В моей конфигурации терминального сервера Application Data, Desktop и My Documents редиректятся в пользовательские каталоги, учавствуют в бекапах и т.д.

Применялась к пользователю политика "все по умолчанию запрещено", и добавлялись в security path разрешенные для запуска c:\program files, d:\program files.

Проблема состояла в следующем: на десктопе юзера, или в меню (которые, как мы помним, редиректятся) есть ярлыки на разрешенные приложения: 1C, Word и т.д.
Так вот, т.к. сами ярлыки находились в сети, то разрешения на запуск, соответственно не было и НИ ОДИН ЯРЛЫК НЕ РАБОТАЛ.

Сначала решил добавить в unrestricted сетевые пути профилей, но потом быстро отказался, т.к. это позволяло запускать приложения просто скопировав на рабочий стол.

Решение просто, но гениально: разрешаем к запуску path ... *.lnk !!!

Таким образом при запуске lnk запрещенные приложение не в нужных путях все равно не запустятся! 

Вот, непонятно откуда взявшаяся иконка Outlook Express, которой нет ни в All Users Profile, ни в Default Profile, хотел удалить для новых юзеров, но откуда?

Как описано в  KB250380 необходимо убить ключи реестра

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C}

и

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{7790769C-0471-11d2-AF11-00C04FA35D02}

это освободит юзеров от ненужной иконки Outlook Express 

Если кто не понимает, могу перевести.
http://support.microsoft.com/kb/q284193/ 

http://office.microsoft.com/en-us/assistance/HA011402681033.aspx
http://www.microsoft.com/office/orkarchive/2003ddl.htm 

Registry Settings

User Key: [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ Explorer]
System Key: [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\ Explorer]

Value Name:
HideClock Data Type: REG_DWORD
(DWORD Value) Value Data: (0 = Show Clock, 1 = Hide Clock)  

Set objNetwork = CreateObject("WScript.Network")
objNetwork.MapNetworkDrive "U:", "\\it\dfs" 

Групповой политикой установить в

Computer Configuration->Administrative templates->Terminal services->Set path for TS Roaming Users

Что даст возможность сохранения Roaming profiles в сетевой шаре, и, в конечном счете при падении сервера не терять настройки.

 

Чтобы обновить групповую политику для пользователей, введите

 secedit /refreshpolicy user_policy 

Для обновления групповых политик, применяемых к компьютеру, введите

 secedit /refreshpolicy machine_policy

UPDATED: в Windows XP это делается через gpupdate

 

По умолчанию, если сервер не указан, клиент пытается разрешить имя “ica” в адрес IP.

Это обозначается виртуальным именем “ica” в списке Address List. Такая особенность позволяет создать в DNS или WINS запись о хосте с именем “ica” и корректным адресом IP сервера, который может обслужить запросы XML от клиентов. Совет: Вы можете настроить у клиента циклический DNS (round-robin DNS), назначив одному имени “ica” нескольким адресам IP серверов, обслуживающих запросы XML. Это позволит избежать индивидуальных настроек поиска серверов у клиентов 

А вот так, файл должен иметь расширение vbs.


------------------------------------------ addNetPrinter.vbs ---------------------------
Dim net
Set net = CreateObject("WScript.Network")
net.AddWindowsPrinterConnection "\\dc\hp1200floor5"
------------------------------------------------------------------------------------------