部署文件夹重定向和脱机文件

2019/06/06
适用于：Windows 10、Windows 7、Windows 8、Windows 8.1、Windows Vista、Windows Server 2019、Windows Server 2016、Windows Server 2012、Windows Server 2012 R2、Windows Server 2008 R2、Windows Server（半年频道）

本主题介绍了如何使用 Windows Server 将文件夹重定向和脱机文件部署到 Windows 客户端计算机。

有关本主题最近更改的列表，请参阅更改历史记录。

重要
由于 MS16-072 中所做的安全更改，我们更新了本主题的步骤 3：为文件夹重定向创建 GPO，以便 Windows 可以正确地应用文件夹重定向策略（而不是在受影响的电脑上还原重定向的文件夹）。

必备条件

硬件要求

文件夹重定向需要基于 x64 或 x86 的计算机；Windows® RT 不支持文件夹重定向。

软件要求

文件夹重定向具有以下软件要求：

若要管理文件夹重定向，必须以域管理员安全组、企业管理员安全组或组策略创建者所有者安全组成员身份登录。

客户端计算机必须运行 Windows 10、Windows 8.1、Windows 8、Windows 7、Windows Server 2019、Windows Server 2016、Windows Server（半年频道）、Windows Server 2012 R2、Windows Server 2012、Windows Server 2008 R2 或 Windows Server 2008。

客户端计算机必须加入你管理的 Active Directory 域服务 (AD DS)。

必须提供一台安装了组策略管理和 Active Directory 管理中心的计算机。

必须提供文件服务器来托管重定向的文件夹。

如果文件共享使用 DFS 命名空间，则 DFS 文件夹（链接）必须具有单个目标，以防止用户在不同服务器上进行互相冲突的编辑。

如果文件共享使用 DFS 复制与另一台服务器复制内容，则用户必须只能够访问源服务器，以防止用户在不同服务器上进行互相冲突的编辑。

使用群集文件共享时，请在文件共享上禁用连续可用性，以避免文件夹重定向和脱机文件出现性能问题。 此外，在用户失去对连续可用文件共享访问权限后的 3 到 6 分钟内，脱机文件可能无法切换到脱机模式，这可能会让尚未使用脱机文件的“始终脱机”模式的用户感到灰心。

备注
文件夹重定向中的某些较新功能具有额外的客户端计算机和 Active Directory 架构要求。 有关详细信息，请参阅部署主计算机、禁用文件夹上的脱机文件、启用“始终脱机”模式和启用优化文件夹移动。

步骤 1：创建文件夹重定向安全组

如果环境尚未设置文件夹重定向，则第一步是创建一个安全组，其中包含希望向其应用文件夹重定向策略设置的所有用户。

下面介绍如何创建用于文件夹重定向的安全组：

在装有 Active Directory 管理中心的计算机上打开服务器管理器。

在“工具”菜单上，选择“Active Directory 管理中心” 。 此时将出现 Active Directory 管理中心。

右键单击相应的域或 OU，选择“新建”，然后选择“组” 。

在“创建组” 窗口的“组” 部分，指定以下设置：

在“组名”中，键入安全组的名称，例如：“文件夹重定向用户”。

在“组范围”中，选择“安全性”，然后选择“全局” 。

在“成员”部分中选择“添加” 。 此时将出现“选择用户、联系人、计算机、服务帐户或组”对话框。

键入希望向其部署文件夹重定向的用户或组的名称，选择“确定”，然后再次选择“确定” 。

步骤 2：为重定向文件夹创建文件共享

如果还没有用于重定向文件夹的文件共享，请使用以下过程在运行 Windows Server 2012 的服务器上创建文件共享。

备注
如果在运行另一个版本的 Windows Server 的服务器上创建文件共享，则某些功能可能会有所不同或不可用。

下面介绍如何在 Windows Server 2019、Windows Server 2016 和 Windows Server 2012 上创建文件共享：

在“服务器管理器”导航窗格中，选择“文件和存储服务”，然后选择“共享”以显示“共享”页 。

在“共享”磁贴中，选择“任务”，然后选择“新建共享” 。 此时将出现新建共享向导。

在“选择配置文件”页上，选择“SMB 共享 - 快速” 。 如果已安装文件服务器资源管理器并且要使用文件夹管理属性，则改为选择“SMB 共享 - 高级”。

在“共享位置” 页上，选择你要在其上创建共享的服务器和卷。

在“共享名”页上的“共享名”框中键入共享的名称（如“Users$”） 。

提示
在创建共享时，通过在共享名后放置 $ 来隐藏共享。 这会在普通浏览器中隐藏共享。

在“其他设置”页上，清除“启用连续可用性”复选框（如果存在），并选择性地选中“启用基于访问的枚举”和“加密数据访问”复选框 。

在“权限”页面，选择“自定义权限…” 。 将出现高级安全设置对话框。

选择“禁用继承”，然后选择“将此对象上的继承权限转换为显式权限” 。

请根据表 1 所述以及图 1 所示的内容来设置权限，删除未列出的组和帐户的权限，并将特殊权限添加到在步骤 1 中创建的文件夹重定向用户组。

设置重定向文件夹共享的权限
图 1 设置重定向文件夹共享的权限

如果选择了“SMB 共享 – 高级” 配置文件，则在“管理属性” 页上，选择“用户文件” 文件夹使用值。

如果选择了“SMB 共享 – 高级” 配置文件，则在“配额” 页上选择性地选择要应用于共享用户的配额。

在“确认”页面，选择“创建” 。

托管重定向文件夹的文件共享所需的权限

托管重定向文件夹的文件共享所需的权限

用户帐户	访问	适用于

System	完全控制	此文件夹、子文件夹和文件

Administrators	完全控制	仅此文件夹

创建者/所有者	完全控制	仅子文件夹和文件

需要将数据放在共享上的用户（文件夹重定向用户）的安全组	列出文件夹/读取数据（高级权限）

创建文件夹/附加数据（高级权限）
读取属性（高级权限）
读取扩展属性（高级权限）
读取权限（高级权限）	仅此文件夹

其他组和帐户	无（删除）	

步骤 3:为文件夹重定向创建 GPO

如果尚未为文件夹重定向设置创建 GPO，请使用以下过程进行创建。

下面介绍如何为文件夹重定向创建 GPO：

在装有组策略管理的计算机上打开服务器管理器。

从“工具”菜单上，选择“组策略管理” 。

右键单击要在其中安装文件夹重定向的域或 OU，然后选择“在此域中创建 GPO 并将其链接在此处”。

在“新建 GPO”对话框中，键入 GPO 的名称（如“文件夹重定向设置”），然后选择“确定” 。

右键单击新创建的 GPO，然后清除“已启用链接” 复选框。 这将阻止应用该 GPO，直到已完成对它的配置为止。

选中该 GPO。 在“范围”选项卡的“安全筛选”部分，选择“经过身份验证的用户”，然后选择“删除”以防止 GPO 应用于所有人 。

在“安全筛选”部分中，选择“添加” 。

在“选择用户、计算机或组”对话框中，键入在步骤 1 中创建的安全组的名称（如“文件夹重定向用户”），然后选择“确定” 。

依次选择“委派”选项卡、“添加”，键入“经过身份验证的用户”，选择“确定”，然后再次选择“确定”以接受默认读取权限 。

由于 MS16-072 中所做的安全更改，因此此步骤是必需的。

重要
由于 MS16-072 中所做的安全更改，现在必须向经过身份验证的用户组委派文件夹重定向 GPO 的读取权限 - 否则，GPO 将不会应用于用户，如果已应用 GPO，则会删除 GPO，并将文件夹重定向回本地计算机。 有关详细信息，请参阅部署组策略安全更新 MS16-072。

步骤 4：配置文件夹重定向和脱机文件

为文件夹重定向设置创建 GPO 后，编辑组策略设置以启用和配置文件夹重定向，如以下过程中所述。

备注
默认情况下，对于 Windows 客户端计算机上的重定向文件夹，脱机文件为启用状态，而对于运行 Windows Server 的计算机，脱机文件为禁用状态（除非用户进行了更改）。 若要使用组策略来控制是否启用脱机文件，请使用“允许或禁止使用脱机文件功能”策略设置。 有关其他脱机文件组策略设置的信息，请参阅启用高级脱机文件功能和为脱机文件配置组策略。

下面介绍如何在组策略中配置文件夹重定向：

在“组策略管理”中，右键单击创建的 GPO（例如“文件夹重定向设置”），然后选择“编辑” 。

在“组策略管理编辑器”窗口中，依次导航到“用户配置”、“策略”、“Windows 设置”、“文件夹重定向” 。

右键单击要重定向的文件夹（例如“文档”），然后选择“属性” 。

在“属性”对话框中，从“设置”框中选择“基本 - 将每个人的文件夹重定向到同一位置” 。

备注
若要将文件夹重定向应用于运行 Windows XP 或 Windows Server 2003 的客户端计算机，请选择“设置”选项卡，然后选择“同时将重定向策略应用到 Windows 2000、Windows 2000 Server、Windows XP 和 Windows Server 2003 操作系统”复选框 。

在“目标文件夹位置”部分，选择“在根路径下为每个用户创建一个文件夹”，然后在“根路径”框中，键入存储重定向文件夹的文件共享的路径，例如：\fs1.corp.contoso.com\users$

选择“设置”选项卡，然后在“策略删除”部分中，选择性地选择“删除策略后将文件夹重定向回本地用户配置文件位置”（对于管理员和用户，此设置有助于使文件夹重定向行为更具可预测性） 。

选择“确定”，然后在警告对话框中选择“是” 。

步骤 5：启用文件夹重定向 GPO

完成配置文件夹重定向组策略设置后，下一步是启用 GPO，以允许将其应用于受影响的用户。

提示
如果你计划实现主计算机支持或其他策略设置，现在请进行该操作，然后再启用该 GPO。 这会防止在启用主计算机支持之前将用户数据复制到非主计算机。

下面介绍了如何启用文件夹重定向 GPO：

打开“组策略管理”。

右键单击创建的 GPO，然后选择“已启用链接”。 菜单项旁边会出现一个复选框。

步骤 6：测试文件夹重定向

若要测试文件夹重定向，请使用为文件夹重定向配置的用户帐户登录到计算机。 然后确认已重定向文件夹和配置文件。

下面介绍了如何测试文件夹重定向：

使用为文件夹重定向启用的用户帐户登录到主计算机（如果已启用主计算机支持）。

如果用户以前已登录到计算机，则打开提升的命令提示符，然后键入以下命令以确保最新的组策略设置已应用到客户端计算机：

PowerShell
复制

gpupdate /force

打开文件资源管理器。

右键单击重定向的文件夹（例如文档库中的“我的文档”文件夹），然后选择“属性”。

选择“位置”选项卡，并确认路径显示指定的文件共享，而不是本地路径。

                    
作用:防止域用户保存在特定位置（例如，桌面，我的文档等）的文件因为系统损坏而丢失，文件夹重定向的作用就是把这些文件另存为到一个指定的位置。




一般单位普通的用户有在桌面保存文件的习惯，这次实验我们就拿桌面来做测试。


一、打开组策略位置
组策略-----用户配置-----策略----windows设置------文件夹重定向



二、在行政部上面建立测试GPO


三、右击   ”桌面“ 选  “属性”




四、这里根据需要选择相应选项，这里我们选择“高级--为不同的用户组指定位置“





如果要应用于整个域的话，可以选择“基本”选项，将所有域用户全部重定向。


在选择“安全组成员身份”时，我们选择“添加”，“目标文件夹位置”，我们选择“在根目录路径下为每一用户创建文件夹“，并指定“根路径”为 ”

c:\program files"文件下（生产环境不能这样设置，此处是因为客户机就一块虚拟硬盘，不想再挂载了）。





五、指定行政部为策略实施对象














六、打开  ”设置“选项，根据需要调整


如果域环境的操作系统有低版本的系统存在，需要选择重定向设置的第三项（默认没有选择）

，策略删除时的选项根据具体情况选择。


七、更新策略，登陆客户端查看是否正常运行（测试客户端为WIN7 64）


一切正常。
其他的可根据自己情况设置。




 本文转自 烟台小崔 51CTO博客，原文链接:http://blog.51cto.com/seawind/1862874




        
        
                
    

Minifilter文件及文件夹重定向

minifilter是windows驱动开发中针对文件的一个过滤驱动，上可以实现文件透明加密、应用沙盒、自动备份等功能。本文主要介绍通过PreCreate函数来实现文件及夹重定向操作。本文需要 Windows驱动开发的基本知识和Minifilter开发的基本知识。

前人已有经验
https://github.com/conand/Joker 这个项目的主要功能是把所有的.mp3格式的音频都重定向到某一个文件上，也就是说，你不管听啥歌，都是同一首。

关键代码如下，原理是：在打开文件之前，偷偷替换文件的路径，比如我打开C:\1.mp3。这时，FileObject->FileName的值应该是C:\1.mp3（举个例子，实际有点不一样），如果，我把FileObject->FileName修改成C:\2.mp3。那么，文件系统就会重新打开C:\2.mp3，那么后续的读取和写入都是针对2.mp3了。
FileObject = Data->Iopb->TargetFileObject;
FileObject->FileName = targetFile;
Data->IoStatus.Information = IO_REPARSE;
Data->IoStatus.Status = STATUS_REPARSE;
Data->Iopb->TargetFileObject->RelatedFileObject = NULL;
FltSetCallbackDataDirty(Data);//亲测这一句可以不要
return FLT_PREOP_COMPLETE;

（这个项目中有不少不需要的代码，可以精简很多）
文件夹重定向
由“前人已有经验”可知，我只需要把文件名称替换了，就可以重定向到另外一个文件，那么，我只需要在文件打开的时候，替换掉目标路径也就可以实现文件夹的重定向了，例如：C:\a文件夹需要重定向到D:\b文件夹，那么只需要minifilter检测到打开的是包含路径C:\a的文件，就直接把C:\a替换成D:\b即可。
PWCHAR source_path = L"C:\a";
PWCHAR redirect_path = L"C:\b";
PWCHAR current_path = (PWCHAR)ExAllocPool(PagedPool,BUFFER_SIZE);
UNICODE_STRING uni_current_path = {0};
RtlZeroMemory(current_path,BUFFER_SIZE);
RtlCopyMemory(current_path,nameInfo->Name.Buffer,nameInfo->name.length);
if(wcsstr(current_path,source_path )!=NULL){
	wcstrp(current_path,source_path,redirect_path );
	RtlInitUnicodeString(&uni_current_path,current_path);
	FileObject->FileName = uni_current_path;
	Data->IoStatus.Information = IO_REPARSE;
	Data->IoStatus.Status = STATUS_REPARSE;
	return FLT_PREOP_COMPLETE;
}

后续
需要重定向的文件或者文件夹写死在代码中，是没有意义的，需要在加上与应用程序的通讯，根据《寒江独钓-Windows内核安全编程》上minifilter那一章可以轻松完成。

本项目的编译环境为Windows7旗舰版+visual studio 2013+wdk8.1。

调试环境:windbg+com口+VirtualBox+Windows Xp sp1。

运行环境，Windows XP 32位、Windows 7 旗舰版（关闭强制签名）

原来的windows 域采用组策略重定向 "我的文档"到单台服务器.
最近修改组策略，重定向到 DFS, ...
 
那些拥有旧组策略的机器会出现错误事件，编号是106,内容类似于: 重定向文件夹失败...源文件夹<......>  目标文件夹<....>...上述两个共享至少有一个处于脱机状态.
 
查了google很久....在英文结果里面有几句...当机器含有两个脱机共享文件夹时会有上述错误。
 
将出现错误的机器关闭脱机共享。
 
可以了。