Basisordner (Home Folder) in Windows 8 über GPOs einrichten

In der Vergangenheit mussten Administratoren ein Script bemühen oder die User-Einstellungen in Active Directory-Benutzer und Computer bearbeiten, um den Pfad für das Home-Verzeichnis zu setzen bzw. zu ändern. In Windows 8 und Server 2012 lässt sich diese Einstellung nun über Gruppenrichtlinien steuern.

Das Konzept der Heimatverzeichnisse ist wahrlich nicht neu und dient dazu, den Benutzern einen eigenen Bereich für ihre persönlichen Daten zur Verfügung zu stellen. Im professionellen Umfeld bevorzugt dafür man in der Regel eine zentrale Ablage auf einem Server, um Dokumente besser verwalten und einfacher sichern zu können.

GUI-Tools für das Management vieler User unpraktisch

Bei einer größeren Zahl von Benutzern ist die Konfiguration der Home-Verzeichnisse über die GUI umständlich, auch wenn man in Active Directory-Benutzer und -Computer mehrere User markieren und ihnen mit Hilfe von Umgebungsvariablen einen Basisordner zuteilen kann. Daher übernehmen meistens Login-Scripts diese Aufgabe. Sie erfordern aber Entwicklungs- sowie Pflegeaufwand und können den Anmeldevorgang verzögern, wenn sie zu komplex werden.

Daher ist es ein Fortschritt, wenn sich in Windows 8 und Server 2012 das Home-Verzeichnis wie viele andere Einstellungen über Gruppenrichtlinien festlegen lässt. Die dafür zuständige Policy befindet sich unter Computerkonfiguration => Richtlinien => Administrative Vorlagen => System => Benutzerprofile und heißt Basisordner für Benutzer festlegen.

Richtlinie nur für Computer, nicht für Benutzer

Wie der Pfad schon zeigt, handelt es sich um eine Einstellung für Computer und nicht für User. Wenn man ein GPO mit dieser Policy auf die PCs einer OU anwendet, dann erfolgt die Zuordnung des Heimatverzeichnisses für alle Benutzer, die sich auf einem solchen Rechner anmelden, also auch für Administratoren.

Einstellungen für Basisordner konfigurieren

Aktiviert man diese Richtlinie, dann sind im GPO-Editor zwar nur drei Einstellungen anzupassen, aber ihre Konfiguration wirkt konfus und die Auswirkungen sind nicht auf Anhieb klar. So kann man zum Beispiel das Home-Verzeichnis wahlweise auf einem lokalen oder einem Netzlaufwerk platzieren, aber in beiden Fällen bleibt das Drive-Mapping aktiv, auch wenn es sich auf den lokalen PC nicht auswirkt.

Die häufigste Variante wird darin bestehen, dass man unter Ort den Wert Im Netzwerk wählt, anschließend einen UNC-Pfad zu einer Netzfreigabe einfügt und sich schließlich für einen Laufwerksbuchstaben entscheidet, der dem Basisordner zugeordnet wird. Möchte man auf dieses Mapping verzichten, dann entscheidet man sich bei Ort für die Einstellung Am lokalen Computer und gibt unter Pfad aber eine Netzfreigabe in UNC-Notation an.

Erstellen der benutzerspezifischen Verzeichnisse

Egal ob man einen Speicherort im Netz oder auf dem lokalen PC einträgt, der Pfad zeigt immer auf das Wurzelverzeichnis der Home Folders. Der benutzerspezifische Ordner wird durch die Anwendung des GPO automatisch erzeugt. Deshalb soll und darf man unter Pfad keine Variablen wie %username% oder Wildcards verwenden.

Das Anlegen der individuellen Home-Verzeichnisse unterhalb des angegebenen Ordners setzt voraus, dass dort die korrekten Zugriffsrechte gesetzt wurden. Diese müssen zum einen ausreichen, um Home Folder zu erzeugen und dem User die nötigen Privilegien zu gewähren, zum anderen sollen Benutzer normalerweise nicht in fremden Basisordnen herumschnüffeln dürfen.

Rechtevergabe für Home-Root

Um dieses Ziel zu erreichen, sollte man der Anleitung in diesem Support-Dokument folgend die Vererbung von Rechten in die Unterverzeichnisse deaktivieren und die speziellen Berechtigungen für Authentifizierte Benutzer auf das Home-Wurzelverzeichnis beschränken. Standard-User benötigen hier keine Rechte für Schreiben und Ändern. Der folgende Screenshot zeigt, wie die Erweiterten Sicherheitseinstellungen für das Root-Verzeichnis der Basisordner aussehen.

Auch wenn die Benutzer nur vollen Zugriff auf ihre eigenen Home-Verzeichnisse haben, so können sie abhängig von der Rechtevergabe im Home-Root unter Umständen alle Ordner der anderen User sehen. Wenn man das aus Gründen der Übersichtlichkeit nicht möchte, dann kann man mit Hilfe von Access Based Enumeration alle Verzeichnisse ausblenden, in denen der aktuelle Benutzer keine Rechte hat.

Kombination mit Ordnerumleitung

Das Einrichten eines Home Folders auf einem Netzlaufwerk sorgt bekanntlich noch nicht dafür, dass die Benutzerdaten automatisch an zentraler Stelle gespeichert werden. Dafür bedarf es zusätzlich einer Ordnerumleitung für ausgewählte Verzeichnisse. Die dafür zuständigen Richtlinien sehen aber explizit die Möglichkeit vor, den Basisordner als Ziel zu wählen.