TS - Per Script datei aus jedem Benutzerverzeichnis löschen

Hallo Admins.

Folgendes Thema:
Wir wollen entweder (1.) jedes mal wenn sich ein nutzer an TS abmeldet eine Datei aus dessen Userprofil gelöscht wird.
Oder (2.) , dass ein mal im Monat diese Datei bei jedem Benutzerprofil gelöscht wird.

Das Problem bei 1. ist, dass wir kein Abmeldeskript in der lokalen gpo hinterlegen können. Einerseits wegen fehlenden Rechten und andererseits weil das viel knapp 100 Usern etwas umständlich wäre.
Das Problem bei 2. ist, dass ich zwar einen Task im Scheduler erstellen kann, der Monatlich diese Datei löscht, jedoch kenn ich nur den Befehl "del %userprofile%\.... /y". Dabei würde doch aber nur die Datei im Profil des Admins gelöscht, wenn ich den Task denn darüber erstelle, oder?
Es wäre ja dann wichtig, dass er jedes existierende Userprofil durchgeht und die Datei löscht. (Und prüft, ob die Datei überhaupt vorhanden ist, und ob sie gerade in Benutzung ist)

Hat da jemand eine Idee, wie ich das bewerkstelligen kann?

Beste Grüße

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 391904

Url: https://administrator.de/contentid/391904

Ausgedruckt am: 22.11.2024 um 22:11 Uhr

8 Kommentare

Neuester Kommentar

Guten Morgen

Wieso nicht ganz simpel ein Logoff-Script in der TS-GPO ?

Gruß

Hubert

Guten Morgen Hubertm

das wäre einfach ja.
Ich weiß nur nicht, wie ich bei einer GPO einstellen kann, dass diese nur auf dem Terminal Server angewendet wird.
Bei meinen Recherchen bin ich auf den Begriff Loopback gestoßen, so ganz verstanden habe ich es jedoch leider nicht.
Vielleicht kannst du da weiterhelfen?

Hi.

Zunächst einmal: wenn Du GPOs für den TS erstellen kannst, warum darfst Du dann keine lokale GPO anpassen? Das wäre doch das Simpelste. "[bei] 100 Usern etwas umständlich wäre" - warum das? Es ist nur ein einziges Logoffscript für alle lokal am TS anzupassen.

Scheduled Tasks, die für alle laufen, darfst Du aber erstellen am TS? Dann bist Du Admin und dürftest auch die lokale GPO verändern.
Sei's drum, auch der Task geht natürlich und Deine Befürchtung "Dabei würde doch aber nur die Datei im Profil des Admins gelöscht" ist nicht zutreffend.

Moin,

Zitat von @Schauer:

Guten Morgen Hubertm

das wäre einfach ja.
Ich weiß nur nicht, wie ich bei einer GPO einstellen kann, dass diese nur auf dem Terminal Server angewendet wird.
Bei meinen Recherchen bin ich auf den Begriff Loopback gestoßen, so ganz verstanden habe ich es jedoch leider nicht.
Vielleicht kannst du da weiterhelfen?

Entweder stellst Du den TS in eine eigene OU und erstellst hier die GPO oder Du wendest einen WMI-Filter auf die GPO an, so dass sie nur beim TS ausgeführt wird.

Loopback-Verarbeitung heißt, dass auch die Benutzerkonfiguration angewendet wird, obwohl es eine GPO ist, die nur auf einen Computer wirkt. Das findest Du in der Abteilung Computerkonfiguration -> Richtlinien -> Administrative Vorlagen -> System -> Gruppenrichtlinien -> Loopbackverarbeitungsmodus. Hast Du den aktiviert und trägst in der GPO ein Logon- oder Logoff-Skript ein, dann wird es ausgeführt, wenn sich irgendein User am TS anmeldet. ACHTUNG! Das gilt dann auch für Admins.

hth

Erik

@DerWoWusste

Ich will nicht abstreiten, dass ich mich wohlmöglich missverständlich ausgedrückt habe.
Folgendes: Würde ich ein logoff-Script für jeden User in der lokalen GPO erstellen, müsste ich mich mit jedem User anmelden und diese einbindung. Das geht jedoch nicht, da die User dafür keine Berechtigungen haben.
Eine Frage im Umkehrschluss: Wenn ich als Administrator eine Lokale GPO erstelle und in der Benutzereinstellung ein Abmeldescript hinterlege, gilt dies nur für den user der das erstellt hat - also der Admin - oder gilt das dann für jeden User des TS ?

Moin nochmal,

Zitat von @Schauer:

@DerWoWusste

Ich will nicht abstreiten, dass ich mich wohlmöglich missverständlich ausgedrückt habe.
Folgendes: Würde ich ein logoff-Script für jeden User in der lokalen GPO erstellen, müsste ich mich mit jedem User anmelden und diese einbindung. Das geht jedoch nicht, da die User dafür keine Berechtigungen haben.

Warum willst Du das mit lokalen GPOs regeln und nicht mit GPOs für die OU, in der der TS ist?

Ansonsten gelten die lokalen GPOs für alle User, die sich da anmelden. Es gibt keine lokalen GPOs für jeden User. Wenn Du also ein Logon-Skript hinterlegst

del c:\users\%username%\boesedatei.end

dann wird das bei jedem User, der sich da anmeldet, ausgeführt.

Eine Frage im Umkehrschluss: Wenn ich als Administrator eine Lokale GPO erstelle und in der Benutzereinstellung ein Abmeldescript hinterlege, gilt dies nur für den user der das erstellt hat - also der Admin - oder gilt das dann für jeden User des TS ?

Wenn es nur für den Admin gelte, wo wäre dann der Sinn der lokalen GPO?

hth

Erik

Wahrscheinlich ist es für mich nur so ein Sicherheitsgefühl, die GPO über die Domain außen vor zu nehmen und es mit der lokalen zu machen.
Aber wenn das mit der Loopbackverarbeitung so funktioniert wie du sagst, wäre das ja auch eine gute Alternative zur lokalen Variante.
Dann weiß ich jetzt, wie beide Optionen funktionieren und kann abklären, welche wir nehmen.

Zitat von @erikro:

Wenn es nur für den Admin gelte, wo wäre dann der Sinn der lokalen GPO?

Ja wo eigentlich? Da hast du recht, es würde gar keinen Sinn machen.

Ich danke dir recht herzlich für die ausführliche und geduldige Erklärung.

Viele Grüße,
Schauer