Windows 2003 - Roaming Profiles

Para configurar roaming profiles de maneira segura optando por dar acesso ou não aos administradores às pastas dos usuários.
Primeiro criar uma pasta no servidor que deve ser compartilhada com o $ para segurança;

Share Permissions parent folder:

Exemplo criando a pasta d:\RProfiles, compartilhe como rprofiles$ com as seguintes permissões:

Everyone = Full Control

Caso desejar um ambiente mais seguro crie um grupo de segurança, por exemplo "RProfileUsers", adicione os devidos users a este grupo, e configure as permissões share:

Eveyone = No Permissions
RProfileUsers = Full Control

Para dar permissão aos administradores adicionar

Administrators = Full Control

NTFS Permissions parent folder:

Nas permissões NTFS da pasta pai, configure de acordo com modelo abaixo:

Creator/Owner = Full Control - Apply to Subfolders And Files Only (advanced)

Administrator = Full Control

RProfileUsers = List Folder/Read Data, Create Folders/Append Data - Apply onto: This Folder Only

Everyone = No Permissions

Local System = Full Control - Apply to This Folder, Subfolders And Files (advanced)

Para liberar acesso aos administradores para as pastas dos usuários configure a policy "Default Domain Policy -> Computer Configuration -> Windows Templates -> System -> User Profiles -> Add the Administrators security group to roaming user profiles" como Enabled. Após configurar, execute o comando "gpupdate". As estações que estiverem ligadas no momento em que a policy foi configurada no domínio, devem ser reiniciadas, ou executar o comando gpupdate na estação para entrar em vigor.

NTFS Permissions for Each Users Roaming Profile Folder (esta se configura automaticamente)

%Username% = Full Control, Owner Of Folder

Local System = Full Control

Administrators = No Permissions ou Full Control*

Everyone = No Permissions

* Depende da escolha feita acima na policy de liberar ou não acesso ao usuário ou grupo de administradores.

O caminho UNC deve ser configurado na aba Profile das propriedades de cada usuário da seguinte maneira:

Profile path: \\nomedoserver\rprofiles$\%username%