Hồ sơ người dùng bắt buộc (mandatory user profile) là loại hồ sơ roaming đặc biệt được cấu hình trước chỉ có thể thay đổi bởi quản trị viên. User được gán hồ sơ bắt buộc có thể làm việc trong Windows như bình thường trong phiên đăng nhập, nhưng không thay đổi nào được lưu vào hồ sơ sau khi user đăng xuất. Tại lần đăng nhập tiếp theo, hồ sơ bắt buộc được tải nguyên vẹn.
Thư mục chứa hồ sơ bắt buộc có thể đặt trên thư mục chia sẻ mạng và gán cho nhiều user domain cùng lúc: ví dụ, cho user terminal server (RDS), kiosk thông tin, hoặc user không cần hồ sơ cá nhân (học sinh, sinh viên, khách). Quản trị viên có thể cấu hình chuyển hướng thư mục cho hồ sơ bắt buộc và user giữ file cá nhân trên file server (tất nhiên, khuyến khích bật quota ổ dùng NTFS hoặc FSRM) để ngăn user lưu file không quan trọng vào thư mục chuyển hướng).
Các loại hồ sơ người dùng bắt buộc trong Windows
Có hai loại hồ sơ người dùng bắt buộc trong Windows:
- Hồ sơ bắt buộc bình thường – quản trị viên đổi tên file NTuser.dat (chứa registry hive HKEY_CURRENT_USER của user) thành NTuser.man. Khi dùng Ntuser.man, hệ thống coi hồ sơ này chỉ đọc và không lưu bất kỳ thay đổi nào. Nếu hồ sơ bắt buộc lưu trên server từ xa và server không khả dụng, user có thể đăng nhập dùng bản cache của hồ sơ bắt buộc;
- Hồ sơ siêu bắt buộc (super-mandatory) – khi dùng loại này, thư mục chứa hồ sơ user được đổi tên, và thêm phần mở rộng .man vào cuối tên thư mục. User với loại hồ sơ này không thể đăng nhập nếu server lưu hồ sơ của họ không khả dụng.
Một số kịch bản cho phép dùng hồ sơ bắt buộc cho user cục bộ, ví dụ trên máy công cộng (kiosk, phòng họp, v.v.) thay vì dùng bộ lọc UWF. Bất kỳ user nào cũng làm việc trong cùng môi trường và không thay đổi được lưu khi user đăng xuất.
Bây giờ chúng ta sẽ chỉ cách tạo hồ sơ bắt buộc bình thường trong Windows 10 và gán cho user. Trong ví dụ này chúng ta xem cách tạo hồ sơ bắt buộc user trên máy cục bộ (hồ sơ lưu trên ổ cục bộ), tuy nhiên chúng ta sẽ giải thích cách gán hồ sơ bắt buộc roaming cho tài khoản domain.
Cách tạo hồ sơ người dùng bắt buộc trong Windows 10
- Đăng nhập máy dưới tài khoản admin và mở console Local Users and Groups (lusrmgr.msc);
- Tạo tài khoản mới, ví dụ ConfRoom;
- Bây giờ cần copy hồ sơ mặc định vào thư mục riêng với hậu tố nhất định. Vì dùng Windows 10 1703, thư mục này phải có hậu tố V6. Ví dụ, tên thư mục sẽ là C:\ConfRoom.V6;
- Mở System Properties (SystemPropertiesAdvanced.exe);
- Ở mục User Profiles, nhấn Settings;
- Chọn Default Profile và nhấn Copy To;
- Chọn C:\ConfRoom.V6 làm thư mục copy hồ sơ (hoặc copy template hồ sơ đến thư mục chia sẻ mạng trên file server bằng đường dẫn UNC, ví dụ \\lon-fs01\profiles\ConfRoom.V6).
- Chọn NT AUTHORITY\Authenticated Users trong phần quyền.
Mẹo. Trên Windows 10 1709 hoặc build mới hơn có tùy chọn riêng "Mandatory Profile" khi copy template hồ sơ. Khi dùng tùy chọn này, nhóm user được chọn tự động nhận quyền NTFS chỉ đọc trên thư mục.
Cách gán hồ sơ bắt buộc cho user
Bây giờ bạn có thể gán hồ sơ bắt buộc cho user muốn.
Nếu dùng hồ sơ bắt buộc cục bộ, vào tab Profile của Properties user và chỉ định đường dẫn đến thư mục C:\ConfRoom.v6 ở trường Profile Path.
Nếu cấu hình hồ sơ bắt buộc roaming trong domain AD, cần chỉ định đường dẫn UNC đến thư mục hồ sơ trong Properties tài khoản trong console ADUC.
Sau đó đăng nhập hệ thống với tài khoản user mới và thực hiện tất cả cài đặt cần thiết (chọn giao diện, đặt shortcut, file cần thiết, cấu hình phần mềm, v.v.).
Mẹo. Không thể dùng file XML cấu hình Start Layout và Taskbar cho hồ sơ roaming.
Kết thúc phiên user và đăng nhập dùng tài khoản admin. Sau đó đổi tên NTUSER.dat thành NTUSER.man trong thư mục hồ sơ user.
Bây giờ thử đăng nhập hệ thống với user có hồ sơ bắt buộc và đảm bảo sau khi đăng xuất không thay đổi nào được lưu trong hồ sơ.
Nếu sau đăng nhập với hồ sơ bắt buộc bạn nhận lỗi:
The User Profile Service service failed the sign-in. User profile cannot be loaded.
Và sự kiện sau xuất hiện trong system log:
Windows could not load your roaming profile and is attempting to log you on with your local profile. Changes to the profile will not be copied to the server when you log off. Windows could not load your profile because a server copy of the profile folder already exists that does not have the correct security. Either the current user or the Administrators group must be the owner of the folder.
Đảm bảo quyền sau được gán cho thư mục hồ sơ (với kế thừa quyền cho tất cả đối tượng con):
- ALL APPLICATION PACKAGES – Full Control (Start Menu không hoạt động đúng nếu thiếu);
- Authenticated Users – Read and Execute;
- SYSTEM – Full Control;
- Administrators – Full Control.
Cùng quyền phải gán cho registry hive user bằng cách load file ntuser.dat hồ sơ dùng File → Load Hive trong regedit.exe.
Khi dùng hồ sơ roaming, để Start menu hiển thị đúng trên mọi thiết bị, cần đặt khóa REG_DWORD tên SpecialRoamingOverrideAllowed giá trị 1 tại HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ registry.
Nếu cần thay đổi hồ sơ bắt buộc, đổi ntuser.man thành ntuser.dat và cấu hình môi trường dưới tài khoản user. Sau đó đổi tên file lại.
Khi dùng hồ sơ bắt buộc trên server RDS, bạn có thể dùng Group Policies sau, trong đó chỉ định đường dẫn thư mục hồ sơ và bật dùng hồ sơ bắt buộc. Mục GPO tương ứng: Computer Configuration → Policies → Administrative Templates → Windows Components → Remote Desktop Services → Remote Desktop Session Host → Profiles.
- Use mandatory profiles on the RD Session Host server = Enabled;
- Set path for Remote Desktop Services Roaming User Profile = Enabled + chỉ định đường dẫn UNC.
Lưu ý. Nếu quyết định dùng chuyển hướng thư mục cùng hồ sơ bắt buộc, không khuyến khích chuyển hướng thư mục AppData (Roaming).