docs/htmldocs/groupprofiles.html

   1 <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
   2 <HTML
   3 ><HEAD
   4 ><TITLE
   5 >Creating Group Prolicy Files</TITLE
   6 ><META
   7 NAME="GENERATOR"
   8 CONTENT="Modular DocBook HTML Stylesheet Version 1.7"><LINK
   9 REL="HOME"
  10 TITLE="SAMBA Project Documentation"
  11 HREF="samba-howto-collection.html"><LINK
  12 REL="UP"
  13 TITLE="Optional configuration"
  14 HREF="optional.html"><LINK
  15 REL="PREVIOUS"
  16 TITLE="Samba performance issues"
  17 HREF="speed.html"><LINK
  18 REL="NEXT"
  19 TITLE="Securing Samba"
  20 HREF="securing-samba.html"></HEAD
  21 ><BODY
  22 CLASS="CHAPTER"
  23 BGCOLOR="#FFFFFF"
  24 TEXT="#000000"
  25 LINK="#0000FF"
  26 VLINK="#840084"
  27 ALINK="#0000FF"
  28 ><DIV
  29 CLASS="NAVHEADER"
  30 ><TABLE
  31 SUMMARY="Header navigation table"
  32 WIDTH="100%"
  33 BORDER="0"
  34 CELLPADDING="0"
  35 CELLSPACING="0"
  36 ><TR
  37 ><TH
  38 COLSPAN="3"
  39 ALIGN="center"
  40 >SAMBA Project Documentation</TH
  41 ></TR
  42 ><TR
  43 ><TD
  44 WIDTH="10%"
  45 ALIGN="left"
  46 VALIGN="bottom"
  47 ><A
  48 HREF="speed.html"
  49 ACCESSKEY="P"
  50 >Prev</A
  51 ></TD
  52 ><TD
  53 WIDTH="80%"
  54 ALIGN="center"
  55 VALIGN="bottom"
  56 ></TD
  57 ><TD
  58 WIDTH="10%"
  59 ALIGN="right"
  60 VALIGN="bottom"
  61 ><A
  62 HREF="securing-samba.html"
  63 ACCESSKEY="N"
  64 >Next</A
  65 ></TD
  66 ></TR
  67 ></TABLE
  68 ><HR
  69 ALIGN="LEFT"
  70 WIDTH="100%"></DIV
  71 ><DIV
  72 CLASS="CHAPTER"
  73 ><H1
  74 ><A
  75 NAME="GROUPPROFILES"
  76 ></A
  77 >Chapter 21. Creating Group Prolicy Files</H1
  78 ><DIV
  79 CLASS="SECT1"
  80 ><H1
  81 CLASS="SECT1"
  82 ><A
  83 NAME="AEN3410"
  84 >21.1. Windows '9x</A
  85 ></H1
  86 ><P
  87 >You need the Win98 Group Policy Editor to
  88 set Group Profiles up under Windows '9x. It can be found on the Original
  89 full product Win98 installation CD under
  90 <TT
  91 CLASS="FILENAME"
  92 >tools/reskit/netadmin/poledit</TT
  93 >.  You install this
  94 using the Add/Remove Programs facility and then click on the 'Have Disk'
  95 tab.</P
  96 ><P
  97 >Use the Group Policy Editor to create a policy file that specifies the
  98 location of user profiles and/or the <TT
  99 CLASS="FILENAME"
 100 >My Documents</TT
 101 > etc.
 102 stuff. You then save these settings in a file called
 103 <TT
 104 CLASS="FILENAME"
 105 >Config.POL</TT
 106 > that needs to be placed in
 107 the root of the [NETLOGON] share. If your Win98 is configured to log onto
 108 the Samba Domain, it will automatically read this file and update the
 109 Win9x/Me registry of the machine that is logging on.</P
 110 ><P
 111 >All of this is covered in the Win98 Resource Kit documentation.</P
 112 ><P
 113 >If you do not do it this way, then every so often Win9x/Me will check the
 114 integrity of the registry and will restore it's settings from the back-up
 115 copy of the registry it stores on each Win9x/Me machine. Hence, you will
 116 occasionally notice things changing back to the original settings.</P
 117 ><P
 118 >The following all refers to Windows NT/200x profile migration - not to policies.
 119 We need a separate section on policies (NTConfig.Pol) for NT4/200x.</P
 120 ></DIV
 121 ><DIV
 122 CLASS="SECT1"
 123 ><H1
 124 CLASS="SECT1"
 125 ><A
 126 NAME="AEN3420"
 127 >21.2. Windows NT 4</A
 128 ></H1
 129 ><P
 130 >Unfortunately, the Resource Kit info is Win NT4 or 200x specific.</P
 131 ><P
 132 >Here is a quick guide:</P
 133 ><P
 134 ></P
 135 ><UL
 136 ><LI
 137 ><P
 138 >On your NT4 Domain Controller, right click on 'My Computer', then
 139 select the tab labelled 'User Profiles'.</P
 140 ></LI
 141 ><LI
 142 ><P
 143 >Select a user profile you want to migrate and click on it.</P
 144 ><DIV
 145 CLASS="NOTE"
 146 ><P
 147 ></P
 148 ><TABLE
 149 CLASS="NOTE"
 150 WIDTH="90%"
 151 BORDER="0"
 152 ><TR
 153 ><TD
 154 WIDTH="25"
 155 ALIGN="CENTER"
 156 VALIGN="TOP"
 157 ><IMG
 158 SRC="/usr/share/sgml/docbook/stylesheet/dsssl/modular/images/note.gif"
 159 HSPACE="5"
 160 ALT="Note"></TD
 161 ><TD
 162 ALIGN="LEFT"
 163 VALIGN="TOP"
 164 ><P
 165 >I am using the term "migrate" lossely. You can copy a profile to
 166 create a group profile. You can give the user 'Everyone' rights to the
 167 profile you copy this to. That is what you need to do, since your samba
 168 domain is not a member of a trust relationship with your NT4 PDC.</P
 169 ></TD
 170 ></TR
 171 ></TABLE
 172 ></DIV
 173 ></LI
 174 ><LI
 175 ><P
 176 >Click the 'Copy To' button.</P
 177 ></LI
 178 ><LI
 179 ><P
 180 >In the box labelled 'Copy Profile to' add your new path, eg:
 181 <TT
 182 CLASS="FILENAME"
 183 >c:\temp\foobar</TT
 184 ></P
 185 ></LI
 186 ><LI
 187 ><P
 188 >Click on the button labelled 'Change' in the "Permitted to use" box.</P
 189 ></LI
 190 ><LI
 191 ><P
 192 >Click on the group 'Everyone' and then click OK. This closes the
 193 'chose user' box.</P
 194 ></LI
 195 ><LI
 196 ><P
 197 >Now click OK.</P
 198 ></LI
 199 ></UL
 200 ><P
 201 >Follow the above for every profile you need to migrate.</P
 202 ><DIV
 203 CLASS="SECT2"
 204 ><H2
 205 CLASS="SECT2"
 206 ><A
 207 NAME="AEN3443"
 208 >21.2.1. Side bar Notes</A
 209 ></H2
 210 ><P
 211 >You should obtain the SID of your NT4 domain. You can use smbpasswd to do
 212 this. Read the man page.</P
 213 ><P
 214 >With Samba-3.0.0 alpha code you can import all you NT4 domain accounts
 215 using the net samsync method. This way you can retain your profile
 216 settings as well as all your users.</P
 217 ></DIV
 218 ><DIV
 219 CLASS="SECT2"
 220 ><H2
 221 CLASS="SECT2"
 222 ><A
 223 NAME="AEN3447"
 224 >21.2.2. Mandatory profiles</A
 225 ></H2
 226 ><P
 227 >The above method can be used to create mandatory profiles also. To convert
 228 a group profile into a mandatory profile simply locate the NTUser.DAT file
 229 in the copied profile and rename it to NTUser.MAN.</P
 230 ></DIV
 231 ><DIV
 232 CLASS="SECT2"
 233 ><H2
 234 CLASS="SECT2"
 235 ><A
 236 NAME="AEN3450"
 237 >21.2.3. moveuser.exe</A
 238 ></H2
 239 ><P
 240 >The W2K professional resource kit has moveuser.exe. moveuser.exe changes
 241 the security of a profile from one user to another.  This allows the account
 242 domain to change, and/or the user name to change.</P
 243 ></DIV
 244 ><DIV
 245 CLASS="SECT2"
 246 ><H2
 247 CLASS="SECT2"
 248 ><A
 249 NAME="AEN3453"
 250 >21.2.4. Get SID</A
 251 ></H2
 252 ><P
 253 >You can identify the SID by using GetSID.exe from the Windows NT Server 4.0
 254 Resource Kit.</P
 255 ><P
 256 >Windows NT 4.0 stores the local profile information in the registry under
 257 the following key:
 258 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList</P
 259 ><P
 260 >Under the ProfileList key, there will be subkeys named with the SIDs of the
 261 users who have logged on to this computer. (To find the profile information
 262 for the user whose locally cached profile you want to move, find the SID for
 263 the user with the GetSID.exe utility.) Inside of the appropriate user's
 264 subkey, you will see a string value named ProfileImagePath.</P
 265 ></DIV
 266 ></DIV
 267 ><DIV
 268 CLASS="SECT1"
 269 ><H1
 270 CLASS="SECT1"
 271 ><A
 272 NAME="AEN3458"
 273 >21.3. Windows 2000/XP</A
 274 ></H1
 275 ><P
 276 >You must first convert the profile from a local profile to a domain
 277 profile on the MS Windows workstation as follows:</P
 278 ><P
 279 ></P
 280 ><UL
 281 ><LI
 282 ><P
 283 >Log on as the LOCAL workstation administrator.</P
 284 ></LI
 285 ><LI
 286 ><P
 287 >Right click on the 'My Computer' Icon, select 'Properties'</P
 288 ></LI
 289 ><LI
 290 ><P
 291 >Click on the 'User Profiles' tab</P
 292 ></LI
 293 ><LI
 294 ><P
 295 >Select the profile you wish to convert (click on it once)</P
 296 ></LI
 297 ><LI
 298 ><P
 299 >Click on the button 'Copy To'</P
 300 ></LI
 301 ><LI
 302 ><P
 303 >In the "Permitted to use" box, click on the 'Change' button.</P
 304 ></LI
 305 ><LI
 306 ><P
 307 >Click on the 'Look in" area that lists the machine name, when you click
 308 here it will open up a selection box. Click on the domain to which the
 309 profile must be accessible.</P
 310 ><DIV
 311 CLASS="NOTE"
 312 ><P
 313 ></P
 314 ><TABLE
 315 CLASS="NOTE"
 316 WIDTH="90%"
 317 BORDER="0"
 318 ><TR
 319 ><TD
 320 WIDTH="25"
 321 ALIGN="CENTER"
 322 VALIGN="TOP"
 323 ><IMG
 324 SRC="/usr/share/sgml/docbook/stylesheet/dsssl/modular/images/note.gif"
 325 HSPACE="5"
 326 ALT="Note"></TD
 327 ><TD
 328 ALIGN="LEFT"
 329 VALIGN="TOP"
 330 ><P
 331 >You will need to log on if a logon box opens up. Eg: In the connect
 332 as: MIDEARTH\root, password: mypassword.</P
 333 ></TD
 334 ></TR
 335 ></TABLE
 336 ></DIV
 337 ></LI
 338 ><LI
 339 ><P
 340 >To make the profile capable of being used by anyone select 'Everyone'</P
 341 ></LI
 342 ><LI
 343 ><P
 344 >Click OK. The Selection box will close.</P
 345 ></LI
 346 ><LI
 347 ><P
 348 >Now click on the 'Ok' button to create the profile in the path you
 349 nominated.</P
 350 ></LI
 351 ></UL
 352 ><P
 353 >Done. You now have a profile that can be editted using the samba-3.0.0
 354 profiles tool.</P
 355 ><DIV
 356 CLASS="NOTE"
 357 ><P
 358 ></P
 359 ><TABLE
 360 CLASS="NOTE"
 361 WIDTH="100%"
 362 BORDER="0"
 363 ><TR
 364 ><TD
 365 WIDTH="25"
 366 ALIGN="CENTER"
 367 VALIGN="TOP"
 368 ><IMG
 369 SRC="/usr/share/sgml/docbook/stylesheet/dsssl/modular/images/note.gif"
 370 HSPACE="5"
 371 ALT="Note"></TD
 372 ><TD
 373 ALIGN="LEFT"
 374 VALIGN="TOP"
 375 ><P
 376 >Under NT/2K the use of mandotory profiles forces the use of MS Exchange
 377 storage of mail data. That keeps desktop profiles usable.</P
 378 ></TD
 379 ></TR
 380 ></TABLE
 381 ></DIV
 382 ><DIV
 383 CLASS="NOTE"
 384 ><P
 385 ></P
 386 ><TABLE
 387 CLASS="NOTE"
 388 WIDTH="100%"
 389 BORDER="0"
 390 ><TR
 391 ><TD
 392 WIDTH="25"
 393 ALIGN="CENTER"
 394 VALIGN="TOP"
 395 ><IMG
 396 SRC="/usr/share/sgml/docbook/stylesheet/dsssl/modular/images/note.gif"
 397 HSPACE="5"
 398 ALT="Note"></TD
 399 ><TD
 400 ALIGN="LEFT"
 401 VALIGN="TOP"
 402 ><P
 403 ></P
 404 ><UL
 405 ><LI
 406 ><P
 407 >This is a security check new to Windows XP (or maybe only
 408 Windows XP service pack 1).  It can be disabled via a group policy in
 409 Active Directory.  The policy is:</P
 410 ><P
 411 >"Computer Configuration\Administrative Templates\System\User
 412 Profiles\Do not check for user ownership of Roaming Profile Folders"</P
 413 ><P
 414 >...and it should be set to "Enabled".
 415 Does the new version of samba have an Active Directory analogue?  If so,
 416 then you may be able to set the policy through this.</P
 417 ><P
 418 >If you cannot set group policies in samba, then you may be able to set
 419 the policy locally on each machine.  If you want to try this, then do
 420 the following (N.B. I don't know for sure that this will work in the
 421 same way as a domain group policy):</P
 422 ></LI
 423 ><LI
 424 ><P
 425 >On the XP workstation log in with an Administrator account.</P
 426 ></LI
 427 ><LI
 428 ><P
 429 >Click: "Start", "Run"</P
 430 ></LI
 431 ><LI
 432 ><P
 433 >Type: "mmc"</P
 434 ></LI
 435 ><LI
 436 ><P
 437 >Click: "OK"</P
 438 ></LI
 439 ><LI
 440 ><P
 441 >A Microsoft Management Console should appear.</P
 442 ></LI
 443 ><LI
 444 ><P
 445 >Click: File, "Add/Remove Snap-in...", "Add"</P
 446 ></LI
 447 ><LI
 448 ><P
 449 >Double-Click: "Group Policy"</P
 450 ></LI
 451 ><LI
 452 ><P
 453 >Click: "Finish", "Close"</P
 454 ></LI
 455 ><LI
 456 ><P
 457 >Click: "OK"</P
 458 ></LI
 459 ><LI
 460 ><P
 461 >In the "Console Root" window:</P
 462 ></LI
 463 ><LI
 464 ><P
 465 >Expand: "Local Computer Policy", "Computer Configuration",</P
 466 ></LI
 467 ><LI
 468 ><P
 469 >"Administrative Templates", "System", "User Profiles"</P
 470 ></LI
 471 ><LI
 472 ><P
 473 >Double-Click: "Do not check for user ownership of Roaming Profile</P
 474 ></LI
 475 ><LI
 476 ><P
 477 >Folders"</P
 478 ></LI
 479 ><LI
 480 ><P
 481 >Select: "Enabled"</P
 482 ></LI
 483 ><LI
 484 ><P
 485 >Click: OK"</P
 486 ></LI
 487 ><LI
 488 ><P
 489 >Close the whole console.  You do not need to save the settings (this
 490 refers to the console settings rather than the policies you have
 491 changed).</P
 492 ></LI
 493 ><LI
 494 ><P
 495 >Reboot</P
 496 ></LI
 497 ></UL
 498 ></TD
 499 ></TR
 500 ></TABLE
 501 ></DIV
 502 ></DIV
 503 ></DIV
 504 ><DIV
 505 CLASS="NAVFOOTER"
 506 ><HR
 507 ALIGN="LEFT"
 508 WIDTH="100%"><TABLE
 509 SUMMARY="Footer navigation table"
 510 WIDTH="100%"
 511 BORDER="0"
 512 CELLPADDING="0"
 513 CELLSPACING="0"
 514 ><TR
 515 ><TD
 516 WIDTH="33%"
 517 ALIGN="left"
 518 VALIGN="top"
 519 ><A
 520 HREF="speed.html"
 521 ACCESSKEY="P"
 522 >Prev</A
 523 ></TD
 524 ><TD
 525 WIDTH="34%"
 526 ALIGN="center"
 527 VALIGN="top"
 528 ><A
 529 HREF="samba-howto-collection.html"
 530 ACCESSKEY="H"
 531 >Home</A
 532 ></TD
 533 ><TD
 534 WIDTH="33%"
 535 ALIGN="right"
 536 VALIGN="top"
 537 ><A
 538 HREF="securing-samba.html"
 539 ACCESSKEY="N"
 540 >Next</A
 541 ></TD
 542 ></TR
 543 ><TR
 544 ><TD
 545 WIDTH="33%"
 546 ALIGN="left"
 547 VALIGN="top"
 548 >Samba performance issues</TD
 549 ><TD
 550 WIDTH="34%"
 551 ALIGN="center"
 552 VALIGN="top"
 553 ><A
 554 HREF="optional.html"
 555 ACCESSKEY="U"
 556 >Up</A
 557 ></TD
 558 ><TD
 559 WIDTH="33%"
 560 ALIGN="right"
 561 VALIGN="top"
 562 >Securing Samba</TD
 563 ></TR
 564 ></TABLE
 565 ></DIV
 566 ></BODY
 567 ></HTML
 568 >