การปรับใช้เครื่องพิมพ์กับผู้ใช้โดเมนและคอมพิวเตอร์ที่มี GPO

คุณสามารถใช้นโยบายกลุ่ม (GPO) เพื่อติดตั้งและเชื่อมต่อเครื่องพิมพ์ที่ใช้ร่วมกันกับผู้ใช้ คอมพิวเตอร์ และกลุ่มเฉพาะในโดเมน Active Directory ในบทความนี้ เราจะดูวิธีเชื่อมต่อเครื่องพิมพ์ที่ใช้ร่วมกันโดยอัตโนมัติสำหรับผู้ใช้โดเมนเมื่อเข้าสู่ระบบคอมพิวเตอร์ Windows

พิจารณาการกำหนดค่าต่อไปนี้: มี 3 แผนกในองค์กร ผู้ใช้แต่ละแผนกต้องพิมพ์เอกสารบนเครื่องพิมพ์เครือข่ายสีของตนเอง ในฐานะผู้ดูแลระบบ คุณต้องกำหนดค่าการปรับใช้เครื่องพิมพ์ที่ใช้ร่วมกันโดยอัตโนมัติสำหรับผู้ใช้โดยขึ้นอยู่กับแผนกของพวกเขา

การปรับใช้เครื่องพิมพ์กับผู้ใช้โดเมนผ่าน Group Policy

สร้างกลุ่มความปลอดภัยใหม่สามกลุ่มใน AD (SharedPrinter_Sales, SharedPrinter_IT, SharedPrinter _Managers) และเพิ่มผู้ใช้แผนก (คุณสามารถเพิ่มผู้ใช้โดยอัตโนมัติใน กลุ่มโดเมนตามบทความ “การสร้างกลุ่มไดนามิกใน Active Directory”) คุณสามารถสร้างกลุ่มในคอนโซลผู้ใช้ Active Directory และคอมพิวเตอร์ (

dsa.msc

, ADUC) หรือใช้ New-ADGroup cmdlet:

New-ADGroup "SharedPrinter_Sales" -path 'OU=Groups,OU=Paris,DC=a-d,DC=com' -GroupScope Global -PassThru

1. เรียกใช้ตัวแก้ไขนโยบายกลุ่มของโดเมน (

   GPMC.msc

   ) สร้างนโยบายใหม่ print_AutoConnect และเชื่อมโยงกับ OU กับผู้ใช้เป้าหมาย

   

   หากคุณมีเครื่องพิมพ์เครือข่ายที่ใช้ร่วมกันจำนวนน้อยในโดเมนของคุณ (มากถึง 30-50 เครื่อง) คุณสามารถกำหนดค่าโดยใช้ GPO เดียว หากคุณมีโครงสร้างโดเมนที่ซับซ้อนซึ่งมีไซต์ AD หน่วยขององค์กร (OU) และมอบหมายงานการดูแลระบบ AD ให้กับผู้ดูแลระบบสาขา จะเป็นการดีกว่าหากสร้างนโยบายการปรับใช้เครื่องพิมพ์หลายเครื่อง ตัวอย่างเช่น หนึ่งนโยบายสำหรับแต่ละไซต์โฆษณาหรือหน่วยองค์กร (OU)

2. เปลี่ยนเป็นโหมดแก้ไขนโยบายและขยาย การกำหนดค่าผู้ใช้ -> ค่ากำหนด -> การตั้งค่าแผงควบคุม -> เครื่องพิมพ์ สร้างรายการนโยบายใหม่โดยเลือก ใหม่ -> เครื่องพิมพ์ที่ใช้ร่วมกัน

   หากคุณต้องการเชื่อมต่อเครื่องพิมพ์เครือข่ายด้วยที่อยู่ IP (โดยตรงโดยไม่มีเซิร์ฟเวอร์การพิมพ์) ให้เลือก เครื่องพิมพ์ TCP/IP

   

3. ระบุ อัปเดต เป็นการดำเนินการ ในฟิลด์ เส้นทางที่ใช้ร่วมกัน ให้ป้อนที่อยู่ UNC ของเครื่องพิมพ์ที่ใช้ร่วมกันของคุณ เช่น

   \\srv-par-print\hpsales

   (ในกรณีของฉันเครื่องพิมพ์ทั้งหมดเชื่อมต่อกับเซิร์ฟเวอร์การพิมพ์

   \\srv-par-print

   ). ที่นี่คุณสามารถระบุว่าจะตั้งค่าเครื่องพิมพ์นี้เป็นเครื่องพิมพ์เริ่มต้นหรือไม่

   

   คุณสามารถเผยแพร่เครื่องพิมพ์ที่ใช้ร่วมกันของคุณใน Active Directory ในการทำเช่นนี้ ให้เปิดใช้งานตัวเลือก รายการในไดเรกทอรี ในการตั้งค่าเครื่องพิมพ์บนแท็บ การใช้ร่วมกัน

   

   ในกรณีนี้ คุณสามารถค้นหาเครื่องพิมพ์ของคุณโดยการค้นหา AD (ไม่จำเป็นต้องป้อนชื่อเครื่องพิมพ์ด้วยตนเอง) เพียงคลิกปุ่มสามจุดเมื่อคุณเลือกเครื่องพิมพ์ คลิกปุ่ม ค้นหาเลย แล้วเลือกชื่อเครื่องพิมพ์แบบจุดจากรายการ

   

4. ไปที่แท็บ ทั่วไป และระบุว่าเครื่องพิมพ์ต้องเชื่อมต่อในบริบทของผู้ใช้ปัจจุบัน (เรียกใช้ในบริบทด้านความปลอดภัยของผู้ใช้ที่เข้าสู่ระบบ) นอกจากนี้ ให้เลือกตัวเลือก การกำหนดเป้าหมายระดับรายการ แล้วคลิก การกำหนดเป้าหมาย

5. เมื่อใช้การกำหนดเป้าหมาย GPP คุณต้องระบุนโยบายการเชื่อมต่อเครื่องพิมพ์นี้ควรใช้กับสมาชิกกลุ่ม SharedPrinter_Sales เท่านั้น ในการดำเนินการ ให้ไปที่ รายการใหม่ -> กลุ่มความปลอดภัย และป้อน SharedPrinter_Sales เป็นชื่อกลุ่ม

   

   โปรดทราบว่าข้อจำกัดนี้ไม่ได้ป้องกันผู้ใช้โดเมนจากการเชื่อมต่อเครื่องพิมพ์นี้ด้วยตนเองโดยใช้ File Explorer หากต้องการจำกัดการเข้าถึงเครื่องพิมพ์ คุณจะต้องเปลี่ยนสิทธิ์การรักษาความปลอดภัยของเครื่องพิมพ์บนเซิร์ฟเวอร์การพิมพ์และอนุญาตการพิมพ์สำหรับกลุ่มที่ระบุเท่านั้น

6. สร้างตัวเลือกการติดตั้งเครื่องพิมพ์เครือข่ายสำหรับกลุ่มผู้ใช้อื่นด้วยวิธีเดียวกัน

   

ตรวจสอบว่าเครื่องพิมพ์เครือข่ายที่ใช้ร่วมกันเชื่อมต่อโดยอัตโนมัติเมื่อผู้ใช้เข้าสู่ระบบคอมพิวเตอร์ Windows ที่เข้าร่วมโดเมน

เมื่อใช้นโยบายกลุ่มนี้ เครื่องพิมพ์ใหม่จะถูกติดตั้งสำหรับผู้ใช้ก็ต่อเมื่อมีการติดตั้งไดรเวอร์การพิมพ์ที่เหมาะสมในคอมพิวเตอร์ของตนแล้วเท่านั้น (ต้องติดตั้งไดรเวอร์ด้วยตนเองก่อนหรือรวมเข้ากับอิมเมจของ Windows โดยตรง)

หากไม่มีการติดตั้งไดรเวอร์สำหรับเครื่องพิมพ์นี้ เครื่องพิมพ์ที่กำหนดผ่าน GPO จะไม่ถูกเพิ่มให้กับผู้ใช้ ในกรณีนี้ เหตุการณ์ที่มี ID เหตุการณ์ 4096 จะปรากฏในบันทึกเหตุการณ์ -> บันทึกแอปพลิเคชัน:

Source: Group Policy PrintersThe user 'HPLaserJet400' preference item in the 'prnt_AutoConnect}' Group Policy Object did not apply because it failed with error code '0x800702e4 The requested operation requires elevation.' This error was suppressed.

ความจริงก็คือ ขณะนี้ผู้ใช้ Windows ที่ไม่มีสิทธิ์ของผู้ดูแลระบบไม่สามารถติดตั้งไดรเวอร์เครื่องพิมพ์ได้ แม้ว่าจะตั้งค่านโยบายการจำกัดจุดและการพิมพ์แล้วก็ตาม

อนุญาตให้ผู้ใช้ที่ไม่ใช่ผู้ดูแลระบบติดตั้งไดรเวอร์เครื่องพิมพ์ผ่าน GPO

ในปี 2021 มีการค้นพบช่องโหว่ที่สำคัญในบริการตัวจัดคิวงานพิมพ์ เพื่อแก้ไขปัญหาที่ Microsoft เปลี่ยนพฤติกรรมเริ่มต้นของ Windows เมื่อติดตั้งไดรเวอร์การพิมพ์ (PrintNightmare CVE-2021-34527) ขณะนี้ผู้ใช้ที่ไม่มีสิทธิ์ของผู้ดูแลระบบจะไม่สามารถติดตั้งไดรเวอร์เครื่องพิมพ์ (KB5005033) รวมถึงการใช้ตัวเลือก Point and Print Restriction GPO ไดรเวอร์ Windows (ที่ลงชื่อและไม่ได้ลงชื่อ) ควรติดตั้งโดยผู้ดูแลระบบเท่านั้น

อย่างไรก็ตาม มีวิธีแก้ไขปัญหาที่จะอนุญาตให้ผู้ใช้ที่ไม่ใช่ผู้ดูแลระบบสามารถติดตั้งไดรเวอร์เครื่องพิมพ์ได้ ในการทำเช่นนี้ คุณต้องเปลี่ยน GPO ของคุณ

1. ไปที่ส่วน GPO ต่อไปนี้ การกำหนดค่าคอมพิวเตอร์ -> การตั้งค่า Windows -> การตั้งค่าความปลอดภัย -> นโยบายท้องถิ่น -> ตัวเลือกความปลอดภัย เปิดใช้งานตัวเลือก อุปกรณ์: ป้องกันไม่ให้ผู้ใช้ติดตั้งไดรเวอร์เครื่องพิมพ์

2. ตอนนี้ไปที่การกำหนดค่าคอมพิวเตอร์ -> นโยบาย -> เทมเพลตการดูแลระบบ -> ระบบ -> การติดตั้งไดรเวอร์ เพิ่ม GUID คลาสอุปกรณ์เครื่องพิมพ์ในพารามิเตอร์ อนุญาตให้ผู้ที่ไม่ใช่ผู้ดูแลระบบติดตั้งไดรเวอร์สำหรับคลาสการตั้งค่าอุปกรณ์เหล่านี้

   {4658ee7e-f050-11d1-b6bd-00c04fa372a7}

   และ

   {4d36e979-e325-11ce-bfc1-08002be10318}

   . สิ่งนี้จะอนุญาตให้ติดตั้งไดรเวอร์การพิมพ์เท่านั้น

3. ไปที่ การกำหนดค่าคอมพิวเตอร์ -> นโยบาย -> เทมเพลตการดูแลระบบ -> เครื่องพิมพ์ เปิดใช้งานนโยบาย การจำกัดจุดและการพิมพ์ ที่นี่คุณต้องระบุรายการเซิร์ฟเวอร์การพิมพ์ของคุณ (ผู้ใช้สามารถชี้และพิมพ์ไปยังเซิร์ฟเวอร์เหล่านี้เท่านั้น) ซึ่งคุณได้รับอนุญาตให้ติดตั้งไดรเวอร์การพิมพ์ เลือก ไม่แสดงคำเตือนหรือแจ้งระดับความสูง สำหรับสองตัวเลือกที่เหลือ

   

4. เพิ่มรายการเซิร์ฟเวอร์การพิมพ์ที่เชื่อถือได้ของคุณไปยังพารามิเตอร์ Package Point and print — Approved servers

   

5. (มาถึงจุดที่สำคัญที่สุดแล้ว!!) หากต้องการอนุญาตให้ติดตั้งไดรเวอร์เครื่องพิมพ์โดยไม่มีสิทธิ์ของผู้ดูแลระบบ (สำหรับผู้ใช้ที่ไม่ใช่ผู้ดูแลระบบ) คุณต้องเปลี่ยนค่าของพารามิเตอร์รีจิสทรี RestrictDriverInstallationToAdministrators เป็น 0 เป็นการชั่วคราว

ในคอมพิวเตอร์แบบสแตนด์อโลน คุณสามารถเปลี่ยนพารามิเตอร์รีจิสทรีนี้ได้ด้วยคำสั่ง:

reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 0 /f

หากต้องการเปลี่ยนพารามิเตอร์รีจิสทรีนี้ในคอมพิวเตอร์ของผู้ใช้ผ่าน GPO คุณต้องสร้างกฎ Group Policy Preferences ใหม่ภายใต้ Computer Configuration -> Preferences -> Windows Settings -> Registry สร้างพารามิเตอร์รีจิสทรีด้วยการตั้งค่าต่อไปนี้:

Action: Replace
Hive: HKEY_LOCAL_MACHINE
Key path: Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
Value name: RestrictDriverInstallationToAdministrators
Type: REG_DWORD
Value: 0

ไปที่แท็บ ทั่วไป และเปิดใช้งานตัวเลือก นำรายการนี้ออกเมื่อไม่ได้ใช้อีกต่อไป

ตอนนี้อัปเดตการตั้งค่า GPO บนไคลเอนต์ (ลงชื่อเข้าใช้ใหม่หรือเรียกใช้ไฟล์

gpupdate /force

คำสั่ง) และตรวจสอบว่าไดรเวอร์จากเซิร์ฟเวอร์การพิมพ์ได้รับการติดตั้งโดยอัตโนมัติแล้ว เหตุการณ์ MsiInstaller ควรปรากฏในบันทึกของแอปพลิเคชัน:

EventID 1040
Beginning a Windows Installer transaction: C:\Windows\system32\spool\DRIVERS\x64\3\CIOUM64.MSI. Client Process Id: 7240.

GPO ดังกล่าวจะอนุญาตให้ผู้ใช้ที่ไม่ใช่ผู้ดูแลระบบสามารถติดตั้งเครื่องพิมพ์และไดรเวอร์ที่ใช้ร่วมกันจากเซิร์ฟเวอร์การพิมพ์ที่ระบุโดยไม่ต้องแจ้งให้ยกระดับหรือการแจ้งเตือนใดๆ

RestrictDriverInstallationToAdministrators = 1

โปรดทราบว่าเฉพาะไดรเวอร์เครื่องพิมพ์ที่ลงชื่อ (ไดรเวอร์การพิมพ์ Package-aware v3) เท่านั้นที่สามารถติดตั้งด้วยวิธีนี้ (โดยมีค่า Packaged=True ในส่วน ไดรเวอร์ ของคอนโซลการจัดการการพิมพ์ -

printmanagement.msc

). ดูบทความ ไม่สามารถติดตั้งโปรแกรมควบคุมการพิมพ์แบบ non-package-aware

หากคุณพยายามติดตั้งเครื่องพิมพ์ด้วยไดรเวอร์ที่ไม่ได้ลงนามผ่าน GPO เครื่องพิมพ์จะไม่ถูกปรับใช้แม้จะมีพารามิเตอร์ RestrictDriverInstallationToAdministrators:

The user 'HP2500' preference item in the 'prnt_AutoConnect {GUID}' Group Policy Object did not apply because it failed with error code '0x80070bcb The specified printer driver was not found on the system and needs to be downloaded.' This error was suppressed.