(Un-)Sinn von servergespeicherten Profilen (RoamingProfiles)

[pangu]

Hallo DF-Gemeinde,

ich würde gerne mal eure persönlichen Meinungen zu servergespeicherten Profilen hören. Wann machen denn eurer Meinung nach solche servergesp. Profile wirklich Sinn? Und wann können Sie zum Problem werden? Natürlich ist das bei jedem anders, da jeder andere Anforderungen stellt. Mir geht's eher um eine Art Leitfaden, grad die Punkte Vor-/ und Nachteile.

Ich möchte mal meine Infos zusammentragen, die ich in den Jahren sammeln durfte. Entsprechend bin ich nun an einen Punkt gelangt, an dem ich mich ernsthaft frage, ob ich die serv.gesp. Profile überhaupt verwenden sollte. Der Artikel hier http://wiki.samba.org/index.php/Samba_& ... s_Profiles erläutert ja schon eingie Punkte. Meine subjektive Meinung bisher dazu ist folgende:

NACHTEILE

• Um auch wirklich an jedem Arbeitsplatz mit seinen Favoritprogrammen arbeiten zu können, muss an jeder einzelnen Arbeitsstation auch das entsprechende Programm installiert sein. Der User hat z.B. auf der WorkstationA eine Verknüpfung namens 'BEISPIEL', die auf C:\Programme\Anwendung\beispiel.exe zeigt. Loggt sich der User nun auf der WorkstationB ein, dann sieht er zwar auf dem Desktop die Verknüofung 'BEISPIEL', kann sie aber nicht starten, wenn auf WorkstationB dieses Programm gar nicht existiert (also C:\Programme\Anwendung\Beispiel.exe). Selbst das Symbol der Verknüpfung würde in diesem Fall nicht angezeigt, da ja physikalisch (lokal) nirgends vorhanden auf WorkstationB.
• Ein anderes Problem das auftaucht ist, dass die Anordnung von Desktopsymbolen oder Fenstern sehr durcheinandergewürfelt wird, wenn die verschiedenen Workstations sehr unterschiedliche Monitor-Setups verwenden. Hat WorkstationA nur einen Monitor in Betrieb, WorkstationB zwei Monitore, und WorkstationC ein TripleMonitorSetup, dann ergeben sich dadurch zwangsläufig und verständlicherweise Probleme mit Desktopsymbolen oder Fensteranordnungen.
• Ein weiterer Nachteil ergibt sich, wenn man die Größe eines Profils betrachtet und daran denkt, dass bei jeder An-/ und Abmeldung diese Dateien zwischen Client<-->Server synchronisiert werden. Aus Erfahrungen kann ich berichten, dass ich schon Profile von 10GB gesehen hatte (!). Da häuft sich schonmal schnell was zusammen, wenn die faulen User alles vollklatschen und nicht aufräumen. Beispiele von gigantischen Dateien aus real-life-Szenarien:
  C:\Benutzer\MaxMustermann\Anwendungsdaten\Apple Computer\iTunes\iPhone Software Updates\iPhone3,1_4.3.3_8J2_Restore.ipsw ==> 670MB
  C:\Benutzer\MaxMustermann\Music\iTunes\iTunes Media\Mobile Applications\voller_apps_die_riessig_sind (geht locker über 1GB!)
  C:\Benutzer\MaxMustermann\Eigene Dateien\ArchiveMeinerLotusNotesDatenbank\2009.nsf (kann mal locker über 5GB betragen)
  C:\Benutzer\MaxMustermann\Downloads\SW_DVD5_RiessenProgramm.ISO (4,7GB und das war nur die fünfte DVD)
  wenn man das mal hochrechnet mit mehreren Mitarbeitern ---> auweia! So 'ne An-/Abmeldung kann dann mal schon 'ne Weile dauern, vor allem bei Clients die noch auf FastEthernet arbeiten.
• Ist ein User zeitgleich an mehreren Clietns angemeldet (was defaultmässig ja bei Windows erlaubt ist), so kann schnell eine Inkonsistenz von Dateiversionen auftreten. Das liegt unter anderem an der Hintergrundverarbeitung, wie Windows die Profile abspeichert. Und zwar läuft das so: UserA meldet sich an Workstation1 an. Nun meldet er sich kurz darauf auch an Workstation2 mit seinem Benutzernamen an. UserA arbeitet bei Workstation1 mit Photoshop und von mir aus auch mit putty, speichert seine aktiven Projekte und loggt sich bei Workstation1 aus. Dadurch wird sein Profil auf dem Server gespeichert. Nun setzt er sich an Workstation2 und arbeitet dort an ganz andren Sachen weiter. Putty hat er nicht berührt. Er meldet sich irgendwann auch von Workstation2 ab. Was nun passiert? Sein Profil von Workstation2 wird auf den Server gespeichert, und überschreibt quasi das letztere Änderungsdatum ! Beim nächsten Login fehlt im in Putty seine aktualisierte Serverliste, die er an Workstation1 gepflegt hatte, weil sie durch die unberührte Putty-Serverliste an Workstation2 überschrieben wurde. Autsch!
• Es gibt Leute, die sich mit dem Notebook über VPN am Firmennetzwerk einloggen und arbeiten. Sie müssen sich aber am Notebook erstmal an Windows anmelden. Dabei wird ihr lokal gespeichertes Profil geladen. Nun können Sie die OpenVPN Verbindung initiieren. Dennoch sind sie mir ihrem lokalen Profil angemeldet. Mann kann den OpenVPN-Dienst zwar auf automatisch stellen, aber das funktioniert aus Erfahrungen nicht bei jedem so wie es soll. Es treten auch hier Versionsunterschiede auf, oder oft Fehlermeldungen á-la "Ihr servergespeichertes konnte nicht gespeichert werden ... " oder "...ihr servergesp.Profil konnte nicht geladen werden, Sie arbeiten nun mit einem lokalen temporären Profil,blabla..."

VORTEILE

• Wenn ein User häufig an verschiedenen Workstations arbeitet, ist die Nutzung von solchen Profilen vorteilhaft. So kann er quasi seine wichtigen Daten, ähnlich wie mit dem Homelaufwerk, MITNEHMEN. Damit meine ich z.B.: hat der Windowsuser an einem angemeldeten Arbeitsplatz seine Serverliste in Putty konfiguriert, so hätte er diese auch wenn er sich an einem anderen Arbeitsplatz der Domäne anmeldet ==> vorausgesetzt das Programm 'putty' ist dort auch installiert und vorhanden.
• Dadurch dass die wichtigsten Sachen auf einem Server liegen, ist die Gefahr eines Totalverlustes bei einem Crash viel geringer als im Vergleich dazu, wenn sie lokal gespeichert wären. Der Grund ganz einfach --> der Server wird täglich gesichert, es gibt FullBackups/diffs/increments, usw... also denke ich, dass die Chancen hier höher stehen, dass man Daten retten kann.

Leider fallen mir wirklich keine weiteren Vorteile ein, deswegen würde ich mich auf eure Teilnahme freuen. Wie seht ihr das Ganze und wie sind eure Argumente hierzu? Ich freue mich auf eure Meinungen und Ratschläge, wie man sich bei solchen Entscheidungen und anhand welcher Kriterien orientieren sollte.

[hikaru]

Um auch wirklich an jedem Arbeitsplatz mit seinen Favoritprogrammen arbeiten zu können, muss an jeder einzelnen Arbeitsstation auch das entsprechende Programm installiert sein.

Man könnte auch die Programme auf einem Netzlaufwerk zu liegen haben. Ob und wenn ja wie das unter Windows geht weiß ich nicht.
Das verkompliziert natürlich das Lizenzgeraffel, denn dann braucht man Volumenlizenzen. Da man bei euch vermutlich ebenso knapp kalkuliert wie anderswo führt das unweigerlich zu dem lustigen Nebeneffekt dass der Mailverteiler in mehr oder weniger regelmäßigen Abständen von "Gib mal einer Programm XY frei!"-Mails überschwemmt wird (die natürlich keiner liest).

Aus Erfahrungen kann ich berichten, dass ich schon Profile von 10GB gesehen hatte (!).

Harmlos! 50GB und mehr ist kein Problem wenn einer meint die Distrowatch-Top-10 (mit Historie) spiegeln zu müssen. Da helfen nur Quotas (und Ohrenstöpsel bis sich die User daran gewöhnt haben) oder ständiges auf die Finger klopfen.

Edit:
Nein ich bin kein Admin (und will auch keiner sein).

[rendegast]

Da gibt es ja Methoden, um nachzuhelfen.
1) Die Benutzer per policy nicht auf "Desktop" oder "Eigene Dateien" speichern lassen, sondern nur auf dem großen Netzwerk-Datengrab.
Oder diese sind immer Links auf das Datengrab.
2) Cache-Verzeichnisse werden aus dem Abgleich herausgenommen.

Für die lokale Mailbox der Mail-Clients gilt 1), für deren Cache-Verzeichnisse 1) und 2),
benutzt wird nur der lokale IMAP.

(Alte Mail und Dateien wandern ins ro-Archiv und können aus dem täglichen backup herausfallen.)

Performantes Netz und mail-Hardware, falls mal 20 Benutzer gleichzeitig ihre 1GB-Mailboxen nach "serenade" durchsuchen.

[hikaru]

1) Die Benutzer per policy nicht auf "Desktop" oder "Eigene Dateien" speichern lassen, sondern nur auf dem großen Netzwerk-Datengrab.
Oder diese sind immer Links auf das Datengrab.

Aber das löst ja nicht das Problem sondern verschiebt es nur auf's Datengrab.

[cosmac]

1) Die Benutzer per policy nicht auf "Desktop" oder "Eigene Dateien" speichern lassen, sondern nur auf dem großen Netzwerk-Datengrab.
Oder diese sind immer Links auf das Datengrab.

Aber das löst ja nicht das Problem sondern verschiebt es nur auf's Datengrab.

vielleicht nicht das Problem, aber immerhin ein paar andere:
- die Gigabytes werden nicht bei jedem Login/Logout übers Netz geschickt
- es gibt nur noch die Originaldateien auf dem Server
und wenn man das konsequent durchzieht:
- wird das Backup viel einfacher
- kann man den PC jederzeit platt machen (austauschen). Alleine deswegen lohnt sich das irgendwann mal...

[ThJenal]

Seinen Vorteil spielen die servergespeicherten Profile in einer kontrollierten und entsprechend vorbereiteten Umgebung aus, also z.B. mit eingeschränkten Rechten des Users, vieler gleichartiger Rechner mit gleicher Softwareausstattung, Vorgaben (entweder organisatorisch oder technisch umgesetzt) die definieren, wo der User speichern darf und wo er gefälligst was zu speichern hat (3 Wochen an einem Dokument gearbeitet, es nicht in den dafür vorgesehen Netzordner gespeichert? Tja, der User muss sich dann nicht beim Admin ausweinen, wenn das Dokument futsch ist) etc.

Alles andere führt zu den aufgeführten Nachteilen.

Wenn es die Umgebung hergibt, sind servergespeicherte Profile (kann man das eigentlich steuern, dass die nur auf bestimmten Rechnern zum Tragen kommen, auf anderen aber ein lokales Profil verwendet werden muss? --> das wäre ein guter Kompromiss) sicher eine feine Sache. Aber wenn User immer mehr Mülldaten darin ansammeln und die Teile richtig in die Grösse gehen und die Rechnerausstattungen sich heftig unterscheiden, dann werden sie zur Krücke.

Eine granulare Steuerung wäre sinnvoll, um genau zu definieren, was auf dem Server gespeichert wird und was nicht (z.B. Browser- und Maildaten ja, Eigene Bilder/Musik/Dateien nein, %APPDATA%\blablub ja, %APPDATA%\foobar nein ...)
Keine Ahnung, ob man das so fein definieren kann, würde aber helfen, die Nachteile auszugleichen.

[slu]

Bei uns sind die Server gespeicherten Profile ein großer Vorteil. Alle Rechner in einer Abteilung sind immer Softwaretechnisch identisch, damit können die Benutzer Problemlos springen. Es ist auch sehr selten das ein Benutzer sich an einem Windows in einer anderen Abteilung anmeldet.

Das einzigste was nervt ist dieser lange Loginprozess, kann man den beschleunigen, hat da jemand Erfahrung?

[TRex]

ThJenal fasst es gut zusammen. Homogene, kontrollierte Umgebungen sind der Bereich, wo servergespeicherte Profile Sinn machen. Das bedeutet auch, dass auf den Rechnern nur Programme installiert werden, die dem geschäftlichen Betrieb dienen - ich weiß nicht, ob iTunes da unbedingt dazugehört.

Habt ihr Mitarbeiter mit unterschiedlichen Aufgaben (und Einzellizenzen zB)? Dann gehört denen jeweils ein zugewiesener Rechner. Deren Profil kann ruhig auf dem Server gespeichert sein (das hat ja noch andere Vorteile als nur den Rechner wechseln zu können). So ist Nachteil #1 schonmal weg.

Für das Profil würde ich übrigens quota einsetzen und auf 1GB beschränken. Das war auch das Limit in unserer Fakultät (wo es jedoch nicht technisch gelöst wurde - man bekam bloß ne nette Mail und ne Sperre ), größerer Kram sollte aufs Netzlaufwerk (dort gilt fair use).

[DynaBlaster]

In den Netzen, die ich betreue, werden "servergespeicherte Profile" hauptsächlich eingesetzt, um Terminal-Server inkl. Lastverteilung sinnvoll zu realisieren. Seit Win-Server 2008 muss es ja nicht mehr unbedingt Citrix sein, um die User auf den derzeit am wenigstens frequentierten Server zu schieben - dank Lastenausgleichs-Zeugs kann das Windows mittlerweile von Haus aus.

Und genau dieses Szenario hat THJenal angerissen. Auf den Terminal-Servern dürfen die User quasi gar nichts ausser Standardanwendungen starten - evtl. noch selbständig einen Netzwerkdrucker verbinden und das Hintergrundbild ändern. Ziel der Terminal-Server-Umgebung ist Standardisierung und möglichst austauschbare Clients - gerne Thinclients: also keine lokalen Daten, geringer Stromverbrauch, leiser Betrieb, und wenn das Teil abraucht gibt's einen Neuen, der ohne Datenübernahme, Programminstallationsorgie, usw. innerhalb von Minuten einsatzbereits ist.

Soweit die Theorie

Ich will eine Art Kiosk-Modus für MS Windows Server 2008 R2, immerhin ist eine TS-Lizenz von MS nicht gerade billig und die TS-User per Gruppenrichtlinien auf das Nötigste einzuschränken grenzt an eine Lebensaufgabe. Gibt es eigentlch eine GPO für das Ausblenden der Powershell.exe?

[pangu]

Interessant, danke für eure Meinungen und Anregungen. Wobei ich mich auch frage, wie man das granulat steuern könnte, so wie es TheJenal angesprochen hat. Ich denke, dass man das sicherlich über GPOs regeln könnte, aber was wenn jemand gar kein AD einsetzt, sondern SAMBA+LDAP ? Klar, ab der Samab4 solls dann auch AD geben, aber lassen wir mal das aus. Muss also zwingend AD vorhanden sein, damit man genau und feiner regeln kann, welche Ordner überhaupt vom Profil mitgesynct werden und welche nicht?

EDIT: iTunes hatten einige Gruppenleiter, damit sie ihr iPhone andocken können, um Daten zu synce, deswegen. Musik hört keiner von denen

[M. Linux]

In einer homogenen Umgebung, welche eine Vielzahl von gleichen Rechnerprofilen (SW und HW Ausstattung) vorhanden ist, ermöglichen servergespeicherte Profile das einfach Swichen zwischen verschieden Standorten, z.B. in einem Labor. Daten werden zentral gespeichert und dementsprechend ist auch die Profilgrösse nicht das Problem.

[rendegast]

welche Ordner überhaupt vom Profil mitgesynct werden und welche nicht?

Unter windows gibt es dazu eine Datei im Profil und/oder einen Reg-Key.
Die Datei kannst Du ja im Master-Verzeichnis der Profile verteilen, der Key geht per policy-Editor.