创建强制性用户配置文件

项目
08/12/2023
适用于:

✅ Windows 11, ✅ Windows 10

必需用户配置文件是由管理员预先配置的漫游用户配置文件，用于指定用户的设置。强制配置文件中通常定义的设置包括 (但不限于桌面上显示的) 图标、桌面背景、控制面板中的用户首选项、打印机选择等。分配强制用户配置文件时，不会保存用户会话期间对通常保存到漫游用户配置文件的配置更改。

当标准化很重要时，例如在网亭设备或教育设置中，强制性用户配置文件很有用。只有系统管理员才能对强制用户配置文件进行更改。

当存储强制配置文件的服务器不可用（例如用户未连接到公司网络时），具有强制配置文件的用户可以使用强制配置文件的本地缓存副本（如果存在）登录。否则，用户使用临时配置文件登录。

当管理员将配置文件 (注册表配置单元) 配置文件服务器文件系统中每个用户的配置文件从 NTuser.dat 重命名NTuser.dat为 NTuser.man时，用户配置文件将成为必需的配置文件。该 .man 扩展使用户配置文件成为只读配置文件。

每个 Windows 版本的配置文件扩展

在其中存储强制配置文件的文件夹的名称必须为应用该配置文件的操作系统使用正确的扩展。下表列出了每个操作系统版本的正确扩展。

客户端操作系统版本	服务器操作系统版本	配置文件扩展
Windows XP	Windows Server 2003 Windows Server 2003 R2	无
Windows Vista Windows 7	Windows Server 2008 Windows Server 2008 R2	v2
Windows 8	Windows Server 2012	v3
Windows 8.1	Windows Server 2012 R2	v4
Windows 10版本 1507 和 1511	不适用	v5
Windows 10版本 1607 及更高版本	Windows Server 2016 和 Windows Server 2019	v6

有关详细信息，请参阅部署漫游用户配置文件、附录 B 和 Windows 10 和 Windows Server Technical Preview 中的漫游用户配置文件版本控制。

强制用户配置文件

首先，使用所需的自定义项创建默认用户配置文件，在应答文件中运行 Sysprep 并将 CopyProfile 设置为 True ，将自定义的默认用户配置文件复制到网络共享，然后重命名配置文件以使其是必需的。

如何创建默认用户配置文件

以本地管理员组的成员身份登录到运行 Windows 的计算机。不要使用域帐户。

注意

使用运行 Windows 干净安装的实验室或额外计算机创建默认用户配置文件。请勿使用业务 (即生产计算机) 所需的计算机。此过程从计算机中删除所有域帐户，包括用户配置文件文件夹。
配置要包含在用户配置文件中的计算机设置。例如，可以配置桌面背景的设置、卸载默认应用、安装业务线应用等。

注意

与以前版本的 Windows 不同，不能使用强制配置文件应用“开始”菜单和任务栏布局。有关自定义“开始”菜单和任务栏的替代方法，请参阅相关主题。
创建一个将 CopyProfile 参数设置为 True 的应答文件 (Unattend.xml) 。 CopyProfile 参数会导致 Sysprep 将当前已登录用户的配置文件文件夹复制到默认用户配置文件。可以使用 Windows 系统映像管理器（Windows 评估和部署工具包 (ADK) 的一部分）创建 Unattend.xml 文件。
从电脑中卸载不需要或不需要的任何应用程序。有关如何卸载 Windows 应用程序的示例，请参阅 Remove-AppxProvisionedPackage。有关可卸载应用程序的列表，请参阅了解 Windows 中包含的不同应用。

注意

强烈建议卸载不需要或不需要的应用，因为这会加快用户登录时间。
在命令提示符下，键入以下命令，然后按 Enter。
```
sysprep /oobe /reboot /generalize /unattend:unattend.xml
```
(Sysprep.exe 位于： C:\Windows\System32\sysprep。默认情况下，Sysprep 在同一文件夹中查找 unattend.xml 。)

提示

如果收到错误消息，指出“Sysprep 无法验证 Windows 安装”，请打开 %WINDIR%\System32\Sysprep\Panther\setupact.log 并查找如下所示的条目：

使用 Windows PowerShell 中的 Remove-AppxProvisionedPackage 和 Remove-AppxPackage -AllUsers cmdlet 卸载日志中列出的应用。
sysprep 进程重启电脑，并在首次运行体验屏幕中启动。完成设置，然后使用具有本地管理员权限的帐户登录到计算机。
右键单击“开始”，转到“控制面板 (按大图标或小图标) >系统>设置查看”，然后在“用户配置文件”部分选择“设置”。
在 “用户配置文件”中，选择“ 默认配置文件”，然后选择“ 复制到”。
在 “复制到”中的“ 允许使用”下，选择“ 更改”。
在 “选择用户或组”的“ 输入要选择的对象名称” 字段中，键入 everyone，选择“ 检查名称”，然后选择“ 确定”。
在 “复制到”中的“ 将配置文件复制到 ”字段中，输入要存储强制配置文件的路径和文件夹名称。文件夹名称必须为操作系统版本使用正确的扩展。例如，文件夹名称必须以结尾.v6，以将其标识为Windows 10版本 1607 或更高版本的用户配置文件文件夹。
- 如果设备已加入域，并且你使用有权写入网络上共享文件夹的帐户登录，则可以输入共享文件夹路径。
- 如果设备未加入域，则可以在本地保存配置文件，然后将其复制到共享文件夹位置。
选择 “确定” 以复制默认用户配置文件。

如何强制使用用户配置文件

在文件资源管理器中，打开存储配置文件副本的文件夹。

注意

如果未显示文件夹，请单击“ 查看>选项>”“更改文件夹”和“搜索选项”。在“ 视图 ”选项卡上，选择“ 显示隐藏的文件和文件夹”，清除 “隐藏受保护的操作系统文件”，单击“ 是 ”以确认要显示操作系统文件，然后单击“ 确定 ”保存所做的更改。
将重命名 Ntuser.dat 为 Ntuser.man。

验证必需的配置文件文件夹的正确所有者

打开“profile.v6”文件夹的属性。
选择“ 安全性 ”选项卡，然后选择“ 高级”。
验证文件夹的 所有者 。它必须是内置 管理员 组。若要更改所有者，你必须是文件服务器上的 Administrators 组的成员，或者对服务器具有“设置所有者”权限。
设置所有者时，选择“ 替换子容器和对象的所有者 ”，然后选择“确定”。

向用户应用必需的用户配置文件

在域中，修改用户帐户的属性，以指向驻留在服务器上的共享文件夹中的必需配置文件。

如何向用户应用强制用户配置文件

打开 Active Directory 用户和计算机 (dsa.msc) 。
导航到要向其分配强制配置文件的用户帐户。
右键单击用户名并打开“属性”。
在“ 配置文件 ”选项卡上的“ 配置文件路径 ”字段中，输入不带扩展名的共享文件夹的路径。例如，如果文件夹名称为 \\server\share\profile.v6，则输入 \\server\share\profile。
选择“确定”。

此更改可能需要一些时间才能复制到所有域控制器。

使用强制配置文件配置用户时，Windows 会像每次用户登录时首次登录一样启动。若要提高具有强制用户配置文件的用户的登录性能，请应用下表中显示的组策略设置。

组策略设置	Windows 10	Windows Server 2016
计算机配置 > 管理模板 > 系统 > 登录 >显示首次登录动画 = 已禁用	✅	✅
计算机配置 > 管理模板 > Windows 组件 > 搜索 >允许 Cortana = 禁用	✅	✅
计算机配置 > 管理模板 > Windows 组件 > 云内容 >关闭 Microsoft 使用者体验 = 已启用	✅	❌

注意

这些组策略设置可以在 Windows 专业版中应用。

创建强制性用户配置文件

每个 Windows 版本的配置文件扩展