сервера

Установите пакет autofs с помощью команды:
```
dnf install autofs
```
Добавьте автостарт с помощью команд:
```
sudo systemctl enable autofs
sudo systemctl restart autofs
```
Разрешите процессу mkdirhome права на запись с помощью команд:
```
ausearch -c 'mkhomedir' --raw | audit2allow -M my-mkhomedir
semodule -X 300 -i my-mkhomedir.pp
```
Добавьте разрешение для NFS и SELinux с помощью команды:
```
setsebool -P use_nfs_home_dirs on
```
Перезапустите систему с помощью команды:
```
sudo reboot
```

Далее войдите в систему под пользователем, для которого было настроено перенаправление папок и проверьте, что:

вход выполнен успешно;
нет ошибок;
папка создалась на удаленном сервере.