Перемещаемый профиль+word+реестр

[TumanI]

Ситуация такая.
Локальная сеть: Сервак win2003, локальные машины winXP. У пользователей на локальных машинах профиль грузится с сервака.
До недавнего времени все было нормально. Решил переставить виндовз на локалках. Установил другую "версию"(?сборку?).
Теперь профиль все нормально грузится, ТОЛЬКО word при каждом его запуске "собирает информацию о компьютере" и т.п. т.е. каждый раз сам себя настраивает.
Насколько понимаю, word просто не может прописать себя в реестре, у данных пользователей почему то не хватает на это прав. Проверял regmonом, действительно "в доступе процессу winword.exe отказано"
Если захожу под админом на эти машины, все нормально. Если даю пользователям права админов сети, то тоже все нормально. Но когда у них есть права только обычных пользователей сети, то такая фигня.
Как понимаю, в этой винде где то поумолчанию стоит запрет на доступ обычных пользователей в реестр. (может и ошибаюсь).
Что можно сделать, посоветуйте пожалуйста!

[TumanI]

Люди вы где? Что никто не знает что можно сделать?

[vadium]

1. Создаем учетку в AD добавляем в группу
2. Добавляем эту группу в группу локальных аминов, т.е. даем учетке через её группу (это важно) права админа
3. Заходим под учеткой, прописываем все параметры, настройки программ и прочую лабуду.
4. Перезагружаемся, т.к. учетка хранит в себе некоторые открытей файлы системой
5. Создаем шару на серваке, можно толко для группы, можно скрыть $, кому как нужно, но главное, с полным доступом на данную группу, и безопасность с наследием от родителей
6. gpedit.msc на серваке, ставим:

Computer Configuration /Система/Профили пользователей
Policy
Setting
Добавлять группу администраторов для перемещаемых профилей пользователя
Enabled
Не проверять собственность пользователя перемещаемого профиля
Enabled
Запретить распространение изменений в перемещаемом профиле на сервер
Disabled
Дождаться загрузки перемещаемого пользовательского профиля
Enabled
Оставить установочные данные установщика Windows и групповой политики
Enabled
Удалять кэшированные копии перемещаемых профилей
Enabled

Тут все по вкусу каждого, но если не поставить первых 2 пункта, то в профиль пользователя сетевой админ не зайдет, и профиль не загрузится под другим юзером, т.к. он не является собственником файлов, если собственника менять вручную, то такая же ошибка теперь будет и у исходной учетки.


User Configuration/Система/Профили пользователей
Policy
Setting
Исключить папки из перемещаемого профиля
Enabled
Не включать эти папки в перемещаемый профиль:
My Documents;Desktop;Рабочий стол;Мои документы;



Тут ставим на случай если у вас рабочий стол и доки переобазначены для группы на общую шару (хотя раньше я настраивал общий профиль также и без это опции)

1. заходим под сетевым админом, и копируем учетку на шару (мой комп — свойства — дополнительно — параметры пофилей пользователя), при копировании (важно) задаем разрешение «Разрешить использование (Permitted To Use)» и прописываем там нашу группу.
2. заходим в AD и юзеру с которго копировали профиль добавляем путь на шару профиля
3. теперь заходим под пользователем, при этом происходит синхронизация локальной учетки и сетевой, все зависит от групповой политики (удаление локальных учеток и прочие настройки), теперь на шаре появятся еще 3 файла с настройками учетки, которые ранее не с копировались. Перезагружаемся, чтобы отвязать открытые файлы системой из этой учетки.
4. Заходим еще раз, это уже больше для проверки. Смотрим (лучше по сети) была ли папка профиля в Documents and Settings до входа и исчезла ли после выходе (зависит от группой политики). Ну и как водится презагружаемся.
5. Заходим под сетевым админом и выключаем из админов нашу группу, прописываем ее в «продвинутые пользователи (Power user)»
6. заходим в AD прописываем другому юзеру в профиле путь на шару.
7. Заходим по этим другим юзером и проверяем грузится ли профиль.

[vadium]

Ну и не забываем о смене расширения ntuser.dat в ntuser.man, если хоти получить обязательный неизменяемый пользователями профиль.

[TumanI]

vadium, спасибо

[vadium]

пж ;) прикольно - сам наткнулся через поисковик на эту статью.
Может кто знает как эти параметры напрямую в реестре прописать, а не через групповую политику?