Eu tenho três servidores.
- Servidor 1 - Servidor de Impressão, Windows Server 2008 Standard
- Servidor 2 - Controlador de Domínio, Windows Server 2008 R2 Standard
- Servidor 3 - Terminal Services Server, Windows Server 2008 R2 Standard
No Servidor 1 tenho 5 impressoras instaladas. Todas as impressoras são impressoras TCP/IP. Uma impressora deve ser restrita para que apenas membros de um grupo AD especificado possam imprimir nela. Portanto, em Gerenciamento de impressão, na guia Segurança da impressora restrita, o grupo de segurança AD Impressoras RESTRITAS - Usuários de domínio autorizados recebe a permissão Permitir impressão. O grupo padrão Todos que tem a permissão Permitir impressão foi removido.
O único membro de Impressoras RESTRITAS - Usuários de Domínio Autorizados é Domínio\TestAllowed.
Todas as 5 impressoras são instaladas no Servidor 3 por meio de um GPO no Servidor 2, que adiciona automaticamente as impressoras. Isso funciona corretamente.
Em seguida, faço login no Servidor 3 como Domain\TestProhibited e tento imprimir na impressora restrita e a página é impressa.
Por que a página é impressa e o que preciso fazer para garantir que apenas membros de Impressoras RESTRITAS - Usuários de Domínio Autorizados possam imprimir na impressora restrita?
Já li (e confirmei que configurei a ACL corretamente) a página TechNet da Microsoft sobre como definir permissões para servidores de impressão .
Cheguei ao ponto de negar explicitamente a permissão de impressão para Domain\TestProhibited na impressora restrita no Servidor 1. Saí do Servidor 3, loguei novamente e Domain\TestProhibited ainda conseguiu imprimir na impressora restrita.
Parece que não é suficiente alterar as permissões de segurança da impressora no servidor de impressão, mesmo que a impressora esteja instalada no Terminal Services Server por nome de impressora compartilhada.
Se eu fizer login no Terminal Services Server, vejo que as permissões de segurança para a impressora não são transferidas quando a impressora é instalada usando a política de grupo. Depois de fazer login no Terminal Services Server e alterar as permissões de segurança da impressora, fiz logout e login novamente e agora a impressora está corretamente restrita.
O ponto importante sobre a impressão em rede no Windows é que há dois objetos para eles: a porta e a fila.
Para sua configuração, no Server1, você está criando uma porta e uma fila e está configurando a ACL para a fila. Então, no Server3 (através do GPO), por algum motivo, você aparentemente está criando uma nova fila usando a porta para Server1, em vez de apontar para a fila no Server1. E como a fila é nova, não está pegando a ACL da fila do Servidor1!