Implementación de impresoras en usuarios de dominio y equipos con GPO

Puede usar políticas de grupo (GPO) para instalar y conectar impresoras compartidas a usuarios, computadoras y grupos específicos en un dominio de Active Directory. En este artículo, veremos cómo conectar automáticamente una impresora compartida para un usuario de dominio cuando inicia sesión en una computadora con Windows.

Considere la siguiente configuración: hay 3 departamentos en la organización. Los usuarios de cada departamento deben imprimir documentos en su propia impresora de red a color. Como administrador, debe configurar la implementación automática de impresoras compartidas para los usuarios según su departamento.

Implementación de impresoras para usuarios de dominio a través de la política de grupo

Cree tres nuevos grupos de seguridad en AD (SharedPrinter_Sales, SharedPrinter_IT, SharedPrinter _Managers) y agrégueles los usuarios del departamento (puede agregar usuarios automáticamente a los grupos de dominio siguiendo el artículo "Creación de un grupo dinámico en Active Directory"). Puede crear grupos en la consola Usuarios y equipos de Active Directory (

dsa.msc

, ADUC) o usando el cmdlet New-ADGroup:

New-ADGroup "SharedPrinter_Sales" -path 'OU=Groups,OU=Paris,DC=a-d,DC=com' -GroupScope Global -PassThru

1. Ejecute el editor de directivas de grupo del dominio (

   GPMC.msc

   ), cree una nueva política print_AutoConnect y vincúlela a la unidad organizativa con los usuarios de destino;

   

   Si tiene una pequeña cantidad de impresoras de red compartidas en su dominio (hasta 30-50), puede configurarlas con un solo GPO. Si tiene una estructura de dominio compleja con sitios de AD, unidades organizativas (OU) y delega algunas tareas de administración de AD a los administradores de sucursales, es mejor crear varias políticas de implementación de impresoras. Por ejemplo, una política para cada sitio de AD o unidad organizativa (OU).

2. Cambie al modo de edición de políticas y expanda Configuración de usuario -> Preferencias -> Configuración del panel de control -> Impresoras. Cree un nuevo elemento de política seleccionando Nuevo -> Impresora compartida;

   Si desea conectar una impresora de red por su dirección IP (directamente, sin un servidor de impresión), seleccione Impresora TCP/IP.

   

3. Especifique Actualizar como una acción. En el campo Ruta compartida, ingrese la dirección UNC de su impresora compartida, por ejemplo,

   \\srv-par-print\hpsales

   (en mi caso todas las impresoras están conectadas al servidor de impresión

   \\srv-par-print

   ). Aquí puede especificar si configurar esta impresora como la impresora predeterminada;

   

   Puede publicar sus impresoras compartidas en Active Directory. Para hacer esto, habilite la opción Lista en el directorio en la configuración de la impresora en la pestaña Compartir.

   

   En este caso, puede encontrar su impresora buscando AD (no es necesario ingresar el nombre de la impresora manualmente). Simplemente haga clic en el botón de tres puntos cuando seleccione su impresora, haga clic en el botón Buscar ahora y seleccione el nombre de la impresora de puntos de la lista.

   

4. Vaya a la pestaña Común y especifique que la impresora debe estar conectada en el contexto de usuario actual (Ejecutar en el contexto de seguridad del usuario conectado). Además, marque la opción Orientación a nivel de artículo y haga clic en Orientación;

5. Al utilizar la orientación de GPP, debe especificar que esta política de conexión de impresora solo se debe aplicar a los miembros del grupo SharedPrinter_Sales. Para hacerlo, vaya a Nuevo elemento -> Grupo de seguridad e ingrese SharedPrinter_Sales como nombre de grupo;

   

   Tenga en cuenta que esta restricción no impide que un usuario del dominio conecte manualmente esta impresora mediante el Explorador de archivos. Para restringir el acceso a la impresora, deberá cambiar los permisos de seguridad de la impresora en el servidor de impresión y permitir la impresión solo para grupos específicos.

6. Cree opciones de instalación de impresoras de red para otros grupos de usuarios de la misma manera.

   

Compruebe que las impresoras de red compartidas ahora se conectan automáticamente cuando los usuarios inician sesión en equipos Windows unidos a un dominio.

Al usar esta Política de grupo, las impresoras nuevas solo se instalarán para los usuarios si el controlador de impresión adecuado ya está instalado en sus computadoras (los controladores deben instalarse manualmente primero o integrarse directamente en la imagen de Windows).

Si no se instala ningún controlador para esta impresora, la impresora asignada a través de GPO no se agregará al usuario. En este caso, aparecerá un evento con ID de evento 4096 en el Registro de eventos -> Registro de la aplicación:

Source: Group Policy PrintersThe user 'HPLaserJet400' preference item in the 'prnt_AutoConnect}' Group Policy Object did not apply because it failed with error code '0x800702e4 The requested operation requires elevation.' This error was suppressed.

El hecho es que ahora los usuarios de Windows sin privilegios de administrador no pueden instalar un controlador de impresora, aunque esté configurada la política de Restricción de apuntar e imprimir.

Permitir que usuarios que no sean administradores instalen controladores de impresora a través de GPO

En 2021, se descubrió una vulnerabilidad crítica en el servicio de cola de impresión, para corregir que Microsoft cambió el comportamiento predeterminado de Windows al instalar los controladores de impresión (PrintNightmare CVE-2021-34527). Ahora, los usuarios sin permisos de administrador no pueden instalar controladores de impresora (KB5005033), incluido el uso de la opción GPO Point and Print Restriction. Los controladores de Windows (firmados y no firmados) solo deben ser instalados por administradores.

Sin embargo, existe una solución alternativa que permitirá a los usuarios que no son administradores instalar los controladores de impresora. Para hacer esto, necesita cambiar su GPO.

1. Vaya a la siguiente sección de GPO Configuración de la computadora -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Opciones de seguridad. Habilite la opción Dispositivos: Evitar que los usuarios instalen controladores de impresora;

2. Ahora vaya a Configuración de la computadora -> Políticas -> Plantillas administrativas -> Sistema -> Instalación del controlador. Agregue el GUID de las clases de dispositivos de impresora en el parámetro Permitir que los usuarios no administradores instalen controladores para estas clases de configuración de dispositivos.

   {4658ee7e-f050-11d1-b6bd-00c04fa372a7}

   y

   {4d36e979-e325-11ce-bfc1-08002be10318}

   . Esto solo permitirá la instalación de controladores de impresión;

3. Vaya a Configuración del equipo -> Política -> Plantillas administrativas -> Impresoras. Habilite la directiva Restricción de apuntar e imprimir. Aquí debe especificar una lista de sus servidores de impresión (Los usuarios solo pueden apuntar e imprimir a estos servidores) desde los cuales puede instalar controladores de impresión. Seleccione No mostrar aviso de advertencia o elevación para las dos opciones restantes;

   

4. Agregue una lista de sus servidores de impresión de confianza al parámetro Package Point and print — Approved servers;

   

5. (Ahora el punto más importante!!). Para permitir la instalación de controladores de impresora sin privilegios de administrador (para usuarios que no son administradores), debe cambiar temporalmente el valor del parámetro de registro RestrictDriverInstallationToAdministrators a 0.

En una computadora independiente, puede cambiar este parámetro de registro con el comando:

reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 0 /f

Para cambiar este parámetro de registro en las computadoras de un usuario a través de GPO, debe crear una nueva regla de Preferencias de directiva de grupo en Configuración de la computadora -> Preferencias -> Configuración de Windows -> Registro. Cree un parámetro de registro con la siguiente configuración:

Action: Replace
Hive: HKEY_LOCAL_MACHINE
Key path: Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
Value name: RestrictDriverInstallationToAdministrators
Type: REG_DWORD
Value: 0

Vaya a la pestaña Común y habilite la opción Eliminar este elemento cuando ya no se aplique.

Ahora actualice la configuración de GPO en los clientes (vuelva a iniciar sesión o ejecute el

gpupdate /force

comando) y verifique que los controladores de los servidores de impresión ahora estén instalados automáticamente. Los eventos de MsiInstaller deben aparecer en el registro de la aplicación:

EventID 1040
Beginning a Windows Installer transaction: C:\Windows\system32\spool\DRIVERS\x64\3\CIOUM64.MSI. Client Process Id: 7240.

Dicho GPO permitirá que cualquier usuario que no sea administrador instale impresoras y controladores compartidos desde servidores de impresión específicos sin solicitar una elevación ni ninguna notificación.

RestrictDriverInstallationToAdministrators = 1

Tenga en cuenta que solo los controladores de impresora firmados (controladores de impresión compatibles con paquetes v3) se pueden instalar de esta manera (con el valor Packaged=True en la sección Drivers de la consola de administración de impresión:

printmanagement.msc

). Consulte el artículo No se pueden instalar controladores de impresión que no reconocen paquetes.

Si intenta instalar una impresora con un controlador sin firmar a través de GPO, no se implementará a pesar del parámetro RestrictDriverInstallationToAdministrators:

The user 'HP2500' preference item in the 'prnt_AutoConnect {GUID}' Group Policy Object did not apply because it failed with error code '0x80070bcb The specified printer driver was not found on the system and needs to be downloaded.' This error was suppressed.