Yazıcıları GPO ile Etki Alanı Kullanıcılarına ve Bilgisayarlara Dağıtma

Bir Active Directory etki alanındaki belirli kullanıcılara, bilgisayarlara ve gruplara paylaşılan yazıcılar yüklemek ve bağlamak için Grup İlkelerini (GPO'lar) kullanabilirsiniz. Bu makalede, bir Windows bilgisayarda oturum açtıklarında bir etki alanı kullanıcısı için paylaşılan bir yazıcıyı otomatik olarak nasıl bağlayacağımıza bakacağız.

Aşağıdaki yapılandırmayı göz önünde bulundurun: kuruluşta 3 departman var. Her departmanın kullanıcıları belgeleri kendi renkli ağ yazıcılarında yazdırmalıdır. Bir yönetici olarak, departmanlarına bağlı olarak kullanıcılar için paylaşılan yazıcıların otomatik dağıtımını yapılandırmanız gerekir.

Yazıcıları Grup İlkesi Yoluyla Etki Alanı Kullanıcılarına Dağıtma

AD'de üç yeni güvenlik grubu oluşturun (SharedPrinter_Sales, SharedPrinter_IT, SharedPrinter _Managers) ve departman kullanıcılarını bunlara ekleyin (kullanıcıları otomatik olarak “Active Directory'de Dinamik Grup Oluşturma” makalesini takip ederek etki alanı grupları). Active Directory Kullanıcıları ve Bilgisayarları konsolunda gruplar oluşturabilirsiniz (

dsa.msc

, ADUC) veya New-ADGroup cmdlet'ini kullanarak:

New-ADGroup "SharedPrinter_Sales" -path 'OU=Groups,OU=Paris,DC=a-d,DC=com' -GroupScope Global -PassThru

1. Etki alanı Grup İlkesi düzenleyicisini çalıştırın (

   GPMC.msc

   ), yeni bir print_AutoConnect politikası oluşturun ve bunu hedef kullanıcılarla kuruluş birimine bağlayın;

   

   Etki alanınızda az sayıda paylaşılan ağ yazıcınız varsa (en fazla 30-50), bunları tek bir GPO kullanarak yapılandırabilirsiniz. AD siteleri, Kuruluş Birimleri (OU'lar) içeren karmaşık bir etki alanı yapınız varsa ve bazı AD yönetim görevlerini şube yöneticilerine devrediyorsanız, birden çok yazıcı dağıtım ilkesi oluşturmak daha iyidir. Örneğin, her AD sitesi veya Kuruluş Birimi (OU) için bir ilke.

2. İlke düzenleme moduna geçin ve Kullanıcı Yapılandırması -> Tercihler -> Denetim Masası Ayarı -> Yazıcılar'ı genişletin. Yeni -> Paylaşılan Yazıcı'yı seçerek yeni bir ilke öğesi oluşturun;

   Bir ağ yazıcısını IP adresine göre (doğrudan, baskı sunucusu olmadan) bağlamak istiyorsanız, TCP/IP Yazıcı'yı seçin.

   

3. Bir eylem olarak Güncelle'yi belirtin. Paylaşılan Yol alanına, paylaşılan yazıcınızın UNC adresini girin; örneğin,

   \\srv-par-print\hpsales

   (benim durumumda tüm yazıcılar baskı sunucusuna bağlı

   \\srv-par-print

   ). Burada, bu yazıcıyı varsayılan yazıcı olarak ayarlayıp ayarlamayacağınızı belirleyebilirsiniz;

   

   Paylaşılan yazıcılarınızı Active Directory'de yayınlayabilirsiniz. Bunu yapmak için, Paylaşım sekmesindeki yazıcı ayarlarında Dizindeki Liste seçeneğini etkinleştirin.

   

   Bu durumda, AD'yi arayarak yazıcınızı bulabilirsiniz (yazıcı adını manuel olarak girmenize gerek yoktur). Yazıcınızı seçtiğinizde üç nokta düğmesini tıklamanız, Şimdi bul düğmesini tıklamanız ve listeden noktalı yazıcı adını seçmeniz yeterlidir.

   

4. Ortak sekmesine gidin ve yazıcının geçerli kullanıcı bağlamında bağlanması gerektiğini belirtin (Oturum açmış kullanıcının güvenlik bağlamında çalıştır). Ayrıca, Öğe düzeyinde hedefleme seçeneğini işaretleyin ve Hedefleme'yi tıklayın;

5. GPP hedeflemeyi kullanarak, bu yazıcı bağlantı politikasının yalnızca SharedPrinter_Sales grubu üyeleri için geçerli olacağını belirtmeniz gerekir. Bunu yapmak için Yeni Öğe -> Güvenlik Grubu'na gidin ve grup adı olarak SharedPrinter_Sales yazın;

   

   Lütfen bu kısıtlamanın, bir etki alanı kullanıcısının bu yazıcıyı Dosya Gezgini'ni kullanarak manuel olarak bağlamasını engellemediğini unutmayın. Yazıcıya erişimi kısıtlamak için, yazdırma sunucusundaki yazıcı güvenlik izinlerini değiştirmeniz ve yalnızca belirli gruplar için yazdırmaya izin vermeniz gerekecektir.

6. Diğer kullanıcı grupları için de aynı şekilde ağ yazıcısı kurulum seçenekleri oluşturun.

   

Kullanıcılar etki alanına katılmış Windows bilgisayarlarda oturum açtıklarında, paylaşılan ağ yazıcılarının artık otomatik olarak bağlanıp bağlanmadığını kontrol edin.

Bu Grup İlkesini kullanırken, yeni yazıcılar yalnızca bilgisayarlarında uygun yazıcı sürücüsü kuruluysa kullanıcılar için kurulacaktır (sürücüler önce manuel olarak kurulmalı veya doğrudan Windows görüntüsüne entegre edilmelidir).

Bu yazıcı için herhangi bir sürücü yüklenmemişse, GPO aracılığıyla atanan yazıcı kullanıcıya eklenmeyecektir. Bu durumda, Olay Günlüğü -> Uygulama günlüğünde Olay Kimliği 4096 olan bir olay görünecektir:

Source: Group Policy PrintersThe user 'HPLaserJet400' preference item in the 'prnt_AutoConnect}' Group Policy Object did not apply because it failed with error code '0x800702e4 The requested operation requires elevation.' This error was suppressed.

Gerçek şu ki, artık yönetici ayrıcalıklarına sahip olmayan Windows kullanıcıları, İşaretle ve Yazdır Kısıtlaması politikası ayarlanmış olsa bile bir yazıcı sürücüsü kuramazlar.

Yönetici Olmayan Kullanıcıların GPO Yoluyla Yazıcı Sürücülerini Kurmasına İzin Ver

2021'de, yazdırma biriktirici hizmetinde, Microsoft'un yazdırma sürücülerini yüklerken Windows'un varsayılan davranışını değiştirdiğini düzeltmek için kritik bir güvenlik açığı keşfedildi (PrintNightmare CVE-2021-34527). Artık yönetici izinleri olmayan kullanıcılar, İşaretle ve Yazdır Kısıtlama GPO seçeneğini kullanmak da dahil olmak üzere yazıcı sürücülerini (KB5005033) yükleyemez. Windows sürücüleri (imzalı ve imzasız) yalnızca yöneticiler tarafından kurulmalıdır.

Ancak, yönetici olmayan kullanıcıların yazıcı sürücülerini yüklemesine izin verecek bir geçici çözüm vardır. Bunu yapmak için GPO'nuzu değiştirmeniz gerekir.

1. Aşağıdaki GPO bölümüne gidin Bilgisayar Yapılandırması -> Windows Ayarları -> Güvenlik Ayarları -> Yerel İlkeler -> Güvenlik Seçenekleri. Aygıtlar: Kullanıcıların yazıcı sürücülerini yüklemesini engelle seçeneğini etkinleştirin;

2. Şimdi Bilgisayar Yapılandırması -> İlkeler -> Yönetim Şablonları -> Sistem -> Sürücü Kurulumu'na gidin. Yönetici olmayanların bu aygıt kurulum sınıfları için sürücüleri yüklemesine izin ver parametresine yazıcı aygıt sınıfları GUID'sini ekleyin

   {4658ee7e-f050-11d1-b6bd-00c04fa372a7}

   Ve

   {4d36e979-e325-11ce-bfc1-08002be10318}

   . Bu, yalnızca yazdırma sürücülerinin yüklenmesine izin verecektir;

3. Bilgisayar Yapılandırması -> İlke -> Yönetim Şablonları -> Yazıcılar'a gidin. İşaretle ve Yazdır Kısıtlaması politikasını etkinleştirin. Burada, yazdırma sürücülerini yüklemenize izin verilen yazdırma sunucularınızın (Kullanıcılar yalnızca bu sunucuları işaret edebilir ve yazdırabilir) bir listesini belirtmeniz gerekir. Kalan iki seçenek için Uyarı veya yükseklik istemi gösterme'yi seçin;

   

4. Güvenilir yazdırma sunucularınızın bir listesini Paket İşaretle ve yazdır — Onaylanan sunucular parametresine ekleyin;

   

5. (Şimdi en önemli nokta!!). Yazıcı sürücülerinin yönetici ayrıcalıkları olmadan yüklenmesine izin vermek için (yönetici olmayan kullanıcılar için), RestrictDriverInstallationToAdministrators kayıt defteri parametresinin değerini geçici olarak 0 olarak değiştirmeniz gerekir.

Bağımsız bir bilgisayarda, bu kayıt defteri parametresini şu komutla değiştirebilirsiniz:

reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 0 /f

Bir kullanıcının bilgisayarlarındaki bu kayıt parametresini GPO aracılığıyla değiştirmek için, Bilgisayar Yapılandırması -> Tercihler -> Windows Ayarları -> Kayıt Defteri altında yeni bir Grup İlkesi Tercihleri kuralı oluşturmanız gerekir. Aşağıdaki ayarlarla bir kayıt defteri parametresi oluşturun:

Action: Replace
Hive: HKEY_LOCAL_MACHINE
Key path: Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
Value name: RestrictDriverInstallationToAdministrators
Type: REG_DWORD
Value: 0

Ortak sekmesine gidin ve Artık uygulanmadığında bu öğeyi kaldır seçeneğini etkinleştirin.

Şimdi istemcilerdeki GPO ayarlarını güncelleyin (yeniden oturum açın veya

gpupdate /force

komutu) ve baskı sunucularından gelen sürücülerin artık otomatik olarak yüklenip yüklenmediğini kontrol edin. MsiInstaller olayları, Uygulama günlüğünde görünmelidir:

EventID 1040
Beginning a Windows Installer transaction: C:\Windows\system32\spool\DRIVERS\x64\3\CIOUM64.MSI. Client Process Id: 7240.

Böyle bir GPO, yönetici olmayan herhangi bir kullanıcının, yükseltme veya herhangi bir bildirim istemeden, belirtilen yazdırma sunucularından paylaşılan yazıcıları ve sürücüleri yüklemesine izin verecektir.

RestrictDriverInstallationToAdministrators = 1

Yalnızca imzalı yazıcı sürücülerinin (Paket duyarlı v3 yazıcı sürücüleri) bu şekilde yüklenebileceğini unutmayın (Baskı Yönetimi konsolunun Sürücüler bölümündeki Packaged=True değeri ile -

printmanagement.msc

). Paket tanımayan yazıcı sürücüleri yüklenemiyor makalesine bakın.

GPO aracılığıyla imzasız bir sürücüye sahip bir yazıcı yüklemeye çalışırsanız, RestrictDriverInstallationToAdministrators parametresine rağmen dağıtılmayacaktır:

The user 'HP2500' preference item in the 'prnt_AutoConnect {GUID}' Group Policy Object did not apply because it failed with error code '0x80070bcb The specified printer driver was not found on the system and needs to be downloaded.' This error was suppressed.