云桌面 D 盘根目录只能创建文件夹、不能新建文件，如何统一修复？
检查根目录高级权限、OI/CI 继承、用户 SID、持久磁盘与母版，再通过试点和脚本/GPO 分批修复。
适用范围与操作边界检查根目录高级权限、OI/CI 继承、用户 SID、持久磁盘与母版，再通过试点和脚本/GPO 分批修复。 排查前先确认影响范围和复现条件；任何变更都应保留备份、测试对象和明确的回退路径。
1. 结论与适用范围
排查前应准备虚拟化或 VDI 平台版本、Connection Server／宿主机／桌面池信息、客户端与 Agent 版本、网络与存储路径、相关日志，以及近期模板、策略或基础架构变更。文中不包含任何真实客户的主机名、IP 或账号。
该问题涉及“VMware Horizon 与云桌面”。如果已经影响办公、生产或数据安全，可先远程收集日志和配置；涉及批量权限、交换机链路、停机切换或恢复演练时，应安排受控实施窗口。
2. 现象与影响范围
- 保留完整报错、事件日志时间点和失败操作，不要只凭用户口述判断。
- 先记录影响范围、首次发生时间、是否持续复现，以及同网段和其他网段是否一致。
- 检查根目录高级权限、OI/CI 继承、用户 SID、持久磁盘与母版，再通过试点和脚本/GPO 分批修复。
3. 原因分析与检查步骤
- 云桌面数据盘问题需核对磁盘根目录 ACL、OI/CI 继承、用户 SID、母版设置和持久磁盘挂载状态。
- 能创建文件夹却不能新建或保存文件，通常是“创建文件/写入数据”与“创建文件夹/附加数据”的继承范围不一致。
- 核对根目录与子目录继承范围、仅此文件夹/子文件夹/文件等适用对象，避免权限只作用到部分对象。
- 使用“有效访问”检查用户通过组成员、继承和拒绝条目最终获得的权限。
- 一次只变更一个条件，并在变更前导出配置或记录当前状态。
- 保留完整报错、事件日志时间点和失败操作，不要只凭用户口述判断。
只读检查示例
icacls D:\ /save "%TEMP%\d-drive-acl.txt" /t命令中的服务器名、域名和路径必须替换为本企业已确认的值。不要复制未知环境中的真实 IP、域名或账号。
4. 处理方案与受控实施
优先使用只读查询、导出配置和单台验证。确认根因后，再选择修复对象、维护窗口和回退方式。母版或 GPO 变更应先建立测试池，验证登录、D 盘、打印、重定向和业务软件，再发布到生产桌面池。
- 使用“有效访问”检查用户通过组成员、继承和拒绝条目最终获得的权限。
- 一次只变更一个条件，并在变更前导出配置或记录当前状态。
- 保留完整报错、事件日志时间点和失败操作，不要只凭用户口述判断。
远程还是现场处理？单台或少量终端、配置与日志可远程获取时，通常可先远程判断；涉及交换机链路、机房布线、多网段批量变更或停机切换时，建议安排现场窗口。杭州及长三角可根据项目情况上门，其他地区可远程协助。
5. 验证、回退与常见误区
修复后不要只看“暂时能用”。应从用户操作、日志、重启/重新登录、不同网络位置和下一次策略/备份周期再次验证。
验证与回退检查
- 一次只变更一个条件，并在变更前导出配置或记录当前状态。
- Horizon 登录链路应分段验证客户端、Connection Server、域认证、桌面代理、显示协议和用户配置。
- 剪贴板、拖放和客户端磁盘重定向是不同通道，应分别验证方向、例外用户和实际数据路径。
常见错误做法
- 只增加虚拟机 CPU 或内存，不检查网络和认证链路。
- 在母版上直接批量修改权限而没有快照和回退点。
- 把不同传输通道误认为同一个开关。