主页 / server / 问题 / 704635
Accepted
Dric
Asked: 2015-07-10 06:17:30 +0800 CST

Windows 2012 R2 上的重定向文件夹权限

  • 772

我有一个 2012R2 文件服务器 ( server-docs) 和一个 2012R2 Citrix XenApp/RDS 服务器 ( server-rds)。用户必须是 的成员UsersRDS才能登录server-rds。

这是我的文档重定向 GPO 设置：

  • 基本：将每个人的文件夹重定向到同一位置
  • 在根路径下为每个用户创建一个文件夹
  • 根文件夹 ：\\server-docs\UserDocs
  • 专有权未经检查

我按照 MS 的这篇文章设置了根文件夹的权限：https ://technet.microsoft.com/en-us/library/cc737633%28v=WS.10%29.aspx

  • 所有者：完全控制，仅子文件夹和文件
  • UsersRDS：列出文件夹/读取数据，创建文件夹/附加数据 - 仅此文件夹
  • 管理员：完全控制
  • 系统：完全控制，此文件夹，子文件夹和文件

当我使用 登录时server-rds，TestUser会发生文件夹重定向并获得一个文件夹\\server-docs\UserDocs\TestUser\Documents。

TestUser它的子文件夹Documents具有相同的权限：

  • 所有者：完全控制，仅子文件夹和文件
  • UsersRDS：列出文件夹/读取数据，创建文件夹/附加数据 - 仅此文件夹
  • 管理员：完全控制
  • 系统：完全控制，此文件夹，子文件夹和文件
  • TestUser：完全控制，仅此文件夹

我有另一个 2003 文件服务器和一个 2003 RDS 服务器，具有相同的根文件夹权限我在用户文档文件夹中只有这个：

  • 管理员：完全控制
  • TestUser： 完全控制

如果我签Grant the user exclusive Rights on Document folder入 GPO，继续运行gpupdate /force，登录server-rds时server-rds无法进行文件夹重定向，我得到事件 id 1085：Windows failed to apply folder redirection settings.

如何禁用用户文档的继承以获得相同的权限（如我的 2003 服务器）？

windows-server-2012-r2

1 个回答

  1. Best Answer

    由于奇怪的 ACL 似乎是设计使然，如果需要，我必须在用户使用 Powershell 脚本登录期间检查并更改它们：

    Function Repair-UserFullControlACL {
Param(
    [Parameter(Mandatory=$true)]
    [ValidateScript({Test-Path $_ -PathType "Container"})]
    [string]$Folder
)

# We also add System account and local administrators (Replace these french account names if needed)
$OtherAccounts = @("AUTORITE NT\Système", "BUILTIN\Administrateurs", "CREATEUR PROPRIETAIRE")

# `FullControl` for the user
$ACLUser = New-Object System.Security.Principal.NTAccount($FullUserName)
$Rule = New-Object System.Security.AccessControl.FileSystemAccessRule($ACLUser, "FullControl", "ContainerInherit, ObjectInherit", "None", "Allow")

# We need the actual folder ACL
$Acl = Get-ACL $Folder

# Checking if everything already OK...
$RuleOK = $False
ForEach ($ACLRule in $Acl.Access){
    If (-not(Compare-Object ($Rule | Format-List * | Out-String -Stream) ($ACLRule | Format-List * | Out-String -Stream))){
        $RuleOK = $True
        break
    }
}
# Adding fullControl if needed
If (-not($RuleOK)){
    Try{
        $Acl.AddAccessRule($Rule)

        ForEach ($Account in $OtherAccounts){
            $ACLAccount = New-Object System.Security.Principal.NTAccount($Account)
            $Rule = New-Object System.Security.AccessControl.FileSystemAccessRule($ACLAccount, "FullControl", "ContainerInherit, ObjectInherit", "None", "Allow")
            $Acl.AddAccessRule($Rule)
        }
        # Saving ACL
        Set-ACL $Folder $Acl -ErrorAction Stop
    }catch{
        Write-Warning "Erreur : Impossible d'accorder le droit 'FullControl' à l'utilisateur sur $Folder : $($_.Exception.Message)"  
    }
}}

    例子 ：

    Repair-UserFullControlACL "\\server\shared\userHomeDir"
    • 0

相关问题