如何在RDS环境的UPD中排除指定注册表路径漫游

一、文件路径排除（RDS原生配置） #

• 打开远程桌面会话主机配置
• 右键目标连接，选择属性→会话→用户配置文件→配置
• 在「排除的文件夹」中添加以下路径：
  • %localappdata%\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy
  • %localappdata%\Packages\Microsoft.Windows.CloudExperienceHost_cw5n1h2txyewy
  • %localappdata%\Packages\*\AC\TokenBroker（通配符*匹配任意应用包）
  • %localappdata%\Microsoft\TokenBroker

注：通配符仅支持在文件夹名称位置使用，需严格匹配路径格式

二、注册表项排除（组策略+脚本组合实现） #

RDS UPD无法直接排除注册表项，需通过以下方式处理：

1. 组策略阻止注册表漫游 #

• 打开组策略管理编辑器，定位到：用户配置 → 管理模板 → 系统 → 用户配置文件
• 启用排除漫游配置文件中的注册表路径策略，点击「显示」，添加以下路径（无需HKCU前缀）：
  • Software\Microsoft\IdentityCRL
  • Software\Microsoft\Windows\CurrentVersion\AAD
  • Software\Microsoft\Windows NT\CurrentVersion\WorkplaceJoin

2. 登录脚本清理存量注册表项（可选） #

若UPD中已同步目标注册表项，创建PowerShell脚本在用户登录时清理：

$regPaths = @(
    "HKCU:\SOFTWARE\Microsoft\IdentityCRL",
    "HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\AAD",
    "HKCU:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WorkplaceJoin"
)

foreach ($path in $regPaths) {
    if (Test-Path $path) {
        Remove-Item -Path $path -Recurse -Force -ErrorAction SilentlyContinue
    }
}

• 将脚本保存为CleanUPDReg.ps1，放置于域控制器Netlogon共享目录
• 通过组策略：用户配置 → 脚本(登录/注销) → 登录 添加该脚本

三、验证排除效果 #

• 让用户重新登录RDS会话
• 检查UPD磁盘（VHDX格式），确认排除的文件、注册表项未被同步
• 查看事件查看器：应用程序和服务日志 → Microsoft → Windows → User Profiles Service，确认排除规则生效

内容的提问来源于stack exchange，提问作者Callum Stones