Come posso eliminare la finestra di messaggio "Ti fidi di questa stampante" e aggiungere la mia stampante tramite GPO?


8
  • Workstation: Windows 7 (x64) [Installa destinazione per stampante]
  • Server: Windows Server 2012 R2 (x64) [Active Directory, server di stampa]

Ho sbattuto la testa sulla scrivania cercando di installare questa stampante tramite i criteri di gruppo! Per qualche ragione, semplicemente NON riesco a distribuire questa stampante con l'oggetto Criteri di gruppo. Ho provato a configurarlo per la distribuzione tramite Computer Configuration->Policies->Windows Settings->Deployed Printers, così come Computer Configuration->Preferences->Control Panel Settings->Printerse User Configuration->Preferences->Control Panel Settings->Printers. Ho anche provato a consultare la mia console di gestione del server di stampa per aggiungerlo tramite il targeting per utente e / o computer. Ho provato TUTTI i TIPI di modi e nulla funziona. Ho seguito un sacco di tutorial e ho guardato un sacco di video solo per assicurarmi che non mi mancasse qualcosa, ma è davvero un compito semplice (in teoria) ... Semplicemente non funzionerà.

Nel tentativo di eseguire il debug del problema, ho scoperto che se avessi fatto \\myserver\doppio clic sulla stampante, avrei tentato di installare la stampante e quindi mi avrebbe chiesto di installare i driver con un prompt del tipo di controllo dell'account utente. inserisci qui la descrizione dell'immagine

Ho provato tutto quello che mi viene in mente per ottenere quella finestra di messaggio per smettere di apparire. Ci ho provato e ho scoperto che se dovessi modificare un oggetto Criteri di gruppo chiamato Point and Print Restrictionsubicato in Computer Configuration->Policies->Administrative Templates->Printersed era come User Configuration->Policies->Administrative Templates->Control Panel->Printerste, potresti provare a impostare il criterio su Disabledo Enablede scegliere Do not show warning or elevation promptper i due prompt di sicurezza elencati nella parte inferiore delle impostazioni del criterio.

Beh, anche quello era un busto ...

Ho scoperto che se avessi provato a installare manualmente la stampante andando su unc e digitando le credenziali del mio amministratore, questo avrebbe scaricato i driver dal server e installato la stampante (come previsto). Se l'utente provasse a rimuovere la stampante e avesse avuto successo in qualche modo non appena si sarebbe disconnesso e riavviato l'oggetto Criteri di gruppo, avrebbe fatto ciò che desideravo e avrebbe aggiunto la stampante. Ma mi ha richiesto di aggiungerlo manualmente la prima volta su OGNI PC.

Dopo aver verificato questo, quindi rimuovere la stampante dall'oggetto Criteri di gruppo, quindi disconnettersi e riaccenderlo. Potrei eseguire il comando printui /s /t2per visualizzare una GUI che mi consentirebbe di rimuovere facilmente i driver installati per riportare il PC al suo stato originale (chiedendo le credenziali di amministratore). Un'altra cosa che ho imparato è che le stampanti sono state memorizzate nel registro situato in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Print\Connections. Quando stavo cercando di rimuovere una stampante e mi ha detto che non potevo, sono semplicemente andato a quella chiave di registro e ho rimosso la chiave GUID della stampante che stavo cercando di eliminare. Quindi ho appena riavviato il servizio Spooler di stampa e boom è scomparso. Questo non mi è stato d'aiuto per arrivare dove volevo, ma è stato utile per rimuovere la stampante durante il debug del problema.

Ho letto da qualche parte che forse la causa è un qualche tipo di aggiornamento della sicurezza di Windows che ha cambiato qualcosa. È stato rilasciato a causa di alcuni articoli che mostrano come è possibile creare un'intera rete se si fosse in grado di creare una singola stampante. Qualcosa su quando gli utenti si connettevano alla stampante e scaricavano i driver che installavano il software iniettato e funzionavano sulla macchina, ecc ...

Il mio obiettivo principale è quello di essere in grado di distribuire questa stampante a un insieme di utenti in questa unità organizzativa con l'oggetto Criteri di gruppo che sto utilizzando. Ma tutto ciò che provo richiede che un amministratore sia connesso per farlo (almeno la prima volta). Qualcuno ha idea del perché la mia stampante non si aggiungerà automaticamente tramite l'oggetto Criteri di gruppo e anche come posso ottenere quel pericolo "Ti fidi di questa stampante?" messaggio per andare via?


Hai dato un'occhiata a questa domanda? social.technet.microsoft.com/Forums/windows/en-US/…
Davidw,

@Davidw sì, certo. ;) L'unica cosa che non ho provato è stata l'ultima parte della sua risposta (solo perché un commento qui sotto mi ha spento). Anche se non sono mai riuscito a scoprire dove ha fatto la risposta in "Ho configurato un oggetto Criteri di gruppo per la nostra foresta", "L'utente può solo P&P su questi server => Disabilitato", "L'utente può solo P&P su macchine nella foresta => Abilitato" , ecc.
Arvo Bowen,

@Davidw L'ho appena notato! ... "Queste impostazioni sono state spostate sull'hive Local_Machine per Windows 7. È necessario utilizzare un computer Windows 7 per gestire i due set di criteri (Computer per Windows 7, Utente per Pre -Windows 7) "da un'altra risposta ... Come potrei gestirlo dal computer locale tramite GPO? Immagino sia solo un'impostazione del registro ma quale impostazione del registro?
Arvo Bowen,

Leggendo la tua domanda, mi sto appoggiando all'idea che i driver della tua stampante sono la causa di questo problema, se devi installare la stampante almeno una volta perché funzioni, proverei sicuramente a cambiare i driver e riprovare . La finestra di dialogo "Ti fidi di questa stampante" non ti impedirà di installare la stampante usando GP.
Noor Khaldi,

@NoorKhaldi Penso che abbia a che fare con due cose ... 1) I driver non sono firmati ...! 2) I driver che sto cercando di installare non sembrano essere un semplice driver di tipo HP Laserjet da installare per una stampante di rete ... Questi driver creano un nuovo tipo speciale di porta per la stampa / generazione di PDF ... Che dolore ...
Arvo Bowen,

Risposte:


10

La "correzione" è scaricare driver di stampa affidabili e compatibili con il pacchetto dal produttore della stampante; tuttavia, poiché non tutti i produttori produrranno questi driver, c'è un lavoro intorno che ho trovato qui: Forum Cannon - Driver di stampa compatibili con il pacchetto (Nota: questo non funziona per i driver senza segno, ma ci sono molti tutorial disponibili per -segnare un driver di stampa.)

Ecco i passaggi per aggirare il problema:

  1. Installare i driver richiesti sul server di stampa
  2. Nota tutti i driver che hanno "false" elencati nella colonna "Pacchetto". Tutti questi dovranno essere modificati per essere distribuiti tramite Criteri di gruppo.
  3. Modifica il registro sul tuo server di stampa e vai ai seguenti percorsi:
    • Per i driver a 64 bit: HKLM \ System \ CurrentControlSet \ Control \ Print \ Enviroments \ Windowsx64 \ Drivers \ Version- X \ {Nome driver}
    • Per driver a 32 bit: HKLM \ System \ CurrentControlSet \ Control \ Print \ Enviroments \ Windows NT x86 \ Drivers \ Version- X \ {Nome driver}
    • Dove "X" è il driver di stampa "Tipo", in genere "3" o "4"
  4. Modifica la chiave denominata "PrinterDriverAttributes" aggiungendo 1 al valore attualmente impostato. (Esempio: se il valore corrente è "6", cambiarlo in "7".) Questo farà credere al server di stampa che questi driver siano impacchettati.
  5. Fallo per ogni driver che non è elencato come driver "Packaged".
  6. Riavviare il server di stampa.
  7. Ora tutto dovrebbe essere distribuito tramite Criteri di gruppo (a condizione che tutte le normali impostazioni dell'oggetto Criteri di gruppo siano configurate correttamente).

Sono in procinto di implementare questa correzione da solo; tuttavia, poiché richiede un riavvio del server di stampa, non posso provarlo fino a stasera poiché il nostro server di stampa esegue anche alcune applicazioni di rete.

Una soluzione alternativa alla modifica del Registro di sistema consiste nel modificare il file INF del driver della stampante e aggiungere quanto segue:

Per i driver a 32 bit:

[PrinterPackageInstallation.x86]
PackageAware=TRUE

Per driver a 64 bit

[PrinterPackageInstallation.amd64]
PackageAware=TRUE

Se si decide di modificare il file INF, sarà più semplice rimuovere il driver dal server di stampa, modificare il file INF da un download pulito, quindi installare il driver modificato.

A parte questo, ricontrolla le impostazioni di Criteri di gruppo per Point and Print Restrictionse Package Point and print - Approved Servers.

Informazioni di base

Il Bollettino Microsoft sulla sicurezza MS16-087 descriveva in dettaglio un problema di sicurezza in cui un server di stampa non autorizzato poteva iniettare codice dannoso attraverso un attacco di tipo "man in the middle". L'aggiornamento per la protezione KB3170455 è stato emesso il 12 luglio 2016 per risolverlo, il che ha compromesso la distribuzione dei driver di stampa dal server di stampa.


3
Se il passaggio 4 sembra strano, è perché PrinterDriverAttributes è in realtà un array di bit in cui ogni bit indica un'impostazione diversa. L'ultimo bit (meno significativo) indica se il driver fa parte di un pacchetto driver. Quindi incrementando il valore di uno si modifica l'ultimo bit nel campo. Vedi: msdn.microsoft.com/en-us/library/windows/desktop/...
P.Turpie

Dal punto di vista dell'amministratore di sistema, questa è la strada da percorrere. Implica una notevole preparazione e verifica sul server di stampa, ma ciò è dovuto al fatto che noi amministratori dovremmo essere consapevoli di ciò che viene distribuito, di ciò che costituisce un pericolo, ecc. Tuttavia, una volta preinstallati i driver sul server di stampa, tutti i sistemi client collegati alla stampante saranno in grado di installare i driver in background, senza checkpoint UAC.
George Erhard,

1
Si noti che è possibile riavviare solo il servizio "Server" sul server di stampa e si aggiornerà con le nuove impostazioni senza riavviare il server. Il riavvio di questo servizio potrebbe avere altre ripercussioni, ma potrebbe essere una soluzione migliore rispetto al riavvio del server per alcuni amministratori .
Thomas

1

Grazie per l'hack del registro per ottenere un driver come pacchetto. Questo da solo potrebbe non fare il trucco. Assicurarsi di aver impostato il pacchetto di criteri del computer e le impostazioni di stampa su abilitato insieme al server di stampa interessato.

  1. Hack del registro sopra sul server di stampa se il driver viene visualizzato come "falso" nella colonna impacchettata di Print manager sul server.
  2. Comp config -> template admin -> restrizioni punto e stampa abilitate.

Spero che sia di aiuto.

Utilizzando il nostro sito, riconosci di aver letto e compreso le nostre Informativa sui cookie e Informativa sulla privacy.
Licensed under cc by-sa 3.0 with attribution required.