Supporto Tecnico Enterprise : Domenico Costa

Group Policy – Computer Configuration e User Configuration

itentblg — Mon, 06 Apr 2009 02:00:00 GMT

Ciao a tutti!

La creazione di una policy a volte non è cosa semplice, e una volta creata, potrebbe non essere nemmeno semplice decidere dove collegarla.

Ogni modello di policy definisce due sezioni:

Computer Configuration = Policy per le impostazioni computer
User Configuration = Policy per le impostazioni utente

Alla partenza del computer sono applicate solo le impostazioni computer delle policy che interessano il computer account.
Successivamente al logon dell'utente verranno applicate solo le impostazioni utenti delle policy che interessano l'account utente.
Per i dettagli su come sono scelte le policy vi rimando al mio post "Group Policy: Applicazione e verifica tramite UserEnv.log".

Questo per spiegare che quando si definisce una policy che contiene impostazione per un oggetto, Computer o User, la policy deve essere collegata all'unità organizzativa dove l'oggetto risiede o lungo il percorso che lo contiene.
E' facile confondersi creando magari una policy con alcune impostazioni computer e poi collegare la policy ad una unità organizzativa dove c'è solo l'utente.

Il risultato è che l'utente a cui è collegata la policy, non ha applicate le impostazioni computer specificate.
In pratica: non si possono applicare ad un computer le impostazioni computer di una policy collegata ad una unità organizzativa dove c'è solo l'utente.

Perché?

Beh... semplicemente perché dato che le policy computer sono applicate prima che un utente effettui il logon, non è possibile sapere a priori quale utente userà il computer, e quindi leggere le sue policy!

Risulta invece realizzabile il contrario ovvero è possibile che all'utente siano applicate le policy collegate all'unità organizzativa dove risiede solo il computer account.

Questa funzionalità si chiama "Group Policy LoopBack".

Essa imposta la logica di raccolta delle policy assegnate all'utente in maniera differente.
E’ possibile specificare se le impostazioni utente delle policy indicate nell'unità organizzativa del computer dovranno:

Unirsi, quindi vengono raccolte sia le policy nell'unità organizzativa del computer che quelle nell'unità organizzativa dell'utente, o
Sostituirsi, quindi solo le policy contenute nell'unità organizzativa del computer

a quelle contenute nell'unità organizzativa dove risiede l'utente.

Maggiori informazioni sono disponibili nel seguente articolo:
KB 231287 - Loopback processing of Group Policy

Alla prossima!

Domenico Costa
Senior Support Engineer
Microsoft Enterprise Platform Support

Group Policy – Applicazione e verifica tramite UserEnv.log

itentblg — Mon, 30 Mar 2009 02:00:00 GMT

Ciao a tutti!

Eccoci al successivo appuntamento con il file "UserEnv.Log".
In questo post andremo a verificare come vengono lette, scelte e applicate le Group Policy ad un utente.

Prima cosa: ricordatevi di abilitare il log UserEnv.

Nel registry bisogna impostare:

Chiave: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
Nome: UserEnvDebugLevel
Tipo: REG_DWORD
Valore: 10002 (Hex)

il riavvio non è necessario ma vi permette di partire con dei riferimenti "orari" più gestibili.

Con i client XP è preferibile disabilitare il "Fast Logon" in modo da consentire l'applicazione delle policy al logon dell'utente.

Per farlo è necessario impostare tramite policy (locale o di dominio) questo parametro su "Enabled":

Computer Configuration\Administrative Templates\System\Logon\Always wait for the network at computer startup and logon

e questo lo consiglio in ogni caso per verificare se un problema con l'applicazione delle policy non sia solo causato dalla rete.

Ora partiamo con le verifiche sul log dove analizzeremo la parte user per semplificare, dato che per la parte computer è tutta identica...

Identificarne l'inizio è semplice, il log ci viene in aiuto con:

USERENV(278.44c) 11:45:26:800 ProcessGPOs:
USERENV(278.44c) 11:45:26:800 ProcessGPOs:
USERENV(278.44c) 11:45:26:800 ProcessGPOs: Starting user Group Policy (Async forground|Background) processing...
USERENV(278.44c) 11:45:26:800 ProcessGPOs:
USERENV(278.44c) 11:45:26:800 ProcessGPOs:

In queste prime linee si vede come l'applicazione delle GPOs sia avvenuta in modalità Asincrona (Async forground -> Fast Logon di XP) o Sincrona (Background -> Fast Logon disabilitato)

Successivamente il sistema effettua un controllo sulla velocità della rete in modo da poter distinguere se il dialogo con il DC è su una rete veloce o lenta.
Per i dettagli vi invito a leggere quanto indcato nel mio post “Group Policy: Slow Link Detection”

Poi calcola la posizione dell'utente all'interno delle varie unità organizzative (OU in Active Directory Users and Computers) ed il DC da cui prendere le policy:

USERENV(278.44c) 11:45:26:815 ProcessGPOs: User name is: CN=Utente,OU=Admin,OU=Office,OU=Reparto,DC=Dominio,DC=it, Domain name is: DOMINIO
USERENV(278.44c) 11:45:26:815 ProcessGPOs: Domain controller is: <\\DC02.dominio.it> Domain DN is dominio.it

Verifica lo stato locale delle estensioni per le policy in modo da segnare che cosa è stato applicato fino ad ora:

USERENV(278.44c) 11:45:26:831 ReadExtStatus: Reading Previous Status for extension {35378EAC-683F-11D2-A89A-00C04FBBCFA2}
USERENV(278.44c) 11:45:26:831 ReadExtStatus: Reading Previous Status for extension {0ACDD40C-75AC-47ab-BAA0-BF6DE7E7FE63}
USERENV(278.44c) 11:45:26:831 ReadExtStatus: Reading Previous Status for extension {25537BA6-77A8-11D2-9B6C-0000F8080861}
.
.
.
USERENV(278.44c) 11:45:26:831 ReadStatus: Read Extension's Previous status successfully.

L'elenco delle estensioni base e la loro specialità sono descritti nel seguente articolo:

KB 216357 - Identifying Group Policy Client-Side Extensions

Tutte le estensioni registrate sul computer sono reperibile nel registro in:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions

Questo stato verrà successivamente confrontato con lo stato delle policy in modo da non dover applicare ogni volta le stesse impostazioni, velocizzando ulteriormente l'applicazione delle policy.

Inizia quindi la fase di raccolta di tutte le policy seguendo un ordine ben preciso, in base all'unità organizzativa di appartenenza.

USERENV(278.44c) 11:45:26:847 SearchDSObject: Searching <OU=Admin,OU=Office,OU=Reparto,DC=Dominio,DC=it>

Se in un OU non ci sono policy troveremo:

USERENV(278.44c) 11:45:26:847 SearchDSObject: No GPO(s) for this object.

altrimenti:

USERENV(278.44c) 11:45:26:847 SearchDSObject: Found GPO(s): <[LDAP://cn={9AE7BFE1-D75E-42C2-B882-2BA60429EE59},cn=policies,cn=system,DC=Dominio,DC=it;0][LDAP://cn={DFB99C69-78B2-42F8-AF08-EAD9A86300BC},cn=policies,cn=system,DC=Domino,DC=it;0][LDAP://cn={EEF0C2F8-7A3D-49F5-8E5D-6D411965F41C},cn=policies,cn=system,DC=Dominio,DC=it;0][LDAP://cn={55F90D04-552E-4DB9-8FA8-942668047EBC},cn=policies,cn=system,DC=Dominio,DC=it;0]>
USERENV(278.44c) 11:45:26:847 ProcessGPO: ==============================
USERENV(278.44c) 11:45:26:847 ProcessGPO: Deferring search for <LDAP://cn={9AE7BFE1-D75E-42C2-B882-2BA60429EE59},cn=policies,cn=system,DC=Dominio,DC=it>
USERENV(278.44c) 11:45:26:847 ProcessGPO: ==============================
USERENV(278.44c) 11:45:26:847 ProcessGPO: Deferring search for <LDAP://cn={DFB99C69-78B2-42F8-AF08-EAD9A86300BC},cn=policies,cn=system,DC=Dominio,DC=it>
USERENV(278.44c) 11:45:26:847 ProcessGPO: ==============================
USERENV(278.44c) 11:45:26:847 ProcessGPO: Deferring search for <LDAP://cn={EEF0C2F8-7A3D-49F5-8E5D-6D411965F41C},cn=policies,cn=system,DC=Dominio,DC=it>
USERENV(278.44c) 11:45:26:847 ProcessGPO: ==============================
USERENV(278.44c) 11:45:26:847 ProcessGPO: Deferring search for <LDAP://cn={55F90D04-552E-4DB9-8FA8-942668047EBC},cn=policies,cn=system,DC=Dominio,DC=it>

e via di seguito:

USERENV(278.44c) 11:45:26:847 SearchDSObject: Searching <OU=Office,DC=Dominio,DC=it>
.
.
.
USERENV(278.44c) 11:45:26:847 SearchDSObject: Searching <DC=Dominio,DC=it>
.
.
.

ed infine (se presenti) quelle del sito di appartenenza:

USERENV(278.44c) 11:45:26:862 SearchDSObject: Searching <CN=MILANO,CN=Sites,CN=Configuration,DC=Dominio,DC=it>

Avendo ora costruito l'elenco delle policy queste verranno applicate in ordine inverso, quindi si parte da quelle trovate nel sito, poi quelle all'origine del dominio e via via verso l'unità organizzativa dove risiede l'utente od il computer.

Per ogni policy da processare il sistema verifica se si ha l'accesso (security o filtri WMI), la versione, se è abilitata o disabilita e con quali estensioni.
Ecco un esempio:

USERENV(278.44c) 11:45:26:878 ProcessGPO: ==============================
USERENV(278.44c) 11:45:26:878 ProcessGPO: Searching <CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=Dominio,DC=it>
USERENV(278.44c) 11:45:26:878 ProcessGPO: User has access to this GPO.
USERENV(278.44c) 11:45:26:878 ProcessGPO: GPO passes the filter check.
USERENV(278.44c) 11:45:26:878 ProcessGPO: Found functionality version of: 2
USERENV(278.44c) 11:45:26:878 ProcessGPO: Found file system path of: <\\Dominio.it\sysvol\Dominio.it\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}>
USERENV(278.44c) 11:45:26:893 ProcessGPO: Found common name of: <{31B2F340-016D-11D2-945F-00C04FB984F9}>
USERENV(278.44c) 11:45:26:893 ProcessGPO: Found display name of: <Default Domain Policy>
USERENV(278.44c) 11:45:26:893 ProcessGPO: Found user version of: GPC is 1, GPT is 1
USERENV(278.44c) 11:45:26:893 ProcessGPO: Found flags of: 0
USERENV(278.44c) 11:45:26:893 ProcessGPO: Found extensions: [{3060E8D0-7020-11D2-842D-00C04FA372D4}{3060E8CE-7020-11D2-842D-00C04FA372D4}][{35378EAC-683F-11D2-A89A-00C04FBBCFA2}{0F6B957E-509E-11D1-A7CC-0000F87571E3}]
USERENV(278.44c) 11:45:26:893 ProcessGPO: ==============================

Dopo aver processato le policy si passa a processare tutte le estensioni:

USERENV(278.44c) 11:45:26:924 ProcessGPOs: Processing extension Registro di sistema
USERENV(278.44c) 11:45:26:924 ReadStatus: Read Extension's Previous status successfully.
USERENV(278.44c) 11:45:26:924 CompareGPOLists: The lists are the same.
USERENV(278.44c) 11:45:26:940 ProcessGPOList: Entering for extension Registro di sistema
USERENV(278.44c) 11:45:26:940 UserPolicyCallback: Setting status UI to Applicazione del criterio Registro di sistema in corso...
USERENV(278.44c) 11:45:26:940 ProcessGPOList: No changes. CSE will not be passed in the IwbemServices intf ptr
USERENV(278.44c) 11:45:26:940 EnterCriticalPolicySectionEx: Entering with timeout 60000 and flags 0x2
USERENV(278.44c) 11:45:26:940 EnterCriticalPolicySectionEx: User critical section has been claimed. Handle = 0x6d8
USERENV(278.44c) 11:45:26:940 EnterCriticalPolicySectionEx: Leaving successfully.
USERENV(278.44c) 11:45:26:940 ResetPolicies: Entering.
USERENV(278.44c) 11:45:27:018 ProcessGPOList: Extension Registro di sistema status was not updated because there was no changes and no transition or rsop wasn't enabled
USERENV(278.44c) 11:45:27:018 ProcessGPOs: -----------------------
.
.
.
USERENV(278.44c) 11:45:27:034 ProcessGPOs: Processing extension Personalizzazione Internet Explorer
USERENV(278.44c) 11:45:27:034 ReadStatus: Read Extension's Previous status successfully.
USERENV(278.44c) 11:45:27:034 CompareGPOLists: The lists are the same.
USERENV(278.44c) 11:45:27:034 ProcessGPOList: Entering for extension Personalizzazione Internet Explorer
USERENV(278.44c) 11:45:27:034 UserPolicyCallback: Setting status UI to Applicazione del criterio Personalizzazione Internet Explorer in corso...
USERENV(278.44c) 11:45:27:034 ProcessGPOList: No changes. CSE will not be passed in the IwbemServices intf ptr
USERENV(278.44c) 11:45:27:734 UserPolicyCallback: Setting status UI to Applicazione delle impostazioni personali in corso...
USERENV(278.44c) 11:45:27:734 ProcessGPOList: Extension Personalizzazione Internet Explorer returned 0x0.
USERENV(278.44c) 11:45:27:734 ProcessGPOList: Extension Personalizzazione Internet Explorer status was not updated because there was no changes and no transition or rsop wasn't enabled
.
.
.

Ho messo queste 2 estensioni per far risaltare che durante queste fasi cambia la scritta a video (Setting status UI to...) prima di presentare il desktop all'utente.
Ed infine:

.
.
.
USERENV(278.44c) 11:45:27:750 ProcessGPOs: User Group Policy has been applied.

Di seguito vi riporto la documentazione ufficiale:

Alla prossima!

Domenico Costa
Senior Support Engineer
Microsoft Enterprise Platform Support

Group Policy – Slow Link Detection

itentblg — Mon, 16 Mar 2009 02:00:00 GMT

Ciao a tutti!

Può capitare che alcune impostazioni delle policy non siano applicate correttamente.
Eppure, spesso si pensa: ma se una parte viene eseguita perché l'altra è ignorata?

Ebbene, escludendo i problemi di allineamento dei Domain Controller o "problemi di terze parti", c'è un motivo prettamente tecnico e funzionale: la velocità della rete.

E’ in base alla banda di rete che il sistema decide se eseguire o meno le parti delle policy che utilizzano la rete in maniera più intensiva: pensate agli script o alla distribuzione di programmi.

Di default vengono sempre applicate:

Registry settings
Security policies
EFS recovery policy
IP security

ma se siamo in presenza di una rete lenta allora queste parti sono "ignorate":

Application Deployment
Scripts
Folder Redirection
Disk Quotas

Se volete modificare questo comportamento si deve creare una policy che definisca come comportarsi modificando le relative sezioni in:

Computer Configuration\Administrative Templates\System\Group Policy

Dove potete indicare per ogni "qualità" se queste impostazioni vanno applicate anche in caso di rete lenta e specificare se applicarle anche se non sono mai cambiate.

Tenete presente che la parte degli scripts riguarda solo logon e logoff per l'utente, gli script di startup/shutdown per la macchina non sono mai eseguiti in caso di rete lenta.

L'esito di una rete veloce è segnalato nel file UserEnv.Log come indicato di seguito:

USERENV(278.44c) 11:45:26:800 PingComputer: PingBufferSize set as 2048
USERENV(278.44c) 11:45:26:800 PingComputer: Adapter speed 1000000000 bps
USERENV(278.44c) 11:45:26:800 PingComputer: First time: 0
USERENV(278.44c) 11:45:26:800 PingComputer: Fast link. Exiting.

Se invece siamo in presenza di qualche latenza di rete potremmo vedere:

USERENV(5c4.85c) 10:36:57:796 PingComputer: Adapter speed 100000000 bps
USERENV(5c4.85c) 10:36:57:953 PingComputer: First time: 159
USERENV(5c4.85c) 10:36:58:000 PingComputer: Second time: 36
USERENV(5c4.85c) 10:36:58:000 PingComputer: Second time less than first time.
USERENV(5c4.85c) 10:36:58:031 PingComputer: First time: 28
USERENV(5c4.85c) 10:36:58:109 PingComputer: Second time: 71
USERENV(5c4.85c) 10:36:58:156 PingComputer: First time: 39
USERENV(5c4.85c) 10:36:58:234 PingComputer: Second time: 79
USERENV(5c4.85c) 10:36:58:250 PingComputer: Transfer rate: 780 Kbps Loop count: 2

La verifica della velocità della rete è misurata in base all'esito di alcuni ping e questa formula:

LinkSpeed=32000/ulTotal

ulTotal è dato dalla media arrotondata della differenza tra i ping, escluso se il primo è più grande del secondo.

Nel caso precedente abbiamo quindi:

ulToal = int((71-28) + (79-39)) / 2 = 83 / 2 = 41

Quindi la velocità è: 32000/41 = 780 Kbps

Confrontando il parametro "Transfer rate" con quanto è dettato dalle policy il sistema decide se la rete è veloce o lenta.

I parametri presi per il confronto sono indicati su:

Computer Configuration\Administrative Templates\System\Group Policy "Group Policy slow link detection"
User Configuration\Administrative Templates\System\Group Policy "Group Policy slow link detection"

Il valore è espresso in kbps e il valore di default è 500 kbps.

Per disabilitare il controllo è sufficiente impostare entrambi i valori a 0.

Una prima verifica è possibile anche con il seguente comando:

GPRESULT -V

nel testo visualizzato compare (per user e per computer):

Connected over a slow link?: No (oppure Yes...)

e l'impostazione della velocità di rete via policy:

Group Policy slow link threshold: 500 kbps

Di seguito vi riporto la documentazione ufficiale:

Alla prossima!!

Domenico Costa
Senior Support Engineer
Microsoft Enterprise Platform Support

Profili di rete: lentezza e problemi nella fase di logon

itentblg — Fri, 24 Oct 2008 02:00:00 GMT

Come abilitare ed interpretare il file di log UserEnv.log

Ciao a tutti, spesso arrivano richieste da parte di utenti che lamentano una lentezza nel caricare il profilo, altri che a volte non riescono proprio a caricarlo.

Il problema riguarda in quasi la totalità dei casi i profili di rete, i Roaming Profiles o le Folder Redirection, che permettono ad un utente di collegarsi su qualsiasi postazione ed avere sempre a disposizione i propri documenti e le proprie impostazioni.

Per il primo scenario può infatti capitare che il caricamento del profilo sembra durare per parecchi minuti quando il profilo in sé pesa pochi megabyte, cosa che dovrebbe portar via pochi secondi…

La cosa interessante è che in genere è proprio così ma il risultato non concorda con questa affermazione e, soprattutto, non soddisfa l’utente finale.

Il secondo scenario invece capita in maniera random e a diversi utenti. Spesso si risolve semplicemente con un logoff e successivo logon. Ma come mai?

Per l’analisi servono pochi strumenti, anzi uno: notepad.

Chiaramente strumenti di testo più avanzati facilitano il compito. Personalmente quando notepad non mi fornisce una risposta veloce uso Microsoft Excel, che permette di filtrare i risultati ed evidenziare le varie sezioni in differenti colori.

Cominciamo con l’innalzamento del valore di logging.

Di default, in Windows, il log è al minimo, in modo da tracciare gli errori principali.
Per portarlo ad un livello sufficiente per l’analisi dobbiamo impostare in questa chiave:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

il valore UserEnvDebugLevel a 0x10002 (in esadecimale), come documentato su:

KB 221833
How to enable user environment debug logging in retail builds of Windows
http://support.microsoft.com/default.aspx?scid=kb;EN-US;221833

Al successivo logon, non è necessario riavviare, sarà possibile cercare di capire che cosa succede dopo che l’utente preme “Invio” alla richiesta di nome utente e password.

Passiamo quindi all’analisi del file.

Dopo che l’utente si è lamentato del problema andiamo a prendere il file UserEnv.log creato in
%Systemroot%\Debug\UserMode\ (%systemroot% è la cartella che contiene windows)

creandone una copia, in quanto questo verrà facilmente sovrascritto.

Scenario 1: logon lento

Ecco un esempio di UserEnv opportunamente ridotto, dove andremo a verificare cosa succede…

USERENV(2d8.2dc) 12:42:27:906 InitializePolicyProcessing: Initialised Machine Mutex/EventsUSERENV(2d8.2dc) 12:42:27:953 InitializePolicyProcessing: Initialised User Mutex/EventsUSERENV(2d8.2dc) 12:42:27:953 LibMain: Process Name: \??\C:\WINDOWS\system32\winlogon.exeUSERENV(2d8.2dc) 12:42:29:781 Entering CUserProfile::Initialize ...USERENV(2d8.2dc) 12:42:29:781 CUserProfile::Initialize called by winlogonUSERENV(2d8.2dc) 12:42:29:781 CUserProfile::Initialize: critical section initializedUSERENV(2d8.2dc) 12:42:29:796 CSyncManager::Initialize: critical section initializedUSERENV(2d8.2dc) 12:42:29:796 CUserProfile::Initialize: registry key Software\Microsoft\Windows NT\CurrentVersion\ProfileList openedUSERENV(2d8.2dc) 12:42:29:796 CUserProfile::Initialize: Proccessing S-1-5-21-956999170-2411722574-1760982272-9735USERENV(2d8.2dc) 12:42:29:796 CSyncManager::EnterLock <S-1-5-21-956999170-2411722574-1760982272-9735>USERENV(2d8.2dc) 12:42:29:796 CSyncManager::EnterLock: No existing entry foundUSERENV(2d8.2dc) 12:42:29:796 CSyncManager::EnterLock: New entry created

...

USERENV(3c8.3cc) 12:42:32:546 LibMain: Process Name: C:\WINDOWS\system32\svchost.exeUSERENV(30c.310) 12:42:32:890 LoadUserProfile: Yes, we can impersonate the user. Running as selfUSERENV(30c.310) 12:42:32:890 ==========================================================USERENV(30c.310) 12:42:32:890 LoadUserProfile: Entering, hToken = <0x2ec>, lpProfileInfo = 0x7fcf8USERENV(30c.310) 12:42:32:890 LoadUserProfile: lpProfileInfo->dwFlags = <0x9>USERENV(30c.310) 12:42:32:906 LoadUserProfile: lpProfileInfo->lpUserName = <NetworkService>USERENV(30c.310) 12:42:32:906 LoadUserProfile: NULL central profile path

...

USERENV(570.574) 12:42:34:781 LibMain: Process Name: C:\WINDOWS\system32\svchost.exeUSERENV(68c.690) 12:42:36:515 LibMain: Process Name: C:\WINDOWS\system32\spoolsv.exeUSERENV(2d8.6f4) 12:42:36:953 IsSyncForegroundPolicyRefresh: Synchronous, Reason: policy set to SYNCUSERENV(2d8.6f4) 12:42:36:953 ApplyGroupPolicy: Entering. Flags = 7USERENV(2d8.6f4) 12:42:36:953 ProcessGPOs:USERENV(2d8.6f4) 12:42:36:953 ProcessGPOs:USERENV(2d8.6f4) 12:42:36:953 ProcessGPOs: Starting computer Group Policy (Background) processing...USERENV(2d8.6f4) 12:42:36:968 ProcessGPOs:USERENV(2d8.6f4) 12:42:36:968 ProcessGPOs:USERENV(2d8.6f4) 12:42:36:968 EnterCriticalPolicySectionEx: Entering with timeout 600000 and flags 0x0

...

USERENV(2d8.2dc) 12:42:50:281 LoadUserProfile: Yes, we can impersonate the user. Running as selfUSERENV(2d8.2dc) 12:42:50:296 =========================================================USERENV(2d8.2dc) 12:42:50:296 LoadUserProfile: Entering, hToken = <0x61c>, lpProfileInfo = 0x6e3e0USERENV(2d8.2dc) 12:42:50:296 LoadUserProfile: lpProfileInfo->dwFlags = <0x0>USERENV(2d8.2dc) 12:42:50:296 LoadUserProfile: lpProfileInfo->lpUserName = <UserName>USERENV(2d8.2dc) 12:42:50:296 LoadUserProfile: NULL central profile pathUSERENV(2d8.2dc) 12:42:50:312 LoadUserProfile: lpProfileInfo->lpDefaultPath = \\Domain\netlogon\Default UserUSERENV(2d8.2dc) 12:42:50:312 LoadUserProfile: NULL server nameUSERENV(2d8.2dc) 12:42:50:312 LoadUserProfile: In console winlogon processUSERENV(2d8.2dc) 12:42:50:312 In LoadUserProfilePUSERENV(2d8.2dc) 12:42:50:312 =========================================================...

USERENV(2d8.54c) 12:42:50:968 IsSyncForegroundPolicyRefresh: Synchronous, Reason: policy set to SYNCUSERENV(2d8.54c) 12:42:50:968 ApplyGroupPolicy: Entering. Flags = 6USERENV(2d8.54c) 12:42:50:968 ProcessGPOs:USERENV(2d8.54c) 12:42:50:984 ProcessGPOs:USERENV(2d8.54c) 12:42:50:984 ProcessGPOs: Starting user Group Policy (Background) processing...USERENV(2d8.54c) 12:42:50:984 ProcessGPOs:USERENV(2d8.54c) 12:42:50:984 ProcessGPOs:USERENV(2d8.54c) 12:42:50:984 EnterCriticalPolicySectionEx: Entering with timeout 600000 and flags 0x0

...

USERENV(2d8.54c) 12:42:51:203 ProcessGPO: ==============================USERENV(2d8.54c) 12:42:51:203 ProcessGPO: Searching <CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=domain,DC=com>USERENV(2d8.54c) 12:42:51:203 ProcessGPO: User has access to this GPO.USERENV(2d8.54c) 12:42:51:203 ProcessGPO: GPO passes the filter check.USERENV(2d8.54c) 12:42:51:203 ProcessGPO: Found functionality version of: 2USERENV(2d8.54c) 12:42:51:203 ProcessGPO: Found file system path of: \\domain.com\sysvol\domain.com\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}USERENV(2d8.54c) 12:42:51:203 ProcessGPO: Found common name of: <{31B2F340-016D-11D2-945F-00C04FB984F9}>USERENV(2d8.54c) 12:42:51:203 ProcessGPO: Found display name of: <Default Domain Policy>USERENV(2d8.54c) 12:42:51:203 ProcessGPO: Found user version of: GPC is 58, GPT is 58USERENV(2d8.54c) 12:42:51:203 ProcessGPO: ==============================...

USERENV(2d8.54c) 12:43:06:755 ProcessGPOs: User Group Policy has been applied.USERENV(2d8.54c) 12:43:06:755 ProcessGPOs: Leaving with 1.USERENV(2d8.90c) 12:43:06:755 PolicyChangedThread: Calling UpdateUser with 0.USERENV(2d8.54c) 12:43:06:755 ApplyGroupPolicy: Leaving successfully.USERENV(2d8.910) 12:43:06:755 GPOThread: Next refresh will happen in 104 minutes

...

USERENV(b8c.b90) 12:43:18:880 LibMain: Process Name: C:\WINDOWS\system32\userinit.exeUSERENV(c4c.c50) 12:43:22:855 LibMain: Process Name: C:\WINDOWS\system32\net.exeUSERENV(c70.c74) 12:43:23:852 LibMain: Process Name: C:\WINDOWS\system32\net.exeUSERENV(c60.c64) 12:43:24:678 LibMain: Process Name: C:\WINDOWS\System32\WScript.exeUSERENV(c88.c8c) 12:46:25:426 LibMain: Process Name: C:\WINDOWS\system32\wuauclt.exeUSERENV(cd0.cd4) 12:46:26:579 LibMain: Process Name: C:\WINDOWS\system32\net.exeUSERENV(cf4.cf8) 12:46:28:418 LibMain: Process Name: C:\WINDOWS\System32\WScript.exeUSERENV(d24.d30) 12:46:29:992 LibMain: Process Name: C:\WINDOWS\system32\net.exeUSERENV(d58.d5c) 12:46:30:647 LibMain: Process Name: C:\WINDOWS\system32\net.exeUSERENV(dbc.dc0) 12:46:32:985 LibMain: Process Name: C:\WINDOWS\System32\WScript.exeUSERENV(de4.de8) 12:49:34:278 LibMain: Process Name: C:\WINDOWS\system32\imapi.exeUSERENV(e70.e74) 12:49:36:725 LibMain: Process Name: C:\WINDOWS\system32\userinit.exeUSERENV(e7c.e80) 12:49:37:146 LibMain: Process Name: C:\WINDOWS\system32\userinit.exeUSERENV(e8c.ba0) 12:50:21:421 LibMain: Process Name: C:\WINDOWS\Explorer.EXEUSERENV(e8c.c14) 12:50:21:857 GetProfileType: Profile already loaded.USERENV(e8c.c14) 12:50:21:857 GetProfileType: ProfileFlags is 0USERENV(e8c.c14) 12:50:21:888 GetProfileType: Profile already loaded.USERENV(e8c.c14) 12:50:21:904 GetProfileType: ProfileFlags is 0

...

Come leggerlo? Prendiamo una riga a caso:

USERENV(2d8.54c) 12:42:50:968 IsSyncForegroundPolicyRefresh

Ecco quindi come procedere.

Una volta evidenziato l’utente problematico:

USERENV(2d8.2dc) 12:42:50:281 LoadUserProfile: Yes, we can impersonate the user. Running as self USERENV(2d8.2dc) 12:42:50:296 =========================================================

USERENV(2d8.2dc) 12:42:50:296 LoadUserProfile: Entering, hToken = <0x61c>, lpProfileInfo = 0x6e3e0USERENV(2d8.2dc) 12:42:50:296 LoadUserProfile: lpProfileInfo->dwFlags = <0x0>USERENV(2d8.2dc) 12:42:50:296 LoadUserProfile: lpProfileInfo->lpUserName = <UserName>USERENV(2d8.2dc) 12:42:50:296 LoadUserProfile: NULL central profile pathUSERENV(2d8.2dc) 12:42:50:312 LoadUserProfile: lpProfileInfo->lpDefaultPath = \\Domain\netlogon\Default UserUSERENV(2d8.2dc) 12:42:50:312 LoadUserProfile: NULL server nameUSERENV(2d8.2dc) 12:42:50:312 LoadUserProfile: In console winlogon process

- Prendiamo nota dell’orario di partenza: 12.42.50

- Verifichiamo quando viene caricato Explorer.Exe (il desktop dell’utente):

USERENV(e8c.ba0) 12:50:21:421 LibMain: Process Name: C:\WINDOWS\Explorer.EXE

Annotiamo il tempo: quasi 8 minuti! Ha ragione l’utente a lamentarsi.

Ma cosa causa il rallentamento?

Le policy? “Beh, sono state modificate ma non più di tanto...”. Vediamo:

- inizio: USERENV(2d8.54c) 12:42:50:984 ProcessGPOs: Starting user Group Policy (Background) processing...

- fine: USERENV(2d8.54c) 12:43:06:755 ProcessGPOs: User Group Policy has been applied.

Effettivamente passano solo 16 secondi, abbastanza normale se ci sono impostazioni di registry (si pensi alla personalizzazione di IE) o comunque parecchie policy da applicare.

Direi che si possono escludere le policy di dominio.

Non ci sono folder redirection configurate, quindi escludiamo la rete per la copia dei files...

Al volo si può vedere che il rallentamento è causato da alcuni script in esecuzione, che bloccano l’utente per circa 7 minuti:

USERENV(c60.c64) 12:43:24:678 LibMain: Process Name: C:\WINDOWS\System32\WScript.exeUSERENV(c88.c8c) 12:46:25:426 LibMain: Process Name: C:\WINDOWS\system32\wuauclt.exe... USERENV(dbc.dc0) 12:46:32:985 LibMain: Process Name: C:\WINDOWS\System32\WScript.exeUSERENV(de4.de8) 12:49:34:278 LibMain: Process Name: C:\WINDOWS\system32\imapi.exe

Ecco il rallentamento!

In questo caso è necessario fare tuning sugli script o modificarne la loro esecuzione in modalità asincrona (come in genere è di default), in modo da non dover attenderne il termine prima di caricare Explorer.Exe:

User Configuration\Administrative Templates\System\Scripts\Run Logon Scripts Synchronously -> Disabled

Scenario 2: Impossibile caricare il profilo.

Per questo secondo caso bisogna cercare nell’userenv errori simili a questo:

USERENV(2d4.d4c) 14:58:37:269 ReconcileFile: E:\Utente\Desktop\my doc.pdf ==> C:\Documents and Settings\Utente\Desktop\my doc.pdf [OK]USERENV(2d4.d40) 14:58:37:285 ReconcileFile: E:\Utente\Desktop\my doc.xls ==> C:\Documents and Settings\Utente\Desktop\my doc.xls [OK]USERENV(2d4.d34) 14:58:37:285 ReconcileFile: Failed to delete file <C:\Documents and Settings\Utente\Desktop\prf75.tmp> with error = 32 <--- ERROR_SHARING_VIOLATION

USERENV(2d4.d3c) 14:58:37:300 ReconcileFile: E:\Utente\Desktop\My doc 2.pdf ==> C:\Documents and Settings\Utente\Desktop\My doc 2.pdf [OK]USERENV(2d4.d34) 14:58:37:300 ReportError: Impersonating user.USERENV(2d4.d38) 14:58:37:300 ReconcileFile: E:\Utente\Desktop\my doc 2.xls ==> C:\Documents and Settings\Utente\Desktop\my doc 2.xls [OK]USERENV(2d4.d44) 14:58:37:316 ReconcileFile: E:\Utente\Desktop\My doc.rtf ==> C:\Documents and Settings\Utente\Desktop\My doc.rtf [OK]USERENV(2d4.d48) 14:58:37:332 ReconcileFile: E:\Utente\Desktop\My Doc.doc ==> C:\Documents and Settings\Utente\Desktop\My Doc.doc [OK]USERENV(2d4.d34) 14:58:37:332 GetShareName: WNetGetConnection initially returned error 2250USERENV(2d4.d40) 14:58:37:332 ReconcileFile: E:\Utente\Desktop\My Doc 2.doc ==> C:\Documents and Settings\Utente\Desktop\My Doc 2.doc [OK]USERENV(2d4.d34) 14:58:37:332 ReportError: Logging Error <Impossibile copiare il file \\Server\Share\Utente\Desktop\My Doc 3.doc sul percorso C:\Documents and Settings\Utente\Desktop\My Doc 3.doc. L'errore può essere causato da problemi di rete o privilegi di protezione insufficienti. Se il problema persiste, contattare l'amministratore della rete.Dettagli: Impossibile accedere al file. Il file è utilizzato da un altro processo.USERENV(2d4.d34) 14:58:37:332 ErrorDialogEx: Calling DialogBoxParamUSERENV(2d4.d4c) 14:58:37:332 ReconcileFile: E:\Utente\Desktop\My Doc 3.xls ==> C:\Documents and Settings\Utente\Desktop\My Doc 3.xls [OK]USERENV(2d4.d34) 14:58:37:332 ErrorDlgProc:: DialogBoxParamUSERENV(2d4.2d8) 14:58:44:085 CopyProfileDirectoryEx: Leaving with a return value of 0USERENV(2d4.2d8) 14:58:44:100 RestoreUserProfile: CopyProfileDirectory failed. Issuing default profileUSERENV(2d4.2d8) 14:58:44:100 RestoreUserProfile: Issuing default profileUSERENV(2d4.2d8) 14:58:44:100 RestoreUserProfile: Deleting cached profile directory <C:\Documents and Settings\Utente>.

Da questi dati è possibile notare che la copia in locale del file remoto, è fallita in quanto il file è in uso da un altro processo:

Error 32

ERROR_SHARING_VIOLATION

# The process cannot access the file because it is being used# by another process.

Molto probabilmente un servizio di indicizzazione o l’antivirus potrebbero non rilasciare correttamente il file in tempo, interrompendo quindi il processo di sincronizzazione del profilo.

In questi casi è necessario escludere durante la fase di caricamento del profilo qualsiasi servizio di terze parti che possa influire con le operazioni sui file.

Un tool utile che vi consiglio è built-in in Windows XP (per 2000 basta copiarlo): MSCONFIG.EXE.

Una volta lanciato è possibile escludere ogni servizio o programma caricato all’avvio del sistema.

In breve quindi questo file di log è utilissimo per qualsiasi problema legato al caricamento del profilo.

Alla prossima! Con nuovi post sull’uso di questo log ed altre problematiche di esempio.

Domenico Costa
Senior Support Engineer
Microsoft Enterprise Platform Support