My Blog
Немного об ИТ и ИБ
Свежие записи
Свежие комментарии
- evgen к записи Zabbix 5.0 на Centos 8 с TimescaleDB и PostgreSQL
- Denis к записи Zabbix 5.0 на Centos 8 с TimescaleDB и PostgreSQL
- Denis к записи Zabbix 5.0 на Centos 8 с TimescaleDB и PostgreSQL
- Александр к записи Zabbix 5.0 на Centos 8 с TimescaleDB и PostgreSQL
- evgen к записи Zabbix 5.0 на Centos 8 с TimescaleDB и PostgreSQL
Архивы
Подключение принтеров через групповые политики
Что бы каждому пользователю не бегать не подключать принтеры руками, было принято решение раздавать их при помощи GPP. У нас в организации порядка 30 сетевых принтеров.
Первым делом устанавливаем print server (если он конечно у вас еще не установлен) и добавляем на него все сетевые принтеры. Далее для каждого принтера нужно добавить драйвера для x86 и x64 систем.
Тут могут начаться некоторые проблемы, дело в том что какие-то производители выпускают сразу один пакет драйверов для всех систем и 32 битных, и 64 битных, и тогда с установкой нет никаких проблем. Но бывает и так что в драйверах для x86 принтер называется, к примеру: HP LaserJet 2300 Series PCL 6, а для x64: HP LaserJet 2300 PCL 6, хотя драйвера качались из одного места. При этом Print server не поймет, что это драйвера для одного и того же принтера и соответственно не подключит его пользователю. Из этой ситуации есть выход, нужно ручками подправить имя принтера в драйверах. Для этого открываем в блокноте файлик драйвера с расширением .inf и везде меняем название принтера на нужное нам.
В итоге мы должны получить примерно такую картину:
Каждый принтер имеет два драйвера!
Когда Print server у нас готов и исправно функционирует, можно перейти к процессу непосредственно развертывания принтеров на рабочих станциях пользователей.
Тут есть два основных варианта: 1) Через Logon скрипт 2) Через групповые политики.
Я считаю, что все настройки применяемые к пользователям должны быть в одном месте и стандартизированны Microsoft, поэтому по возможности советую использовать групповые политики! Ну а уж если что-то и не получается сделать из GPO, то через неё же можно добавить скрипт на выполнение.
Итак приступим, тут опять же есть два пути: можно писать отдельную групповую политику для каждого принтера или написать одну политику для всех принтеров, но разрешить подключать (печатать) на принтере только определенной группе пользователей. Я пошел по второму пути. В AD создал группы для каждого принтера и соответственно в безопасности принтера добавил разрешение только этой группе.
Следующим шагом создаем политику, которая будет распространяться на пользователя, соответственно создаем её или в каталоге с пользователями. В качестве фильтра на выполнение этой политики добавляем наши ранее созданные группы для принтеров. На вкладке детали (Details) можно отключить выполнение для компьютеров.
В самой же политике добавим нужные нам принтеры. Путь можно посмотреть на скрине ниже:
В этой моей политике удаляются старые принтеры и добавляются новые. Не забывайте на вкладке Common поставить галочку, что бы принтеры цеплялись от имени пользователя, а то вы долго будете ждать их подключения=)
На этом и все, добавляйте пользователей в группы, делайте gpupdate /force и после перезагрузке пользовательских машин радуйтесь вновь добавленным принтерам=)
Установка принтеров на компьютеры пользователей средствами групповой политики. Часть 2
Посетителей: 23619 | Просмотров: 39918 (сегодня 0)
Введение
В предыдущей части статьи был рассмотрен процесс развертывания нового принтера на сервере печати, а также рассказывалось о двух первых этапах развертывания принтеров для пользователей и компьютеров организации средствами групповой политики. Эти два этапа делятся на само развертывание принтеров средствами групповой политики, а также на развертывание программы PushPrinterConnections.exe в том случае, если в вашей организации есть пользователи, которые работают на компьютерах с операционной системой Windows XP или Windows Server 2003.
Что же представляет собой третий этап в развертывании принтеров средствами групповой политики? Как я уже говорил в первой части данной статьи, к третьему этапу можно отнести обеспечение безопасности установки драйверов, а также выполнение прочих настроек, которые могут иметь отношение к работе с самими принтерами. Помимо этого, как вы, скорее всего, знаете, можно развертывать принтеры при помощи соответствующего элемента предпочтений групповой политики, однако, об этом речь пойдет в одной из статей соответствующего цикла. А сегодня я хотел бы рассказать о параметрах групповой политики, а именно об административных шаблонах, которые относятся именно к третьему этапу развертывания принтеров средствами групповой политики.
Этап третий. Развертывание параметров групповой политики, отвечающих за управление принтерами
В отличие от второго этапа развертывания принтеров средствами групповой политики, определять параметры политики принтеров рекомендуется практически для любых операционных систем Windows. Прежде всего, административные шаблоны, предназначенные для управления принтерами в организации, будут настраиваться в созданном заранее объекте групповой политики «Принтеры бухгалтерии», который уже связан с подразделением бухгалтеров. Итак, чтобы настроить параметры политики, отвечающие за управление принтерами, выполните следующие действия:
- Откройте оснастку «Управление групповой политикой», разверните узел «Лес: %имя леса%», узел «Домены», затем узел с названием вашего домена. Выберите узел «Объекты групповой политики». В данном узле выберите объект групповой политики «Принтеры бухгалтерии», нажмите на нем правой кнопкой мыши и из контекстного меню выберите команду «Изменить»;
- В отобразившейся оснастке «Редактор управления групповыми политиками» разверните узел Конфигурация компьютера\Политики\Административные шаблоны и выберите узел «Принтеры», как показано на следующей иллюстрации:
Рис. 1. Узел «Принтеры» редактора управления групповыми политиками
В этом узле вы можете обнаружить 25 параметров политики, однако, здесь один параметр политики, а именно параметр «Печать на основе использования веба» может распространяться только на компьютеры с операционной системой Windows 2000, а еще три параметра: «Автоматическая публикация новых принтеров в Active Directory», «Особый URL-адрес службы поддержки в левой панели папки принтеров», а также «Запретить установку принтеров, использующих работающие в режиме ядра драйверы» распространяются только на такие операционные системы как Windows 2000, Windows XP, а также Windows Server 2003. Так как в этой статье подразумевается, что все клиентские компьютеры бухгалтеров, на которые развертывались принтеры, оснащены операционными системами Windows 7, эти параметры в рамках текущей статьи рассматриваться не будут. Первый параметр политики, который будет настраиваться в этой статье, отвечает за обзор принтеров в доменных службах Active Directory и называется «Обзор принтеров». Как вам известно, в доменах Active Directory, информация об установленных принтерах хранится в доменных службах, однако, по умолчанию, она не объявляется в списках просмотра службы каталога в том случае, если пользователь выполнил вход в домен. Если же доменные службы Active Directory не доступны, то в таком случае общие принтеры будут добавляться в список просмотра. В свою очередь, если включить данный параметр политики, то диспетчер очереди печати будет объявлять общие принтеры подсистеме печати. А клиенты, при каждом уведомлении о наличии принтеров должны использовать клиентские лицензии. Чтобы подсистема печати не добавляла общие принтеры в список просмотра, рекомендуется данный параметр политики отключить, как показано на следующей иллюстрации:
Рис. 2. Отключение обзора принтеров при помощи групповой политики
После определение настроек обзора принтеров, следует выполнить некоторые настройки, отвечающие за отображаемые данные мастера установки принтеров. Для этого существуют два параметра групповой политики: «Мастер установки принтеров – страница сканирования сети (неуправляемая сеть)» и «Мастер установки принтеров – страница сканирования сети (управляемая сеть)». Первый предназначен для установки количества принтеров в неуправляемой сети, то есть в сети, где невозможно обнаружить контроллер домена, например, в аэропорту или в домашнем окружении, а второй, соответственно, для управляемой сети, где у компьютера есть доступ к контроллеру домена. При помощи этих параметров политики вы можете определить отображаемое количество принтеров для TCP/IP-принтеров, принтеров веб-служб, Bluetooth принтеров, а также количество общих принтеров, которые выводятся в списке найденных результатов. Параметр политики для управляемых принтеров отличается лишь тем, что в нем еще присутствует возможность настройки определения принтеров Active Directory. Значения по умолчанию для каждого типа принтеров в параметрах политики отличаются. По умолчанию, для неуправляемой сети должны отображаться по 50 TCP/IP-принтеров, общих принтеров, а также принтеров веб-служб, а Bluetooth принтеров должно отображаться максимум 10 штук. В свою очередь, в управляемой сети по умолчанию должны отображаться только 20 принтеров Active Directory и 10 Bluetooth принтеров. Для определения своих параметров следует в обоих параметрах политики установить переключатель на опцию «Включить» и указать свое количество принтеров для каждого типа. Например, для неуправляемой сети можно установить для трех типов значение 10, а для Bluetooth принтеров указать значение 0. Это означает, что мастер не будет отображаться принтеры данного типа. Для управляемой сети зададим значение 20 для каждого типа помимо общих принтеров. Для этого типа укажем значение 10. Диалоговое окно настроек мастера установки принтеров для управляемой сети отображено ниже:
Рис. 3. Настройка мастера установки принтеров для управляемой сети
Следующие рассматриваемые в этой статье параметры политики предназначены для управления публикацией принтеров. Как вы знаете, каждому пользователю по умолчанию предоставлена возможность публикации принтера в Active Directory. Принтеры можно опубликовывать в Active Directory, установив флажок «Внести в Active Directory» на вкладке доступа диалогового окна свойств установленного общедоступного принтера. При желании пользователей можно лишить этой возможности, установив переключатель на опцию «Отключено» в диалоговом окне свойств параметра политики «Разрешить публикацию принтеров». Так как в большинстве случаев нет необходимости в запрещении публикации принтеров, следует установить переключатель на опцию «Включено». После того как принтер будет опубликован, операционная система должна проверять доступность своих опубликованных принтеров в доменных службах Active Directory. По умолчанию такая проверка выполняется однократно во время запуска самой операционной системы. Этим параметром также можно управлять при помощи функциональных возможностей групповой политики. Для этого следует открыть диалоговое окно свойств параметра политики «Проверять состояние публикации», а затем установить переключатель на опцию «Включено». После этого из раскрывающегося списка «Периодичность проверки состояния публикации» следует выбрать интервал проверки публикации. Например, оптимальным значением будет 4 часа, однако, если вы укажите значение «Никогда», то это будет приравниваться тому, как если бы вы установили переключатель на опцию «Отключено». Диалоговое окно свойств этого параметра политики с интервалами, указанными в соответствующем раскрывающемся списке отображено ниже:
Рис. 4. Выбор интервала проверки состояния публикации принтера в Active Directory
Еще один параметр политики, отвечающий за публикацию принтеров, который рассматривается в этой статье, называется «Удалять принтеры, которые не были повторно опубликованы». Для чего необходим этот параметр политики? Бывают такие ситуации, когда во время проверки состояния публикации компьютер, принтер которого опубликован в Active Directory при помощи возможностей оснастки «Active Directory – пользователи или компьютеры» или специального скрипта Pubprn.vbs, не отвечает на запросы. Так вот, данный параметр политики определяет, можно ли уменьшить количество принтеров в доменных службах при помощи службы очистки, о которой будет рассказано ниже. Установив переключатель на опцию «Включить» вы можете выбрать одну из следующих опций:
- Никогда. Данный параметр установлен по умолчанию, даже если не настраивать этот параметр политики и позволяет не удалять объекты принтеров, которые автоматически не публикуются повторно;
- Только если найден сервер печати. В данном случае такие объекты удаляются лишь в тогда, когда принтер недоступен, но в сети можно обнаружить работающий сервер печати;
- Когда принтер не найден. В этом случае, принтер будет удален, если компьютер не отвечает на запросы в тот момент, когда должна выполняться автоматическая публикация последнего.
Рекомендуемым значением данного параметра является значение «Никогда».
Следующие четыре параметра политики отвечают за возможность очистки принтеров. Собственно, служба очистки предназначена для удаления из доменных служб Active Directory объектов принтеров. Первый, рассматриваемый в этой статье параметр очистки, называется «Интервал очистки Active Directory». В принципе, предыдущий параметр, описанный в этой статье, напрямую зависит от значения, которое вы укажите в текущем параметре политики. При помощи данного параметра политики вы можете указать интервал, определяющий время, через которое служба очистки на контроллере домена будет опрашивать компьютеры на наличие работоспособности опубликованных принтеров. Соответственно, если компьютер не ответит на запрос, то объект принтера, опубликованного в доменных службах Active Directory, будет удален. Установите переключатель на опцию «Включить» и из раскрывающегося списка «Интервал» укажите требуемый промежуток времени между попытками обнаружения так называемых брошенных компьютеров. Рекомендуется, чтобы этот интервал был больше указанного в предыдущем параметре политики, например, как показано на следующей иллюстрации, 12 часов:
Рис. 5. Определение интервала очистки Active Directory
Для того чтобы объект принтера случайно не был удален в тот момент, когда при каком-то обстоятельстве компьютер, опубликовавший принтер может быть случайно недоступен, следует определять количество повторов попыток обращения к опубликовавшему принтер компьютеру, после которого служба очистки удалит объект принтера из доменных служб Active Directory. По умолчанию служба очистки дважды повторно опрашивает компьютер, перед тем как удалить объект из доменных служб. Используя параметр политики «Повторы при очистке Active Directory» вы можете изменить количество повторов. Откройте диалоговое окно свойств этого параметра политики и из раскрывающегося списка «Повторы» выберите необходимое для вас количество повторов, например, три повтора и нажмите на кнопку «ОК».
Как я уже не один раз упомянул, в том случае, если компьютер, опубликовавший принтер не ответит на сообщение опроса на протяжении указанных в предыдущем параметре политики попыток, принтер будет удален из Active Directory. При желании вы можете запретить очистку опубликованных ранее принтеров, установив переключатель на опцию «Отключено» в диалоговом окне свойств параметра политики «Разрешить очистку опубликованных принтеров». Естественно, этот параметра политики спасет опубликованные принтеры от очистки в том случае, если компьютеры, опубликовывающие принтеры в обязательном порядке должны выключаться, однако, в диалоговом окне данного параметра лучше установить переключатель на опцию «Включить».
Последний параметр политики, позволяющий настроить службу очистки, называется «Приоритет потока при очистке Active Directory». Как вы догадались, используя свойства этого параметра политики, вы можете указать приоритет, влияющий на порядок получения процессорного времени, определяющий вероятность вытеснения другими процессами, которые могут быть более приоритетными. Сам поток очистки, соответственно, удаляет ненужные объекты принтеров из доменных служб Active Directory. В раскрывающемся списке «Приоритет» диалогового окна свойств данного параметра политики можно найти 5 значений: Самый низкий, Ниже среднего, Средний, Выше среднего, а также Самый высокий. По умолчанию установлено значение «Средний», а так как поток очистки не является приоритетным процессом, выполняющимся на контроллере домена (а поток очистки выполняется лишь на контроллерах), я предлагаю установить значение «Ниже среднего», как показано на следующей иллюстрации:
Рис. 6. Выбор приоритета потока при очистке Active Directory
И последний, рассматриваемый в этой статье параметр политики, расположенный в узле конфигурации компьютера предназначен для определения отображаемых запросов контроля учетных записей (UAC), а также серверов, на которых может применяться функция указания и печати. Чтобы определить такие настройки, откройте диалоговое окно свойств параметра политики «Ограничения и указания печати» и установите переключатель на опцию «Включить». Как видно на следующей иллюстрации, для этого параметра политики существуют несколько настроек, позволяющих управлять задачами, указанными выше. Установите флажок на опцию «Функцию указания печати можно использовать на следующих серверах», а затем в соответствующем текстовом поле введите через точку с запятой имена серверов, например, «DC;Server04». Установив флажок на опцию «Функцию указания и печати можно использовать только на компьютерах своего леса» вы запретите пользователям использовать принтеры сторонних лесов. При использовании принтеров пользователи с такими операционными системами как Windows Vista или Windows 7 могут видеть диалоговое окно UAC в двух случаях, а именно, при установке драйверов для нового подключения и при обновлении драйверов для нового подключения. Как для первого, так и для второго случая вы можете определить, будут ли отображаться предупреждения безопасности или, естественно, запросы на повышение прав. Например, в данном случае, для установки драйверов у пользователей не будет отображаться предупреждение или запрос на повышение прав, а при обновлении будет показываться только лишь одно предупреждение:
Рис. 7. Настройка ограничений указания и печати средствами групповой политики
После того как будут настроены параметры политики в узле конфигурации компьютера, следует перейти к параметрам политики конфигурации пользователя, которые можно обнаружить в узле Конфигурация пользователя\Политики\Административные шаблоны\Панель управления\Принтеры. В отличие от указанных ранее параметров политики, в этом узле вы найдете только восемь параметров, где один из параметров можно применять только для компьютеров с операционной системой Windows 2000, Windows XP или Windows Server 2003. Прежде всего, первым параметром политики конфигурации пользователя будет рассмотрен параметр, предоставляющий возможность запретить пользователям добавление новых принтеров на свои компьютеры. Прежде всего, данный параметр позволит удалить возможность вызова мастера установки принтеров из панели управления и меню «Пуск», а также возможности вызова данного мастера из диалогового окна установки оборудования или какого-либо программного обеспечения, вызывающего данного мастера. В принципе, не стоит ограничивать пользователей от этой возможности, и поэтому в диалоговом окне параметра политики установите переключатель на опцию «Отключено», как показано ниже:
Рис. 8. Диалоговое окно параметра политики, запрещающего пользователям добавлять принтеры
Рис. 9. Определение пути поиска принтеров в домене по умолчанию
Внимательный читатель может задать вопрос: почему же не были рассмотрены некоторые параметры политики из узлов конфигурации компьютера или конфигурации пользователя? В принципе, ответ очень простой. Помимо этих двух статей, в которых рассказывается о развертывании принтеров в организации при помощи функциональных возможностей Active Directory, в феврале этого года я буду проводить 13-е занятие тренинга по групповой политике. На этом занятии вы узнаете обо всех возможных настройках принтеров средствами данной технологии, а также сможете задать любой вопрос, который у вас возникнет по данной тематике.
