Cómo usar perfiles de usuario obligatorios (de solo lectura) en Windows

Cómo configurar un perfil obligatorio en Windows que realmente funcione

Gestionar perfiles obligatorios en Windows no es precisamente sencillo, sobre todo si intentas bloquear una estación compartida o de quiosco. A veces, tras configurarlo, los usuarios realizan cambios que persisten o, peor aún, se producen daños en los perfiles porque los permisos no son correctos. Es un poco extraño cómo Windows gestiona esto, pero con algunos ajustes, puedes conseguir una experiencia de solo lectura impecable. Esta guía explica cómo crear un perfil obligatorio local que permanece en solo lectura, además de todos los permisos y la configuración del registro necesarios. Puede resultar un poco tedioso, pero una vez configurado, los perfiles no guardarán ningún cambio no deseado, lo cual es perfecto para configuraciones públicas, laboratorios o quioscos de información.

Tipos de perfiles de usuario obligatorios en Windows

Un perfil obligatorio es básicamente un perfil predefinido por un administrador, al que los usuarios pueden iniciar sesión, pero no modificar. Es como una plantilla. Al cerrar sesión, todo lo que hizo desaparece. Windows puede almacenar estos perfiles localmente o en la red, haciéndolos disponibles en varios equipos si es necesario.

Existen principalmente dos tipos de sabores:

• Perfil de usuario obligatorio normal : Le das a Windows una copia del archivo NTuser.dat, le cambias el nombre a NTuser.man y, ¡listo!, Windows sabe que es de solo lectura. Al iniciar sesión, los usuarios pueden hacer lo que quieran, pero no se guardan los cambios al cerrarla. Si está en una carpeta de red compartida, se conservarán las versiones en caché si la red falla, pero el perfil permanece intacto.
• Perfil de usuario superobligatorio : Aquí, se renombra toda la carpeta del perfil añadiendo la extensión .man, y ahora está totalmente bloqueada. Los usuarios no pueden iniciar sesión si el servidor del perfil no está disponible, por lo que se trata de un enfoque más estricto. Se suele usar en entornos muy bloqueados.

Cómo crear un perfil obligatorio en Windows

Hay muchas maneras de hacerlo, pero la más sencilla (y fiable) es copiar el perfil predeterminado, modificarlo y configurarlo como de solo lectura. Aquí te explicamos cómo hacerlo sin caer en errores.

Creación de una carpeta de perfil de solo lectura

• Inicia sesión como administrador (sí, es obligatorio) y abre lusrmgr.msc, la consola de Usuarios y Grupos Locales. Crea un nuevo usuario, por ejemplo, ConfRoom, solo para probar.
• Cierra sesión y vuelve a iniciarla como administrador. Ajusta tu entorno (configura el fondo, los accesos directos, etc.).Cuando estés satisfecho, cierra sesión.
• Copie el perfil predeterminado en una carpeta personalizada. No copie la carpeta sin más; es mejor hacerlo en Propiedades del sistema > Avanzadas > Perfiles de usuario. Vaya a Configuración, seleccione Perfil predeterminado, haga clic en Copiar a y especifique un nuevo directorio como [Nombre del C:\ReadOnlyProfile. V6usuario].Asegúrese de añadir .V6 para diferenciarlo; este sufijo es importante para las versiones más recientes de Windows.
• En este punto, haga clic derecho en la nueva carpeta en el Explorador, vaya a Propiedades y, en Seguridad, otorgue los permisos adecuados:
  • Permitir NT AUTHORITY\Usuarios autenticados con control total. NO marque la casilla de Perfil obligatorio ; esa es una configuración diferente.
  • Asegúrese de que todos o los grupos relevantes tengan al menos Leer y ejecutar.
• Opcional: En Windows 10 1709 y versiones posteriores, es posible que vea una casilla de verificación para «Convertir el perfil en solo lectura» al copiarlo. Habilítela si está disponible. Esto configura automáticamente los atributos de la carpeta.

Configurar NTUSER. MAN para persistencia

• Vuelva a iniciar sesión como administrador y luego navegue a C:\ReadOnlyProfile. V6.
• Cambie el nombre del archivo NTUSER. DAT a NTUSER. MAN. Es fácil hacerlo mediante la línea de comandos:

  ren C:\ReadOnlyProfile. V6\NTUSER. DAT NTUSER. MAN

• Este es el paso clave: Windows reconoce NTUSER. MAN como un perfil de solo lectura que no se modifica durante las sesiones.

Asignar el perfil de solo lectura a un usuario

Ahora que la carpeta de perfil está lista, el siguiente paso es vincularla a su cuenta de usuario.

Uso de usuarios locales o cuentas de dominio

• Vaya a Propiedades del sistema : presione Win + R, escriba sysdm.cpl, presione Enter.
• Haga clic en Avanzado, luego en Perfiles y presione Configuración.
• Seleccione la cuenta de usuario a la que desea asignar el perfil y luego haga clic en Copiar a.
• Especifique C:\ReadOnlyProfile. V6como ubicación del perfil, guarde.

Como alternativa, si trabaja en un entorno de Active Directory, vaya a Usuarios y equipos de Active Directory (ADUC), abra las propiedades del usuario y configure la Ruta de perfil en un recurso compartido UNC que apunte a la carpeta.

Establecer permisos para un uso seguro

• Haga clic derecho en la carpeta de perfil en el Explorador, vaya a Propiedades > Seguridad.
• Establezca los permisos de la siguiente manera:
  • TODOS LOS PAQUETES DE APLICACIONES : Control total (esto es *súper* importante para el menú de inicio y la compatibilidad de las aplicaciones)
  • Usuarios autenticados : lectura y ejecución
  • SISTEMA — Control total
  • Administradores — Control total
• En el registro, cargue el subárbol del usuario ( Archivo > Cargar subárbol ) C:\ReadOnlyProfile. V6\NTUSER. MAN. Otorgue los permisos correspondientes (especialmente » Control total a usuarios autenticados» y «Paquetes de aplicación «) y luego descargue el subárbol.

Ajustes finales y configuración de la directiva de grupo

• Abra gpedit.msc y navegue a:
  • Configuración del equipo > Políticas > Plantillas administrativas > Sistema > Perfiles de usuario : habilite la opción Eliminar copias en caché de perfiles móviles.
  • Sistema > Mostrar la primera animación de inicio de sesión : deshabilite esta opción para un inicio de sesión más limpio.
  • OOBE > No iniciar la configuración de privacidad — Habilitar.
• Si utiliza perfiles móviles, cree un DWORD llamado SpecialRoamingOverrideAllowed con valor 1 HKLM\Software\Microsoft\Windows\CurrentVersion\Explorerpara mostrar el menú Inicio correctamente para escenarios de usuarios móviles.

Pruebe el perfil

Inicie sesión con el usuario de este perfil y realice algunos cambios (fondo, accesos directos, configuración del software) y luego cierre la sesión. Confirme que todos los cambios desaparezcan, lo que confirma que el perfil es realmente de solo lectura. Use el siguiente comando de PowerShell para verificar el modo del perfil:

gwmi win32_userprofile | select localpath, roamingpath, status

Resultado esperado: El estado = 4 indica un perfil obligatorio.

Una cosa es segura: los permisos son el mayor problema, así que revísalos bien. Además, recuerda que siempre puedes modificar el archivo NTUSER. MAN si necesitas hacer cambios en el entorno más adelante: simplemente renómbralo de nuevo a NTUSER. DAT, haz los ajustes y luego vuelve a convertirlo.

Resumen

Si está configurando quioscos, laboratorios o PC públicos, este proceso debería evitar que los perfiles de usuario dañen su sistema. Es una combinación de permisos, ajustes de registro y carpetas, pero una vez bloqueado, los usuarios no podrán dejar su marca en el perfil. Tenga cuidado con los problemas de permisos: suelen ser los culpables de que los perfiles funcionen mal.

Resumen

• Puede crear un perfil obligatorio de solo lectura copiando Predeterminado y cambiando el nombre de NTUSER. DAT a NTUSER. MAN
• Establezca los permisos adecuados en la carpeta de perfil para evitar que los usuarios realicen cambios
• Vincular el perfil a través de las propiedades del sistema o Active Directory
• Verifique los permisos periódicamente para evitar problemas de inicio de sesión extraños
• Utilice ajustes de la directiva de grupo para una experiencia más limpia y mejor

Solo algo que, con suerte, le ahorre horas a alguien. Cruzo los dedos para que ayude.