Профили пользователей RDS: локальные профили, контейнеры и FSLogix

Пользователь подключается к терминальному серверу и ожидает увидеть привычный рабочий стол, настройки программ и свои данные. Но при работе на нескольких серверах RDS результат может оказаться другим: на одном узле открывается нужный профиль, на другом — чистый рабочий стол, а иногда Windows загружает временный профиль.

Причина не всегда находится в самом RDP-подключении. Рабочий стол пользователя, ветви его реестра, каталог AppData и настройки приложений входят в профиль Windows. От способа хранения и подключения профиля зависят скорость входа, сохранность настроек и возможность перевести пользователя на другой узел фермы.

На одном терминальном сервере локальные профили могут работать годами без заметных проблем. В ферме из нескольких узлов такая схема быстро становится источником расхождений. Перемещаемые профили решают часть задач, но время входа растёт вместе с объёмом данных. User Profile Disks и FSLogix используют контейнеры VHD или VHDX, однако отличаются по возможностям и условиям применения.

Разберём, чем отличаются основные варианты, как спроектировать хранилище контейнеров и что проверять, если пользователь долго входит в RDS или получает временный профиль.

Почему профили становятся проблемой в среде RDS

Профиль Windows — это не просто папка с документами. Он содержит пользовательскую часть реестра, настройки приложений, содержимое рабочего стола, AppData и другие данные, связанные с рабочей средой конкретной учётной записи.

Когда пользователь впервые входит на сервер, Windows создаёт для него профиль. При следующем входе система пытается найти и загрузить этот же профиль.

На одном сервере схема выглядит просто:

Пользователь
     │
     ▼
Один сервер RDS
     │
     ▼
Локальный профиль на диске сервера

Если серверов несколько, ситуация меняется:

                         ┌──► RDS Session Host 1 ──► локальный профиль 1
Пользователь ──► Broker ─┤
                         └──► RDS Session Host 2 ──► локальный профиль 2

При первом входе пользователь может попасть на первый узел, а при следующем — на второй. Если профиль хранится локально, каждый сервер создаст собственную копию. Настройки и данные между ними автоматически не синхронизируются.

Что происходит при входе

Упрощённо вход пользователя состоит из нескольких этапов:

1. Windows проверяет учётные данные.
2. Применяются компьютерные и пользовательские групповые политики.
3. Система находит или создаёт профиль.
4. Загружается пользовательская часть реестра.
5. Запускаются сценарии входа и приложения.
6. Восстанавливаются параметры рабочей среды.

Если профиль находится на сетевом хранилище или внутри удалённого контейнера, к этой цепочке добавляются проверка прав, поиск файла, подключение VHDX и чтение данных через сеть.

Поэтому медленный вход нельзя автоматически объяснять «медленным RDP». Причина может находиться в службе профилей Windows, контроллере домена, групповых политиках, DNS, файловом сервере, антивирусе или самом контейнере.

Почему появляется временный профиль

Временный профиль создаётся, когда Windows не может нормально загрузить основной. Пользователь входит в систему, но получает пустое окружение, а сделанные им изменения могут исчезнуть после выхода.

Типичные причины:

• повреждение локального профиля;
• отсутствие доступа к сетевому каталогу;
• неверные NTFS-права;
• недоступность файлового сервера;
• занятый другим сеансом VHDX;
• недостаток места в контейнере;
• конфликт старой и новой схемы профилей;
• ошибка службы профилей Windows или FSLogix.

Локальные профили, roaming, UPD и FSLogix: что выбрать

Универсального способа хранения профилей нет. Решение зависит от количества серверов, приложений, объёма данных, требований к отказоустойчивости и готовности обслуживать файловое хранилище.

Локальные профили

Локальный профиль хранится на системном диске конкретного RDS Session Host. Это простейший вариант: не требуется отдельное хранилище, а чтение данных не зависит от сети.

Схема подходит, если:

• используется один терминальный сервер;
• пользователи всегда попадают на один и тот же узел;
• сервер не пересоздаётся регулярно;
• нет требования быстро переводить пользователей между узлами.

Основной недостаток проявляется при масштабировании. Если добавить второй сервер, у пользователя появится ещё один независимый профиль. Кроме того, профили занимают место на системном диске и сохраняются после увольнения сотрудников, если их не удалять по регламенту.

Перемещаемые профили

Перемещаемый профиль, или roaming profile, хранится в сетевой папке. При входе Windows загружает данные на сервер, а при выходе передаёт изменения обратно.

Такой подход позволяет использовать одни настройки на нескольких узлах, но чувствителен к размеру профиля. Чем больше данных находится в AppData и пользовательских каталогах, тем дольше выполняются копирование и синхронизация.

Проблемы особенно заметны, если:

• в профиль попадают кэши браузеров и приложений;
• пользователь завершает работу некорректно;
• соединение с файловым сервером нестабильно;
• один профиль используется на несовместимых версиях Windows;
• пользователь открывает несколько сеансов одновременно.

Перемещаемый профиль не стоит рассматривать как обычную синхронизацию папок. Одновременные изменения на разных узлах могут привести к конфликтам, а большие объёмы данных увеличивают время входа и выхода.

User Profile Disks

User Profile Disks — UPD — механизм RDS, который хранит профиль пользователя в отдельном виртуальном диске VHDX. При входе диск подключается к выбранному узлу и становится частью файловой системы профиля.

UPD удобен в классической ферме RDS, поскольку пользователь получает один профиль независимо от выбранного Session Host. Но механизм тесно связан с конфигурацией коллекции RDS и предоставляет меньше возможностей для управления и диагностики, чем FSLogix.

UPD может оставаться рабочим решением в уже настроенной ферме. Переходить с него на другую технологию только ради обновления названия не требуется. Сначала нужно оценить реальные проблемы и стоимость миграции.

Контейнеры FSLogix

FSLogix Profile Container также хранит профиль в VHD или VHDX. При входе контейнер подключается к серверу, а Windows видит его содержимое как обычный локальный профиль.

От перемещаемого профиля это отличается тем, что данные не копируются целиком при каждом входе и выходе. Операционная система работает непосредственно с подключённым контейнером.

FSLogix удобен, когда:

• используется несколько RDS Session Host;
• пользователь может входить на разные узлы;
• приложения активно используют AppData;
• требуется единый профиль в удалённой рабочей среде;
• необходимо централизованно управлять расположением контейнеров.

Но контейнер не устраняет зависимость от сети. Если хранилище недоступно или работает медленно, пользователь не сможет быстро подключить профиль.

Для одного стабильного сервера локальный профиль может быть разумнее сложной контейнерной архитектуры. Для фермы RDS чаще требуется централизованная схема — UPD или FSLogix.

Как работают контейнеры профилей FSLogix

FSLogix устанавливается на серверы, где пользователи начинают сеансы. При входе служба определяет, должен ли пользователь получить контейнер, находит его на хранилище и подключает к операционной системе.

Схема выглядит так:

Пользователь
     │
     ▼
RDS Session Host
     │
     │ запрос профиля
     ▼
Общая папка SMB
     │
     ▼
Profile_username.vhdx
     │
     ▼
Профиль подключается к сеансу пользователя

Что находится внутри контейнера

Profile Container предназначен для хранения пользовательского профиля. В него могут попадать:

• пользовательская часть реестра;
• AppData;
• рабочий стол;
• настройки приложений;
• данные приложений, которые сохраняются в профиле;
• другие каталоги профиля Windows.

Контейнер не следует использовать как замену общей папке отдела. Документы, с которыми совместно работают несколько сотрудников, лучше хранить отдельно — на файловом сервере или в корпоративной системе управления документами.

Такое разделение упрощает резервное копирование и уменьшает размер профилей:

• контейнер отвечает за персональную рабочую среду;
• файловое хранилище отвечает за рабочие документы;
• общая папка отвечает за совместный доступ.

Как FSLogix находит контейнер

Один из основных параметров — VHDLocations. В нём задаётся UNC-путь к хранилищу, например:

\\fileserver.example.local\fslogix-profiles

Если контейнер пользователя уже существует, FSLogix пытается подключить его. Если контейнера нет, он создаётся в первом доступном расположении из настроенного списка.

Имя папки и файла может включать имя пользователя и SID — уникальный идентификатор его учётной записи. Использование SID помогает различать учётные записи даже при совпадении или последующем изменении имени пользователя.

Динамический размер не равен свободному месту

Контейнер может создаваться как динамический VHDX. В этом случае файл занимает на хранилище не весь разрешённый объём сразу, а растёт по мере заполнения.

Например, максимальный размер контейнера может быть задан как 30 ГБ, но новый профиль займёт значительно меньше места. При этом лимит всё равно остаётся максимальным: динамический контейнер не сможет бесконечно расти.

Размер нужно выбирать по измерениям:

• сколько занимает профиль нового пользователя;
• как быстро растут AppData и кэши;
• используются ли Outlook и Microsoft 365;
• какие приложения хранят данные в профиле;
• сколько свободного места нужно оставить на хранилище;
• как будет выполняться резервное копирование.

Назначать всем пользователям слишком большой лимит «на всякий случай» неудобно для планирования ёмкости. Слишком маленький лимит приведёт к ошибкам записи и проблемам приложений.

FSLogix не является отдельной лицензией для любого пользователя

Право использования FSLogix зависит от лицензий пользователей. В актуальной документации Microsoft среди подходящих вариантов перечислены RDS CAL, RDS SAL и ряд лицензий Microsoft 365, Windows Enterprise и Azure Virtual Desktop.

Перед внедрением нужно проверить не только наличие Windows Server и лицензий RDS, но и соответствие конкретной схемы актуальным условиям Microsoft.

Как спроектировать хранилище и права доступа

При FSLogix файловое хранилище становится частью процесса входа. Если оно медленное или недоступно, проблема затрагивает сразу многих пользователей.

Рассчитайте ёмкость по фактическим профилям

Перед проектированием соберите данные:

• количество активных пользователей;
• средний и максимальный размер профиля;
• суточный и месячный рост;
• число одновременных входов утром;
• используемые приложения;
• требования к сроку хранения резервных копий;
• необходимый запас свободного места.

Средний размер профиля нельзя просто умножить на количество пользователей без запаса. Часть контейнеров будет расти быстрее, а резервные копии и снимки хранилища потребуют дополнительной ёмкости.

Учитывайте нагрузку во время массового входа

Средняя нагрузка в течение дня может быть небольшой, но утром десятки пользователей одновременно подключают контейнеры, читают реестр, запускают приложения и применяют политики.

Поэтому важны:

• задержка между RDS и файловым сервером;
• производительность дисковой подсистемы;
• пропускная способность сети;
• количество одновременных операций;
• поведение антивируса;
• скорость резервного копирования.

Хранилище профилей желательно размещать близко к узлам RDS. Подключение контейнеров через медленный канал между площадками создаёт зависимость рабочего стола от внешней сети.

Настройте раздельные права пользователей

Пользователь должен иметь возможность создать или открыть собственный каталог, но не просматривать контейнеры коллег.

Рекомендуемая логика прав:

Для этого совмещают права общей папки SMB и NTFS ACL. Проверять нужно оба уровня: разрешение на общем ресурсе не компенсирует запрет NTFS и наоборот.

Microsoft рекомендует использовать CREATOR OWNER, чтобы создаваемый каталог принадлежал конкретному пользователю, и отдельно предоставить административной группе полный доступ.

Не переключайте доступ на учётную запись компьютера без необходимости

По умолчанию FSLogix подключает контейнер с правами пользователя. Параметр AccessNetworkAsComputerObject меняет эту логику и разрешает обращаться к хранилищу от имени компьютера.

Такой режим нужен только для определённых архитектур. Если разрешить компьютерным объектам доступ ко всем контейнерам без необходимости, границы безопасности станут шире.

Настройте антивирусные исключения осознанно

Антивирус может задерживать подключение контейнера, блокировать VHDX или проверять одни и те же данные на RDS-сервере и файловом хранилище.

Исключения должны соответствовать рекомендациям Microsoft и политике безопасности компании. Обычно проверяют:

• процессы и драйверы FSLogix;
• каталог программы;
• каталог журналов;
• файлы VHD и VHDX на хранилище;
• точки подключения контейнеров.

Не следует отключать антивирус для всего файлового сервера или всего профиля. Исключения должны быть точечными и проверенными после применения политики.

Учитывайте актуальные изменения Kerberos

Для Windows Server обновления 2026 года усилили требования к шифрованию Kerberos. Устаревшая конфигурация SMB-хранилища может привести к проблемам доступа к контейнерам после установки обновлений.

Перед обновлением узлов RDS и файлового сервера нужно проверить:

• используемые типы шифрования Kerberos;
• доменные учётные записи служб;
• совместимость файлового хранилища;
• успешное подключение контейнера на тестовом сервере.

Как внедрить FSLogix без массовых проблем со входом

FSLogix не стоит включать одновременно для всех сотрудников. Ошибка в пути, правах или групповой политике может заблокировать вход всей смене.

Проведите инвентаризацию

До установки соберите сведения о текущей среде:

• версии Windows Server на узлах;
• количество Session Host;
• способ хранения действующих профилей;
• размеры профилей;
• перечень критичных приложений;
• наличие UPD или roaming profiles;
• время входа и выхода пользователей;
• требования к одновременным сеансам;
• лицензии пользователей.

Отдельно определите, какие данные действительно относятся к профилю, а какие нужно перенести в пользовательские или общие файловые папки.

Подготовьте пилотную группу

Для пилота достаточно нескольких пользователей с разными сценариями:

• обычный офисный пользователь;
• сотрудник с крупным профилем;
• пользователь Outlook или Microsoft 365;
• сотрудник, работающий с несколькими бизнес-приложениями;
• администратор, который сможет проверить восстановление.

Пилотная группа должна работать на тех же узлах, с теми же политиками и хранилищем, которые планируются для основной среды.

Установите одинаковую версию на все узлы

Разные версии FSLogix на серверах одной фермы усложняют диагностику. Обновление лучше проводить поэтапно, но после проверки все рабочие узлы следует привести к одной согласованной версии.

Минимальная конфигурация профилей включает:

• включение Profile Container;
• путь VHDLocations;
• формат VHD или VHDX;
• максимальный размер;
• правила именования;
• группы включения и исключения;
• параметры журналирования.

Настройки удобнее централизованно применять через Group Policy, а не изменять вручную на каждом сервере.

Не включайте автоматическое удаление локального профиля без подготовки

Параметр DeleteLocalProfileWhenVHDShouldApply может удалить существующий локальный профиль, если для пользователя должен применяться контейнер FSLogix.

На первом этапе безопаснее:

1. Сохранить исходный профиль.
2. Создать контейнер для пилотного пользователя.
3. Перенести только необходимые данные проверенным способом.
4. Выполнить несколько входов и выходов.
5. Проверить работу приложений.
6. Проверить восстановление контейнера.
7. Только после этого решать, нужно ли удалять старый профиль.

Обычное копирование всего каталога C:\Users\username внутрь подключённого VHDX не является универсальным способом миграции. В профиле есть системные файлы, права и пользовательский реестр, которые нужно переносить с учётом состояния сеанса.

Проверьте не только первый вход

Успешный первый вход ещё не подтверждает работоспособность схемы. Во время пилота проверьте:

• повторный вход на тот же сервер;
• вход на другой Session Host;
• корректный выход;
• сохранение настроек приложений;
• работу после перезагрузки узла;
• поведение при кратковременной недоступности хранилища;
• заполнение контейнера;
• создание резервной копии;
• восстановление тестового профиля.

После пилота пользователей лучше подключать группами. Это уменьшает масштаб возможного сбоя и позволяет отслеживать рост нагрузки на хранилище.

Резервное копирование и диагностика профилей

Профиль пользователя может содержать важные настройки и рабочие данные, но контейнер не следует считать самостоятельной резервной копией. VHDX защищает структуру профиля, а не отказы хранилища, ошибочное удаление или повреждение данных.

Что нужно резервировать

Минимально требуется резервировать:

• файлы контейнеров VHD или VHDX;
• конфигурацию FSLogix;
• групповые политики;
• права общего ресурса и NTFS ACL;
• правила исключений;
• документацию по именованию и размещению контейнеров.

Копирование открытого VHDX обычной файловой операцией может дать несогласованную копию. Для рабочего хранилища лучше использовать механизм резервного копирования или снимков, который учитывает состояние файловой системы и открытых файлов.

Проверять нужно не только создание backup, но и восстановление:

1. Восстановить копию контейнера в отдельное место.
2. Не заменять действующий контейнер без проверки.
3. Подключить или исследовать восстановленную копию в изолированной среде.
4. Убедиться, что доступны нужные файлы и реестр профиля.
5. Зафиксировать порядок возврата контейнера пользователю.

Как искать причину медленного входа

Диагностику начинайте не с изменения десятков параметров, а с конкретного сеанса:

• какой пользователь столкнулся с проблемой;
• когда начался вход;
• на какой Session Host он попал;
• сколько занял вход;
• был ли подключён правильный контейнер;
• воспроизводится ли проблема на другом узле.

Затем проверьте последовательность:

1. Доступен ли контроллер домена и корректно ли работает DNS.
2. Доступно ли SMB-хранилище с проблемного Session Host.
3. Может ли пользователь открыть свой каталог.
4. Есть ли свободное место на хранилище и внутри контейнера.
5. Не занят ли VHDX другим сеансом.
6. Работает ли служба FSLogix.
7. Нет ли ошибок антивируса или блокировки файла.
8. Сколько времени заняли подключение контейнера и загрузка профиля.

Где находятся журналы FSLogix

События FSLogix доступны в Event Viewer:

Applications and Services Logs
└── FSLogix
    └── Apps
        ├── Admin
        └── Operational

Текстовые журналы находятся по адресу:

C:\ProgramData\FSLogix\Logs

Основной журнал профилей:

C:\ProgramData\FSLogix\Logs\Profile\Profile_%date%.log

Для поиска нужного входа используйте имя пользователя и время возникновения проблемы. В журнале полезно обращать внимание на:

• LoadProfile;
• Begin Session: Logon;
• Begin Session: Logoff;
• loadProfile time;
• unloadProfile time;
• сообщения [WARN];
• сообщения [ERROR].

Не следует анализировать только последнюю строку. Одна ошибка может быть следствием более ранней проблемы с доступом, сетью или подключением диска.

Что делать с заблокированным контейнером

VHDX может остаться подключённым после аварийного завершения сеанса или сбоя сервера. Следующий вход пользователя завершится ошибкой, поскольку контейнер уже открыт.

Перед освобождением файла проверьте:

1. Нет ли у пользователя активного или отключённого сеанса.
2. На каком сервере контейнер был подключён.
3. Работает ли этот Session Host.
4. Выполняется ли резервное копирование.
5. Какой процесс или сервер удерживает файл.

После устранения блокировки нужно проверить корректность следующего входа и причину, по которой контейнер не отключился штатно.

Почему появился временный профиль

Если пользователь получил временный профиль, проверьте:

• доступность VHDLocations;
• права на каталог пользователя;
• совпадение правил именования папок и файлов;
• наличие контейнера;
• свободное место;
• блокировку VHDX;
• журналы FSLogix;
• события User Profile Service;
• оставшийся локальный профиль;
• применение нужной групповой политики.

Параметры PreventLoginWithFailure и PreventLoginWithTempProfile позволяют не допускать пользователя к неполноценной рабочей среде при ошибке контейнера. Но включать их следует только после пилота: при неверной настройке они могут заблокировать вход большому числу сотрудников.

Заключение

Профиль пользователя — отдельный элемент архитектуры RDS. Пока используется один сервер, локальное хранение может быть достаточным. В ферме из нескольких узлов требуется централизованная схема, иначе пользователь будет получать разные настройки в зависимости от выбранного Session Host.

Перемещаемые профили, UPD и FSLogix решают похожую задачу разными способами. FSLogix удобен тем, что подключает профиль как контейнер и не копирует его целиком при каждом входе. Но результат зависит от производительности хранилища, сети, корректности прав и стабильности самого контейнера.

Начинать внедрение нужно с измерения существующих профилей и пилотной группы. Только после проверки входа, выхода, переключения между узлами, резервного копирования и восстановления схему можно распространять на остальных пользователей.

Что почитать дальше

Если вы проектируете или обслуживаете удалённую рабочую среду, полезно также изучить следующие материалы:

• Терминальный сервер на Windows Server: как работает RDS и когда он нужен бизнесу — базовая архитектура RDS и сценарии её применения.
• Виртуальные рабочие столы Windows: как использовать в Windows 10/11 и чем они отличаются от VDI — различия между локальными рабочими столами, RDS и VDI.
• Безопасное подключение к удалённому рабочему столу: как защитить RDP-доступ — сетевые ограничения и защита удалённого доступа.

Когда стоит обратиться к специалистам

Самостоятельная настройка возможна, если в инфраструктуре один сервер, небольшое количество пользователей и понятная схема хранения. Для фермы RDS ошибка в правах или групповой политике может одновременно нарушить вход большого числа сотрудников.

IPWAY предоставляет удалённые рабочие столы на Windows и помогает спроектировать рабочую среду с учётом числа пользователей, приложений, хранения профилей и требований к доступности.

Для самостоятельного развёртывания RDS можно подобрать Windows VPS с подходящими ресурсами процессора, оперативной памяти и дисковой подсистемы.

Кратко

• Локальный профиль подходит прежде всего для одного стабильного RDS-сервера.
• В ферме локальные профили создают разные рабочие среды на разных узлах.
• Roaming profile копирует данные при входе и выходе, поэтому чувствителен к размеру профиля.
• UPD и FSLogix хранят пользовательскую среду в виртуальном диске.
• Контейнер FSLogix не заменяет общую папку для рабочих документов.
• Скорость входа зависит от сети, файлового хранилища, прав и антивирусной проверки.
• Внедрение FSLogix следует начинать с пилотной группы и проверенного сценария возврата.
• Резервную копию контейнера нужно не только создавать, но и регулярно проверять восстановлением.