Início / server / Perguntas / 816040
Accepted
Slipeer
Asked: 2016-11-21 23:39:50 +0800 CST

Negar a impressão de documentos de quaisquer estações de trabalho e servidores para algum grupo de usuários?

  • 772

É possível que o domínio do Active Directory negue completamente a impressão de documentos de qualquer estação de trabalho e servidor para algum grupo de usuários usando a Diretiva de Grupo ou outra forma?

É importante que:

  • a proibição deve ser aplicada ao usuário (outro usuário no mesmo computador deve ser capaz de imprimir).
  • a proibição deve funcionar, mesmo que o PC do usuário tenha uma impressora conectada localmente.
  • ele deve ser capaz de habilitar ou desabilitar rapidamente o usuário para imprimir, alterando sua participação no grupo de domínio.
  • algumas impressoras são conectadas aos computadores dos usuários via USB
group-policy printing active-directory

2 respostas

    • Adicione um grupo de segurança 'DenyPrinting' a todas as impressoras com a configuração Imprimir -> Negar.
    • Use o GPO para 'Desativar a adição de impressoras' para este grupo.
    • Adicionar usuários ao grupo que não devem imprimir
    • 1
  2. Best Answer

    Melhor forma que encontrei:

    Em todos os computadores no domínio usando GPP, crie uma tarefa para o script powershell de execução regular com a conta do sistema local:

    $Account = "DOMAIN\Group_deny_print"
Get-Printer -full | Where-Object Type -eq "Local" | foreach { 
    try  
    { 
        $acl = New-Object -TypeName Security.AccessControl.CommonSecurityDescriptor $false, $false, ($_ | Select-Object PermissionSDDL -ExpandProperty PermissionSDDL);
        Write-Host "Deny $Account print to printer ($_.Name)";
        $NTAccountSid = (New-Object Security.Principal.NTAccount $Account).Translate([Security.Principal.SecurityIdentifier]).Value;
        $acl.DiscretionaryAcl.AddAccess( 
                [System.Security.AccessControl.AccessControlType]::Deny, 
                $NTAccountSid, 
                131080, #Print = (ACCESS_MASK.PRINTER_ACCESS_USE | BASE_RIGHTS.READ_CONTROL),
                [System.Security.AccessControl.InheritanceFlags]::None, 
                [System.Security.AccessControl.PropagationFlags]::None);
        $newacl = $acl.GetSddlForm("All");
    }
    catch [Exception]  
    { 
        Write-Error -Message "Failed:`n $_.Message" -Exception $_.Exception 
    } 
    $_ | Set-Printer -PermissionSDDL $newacl -verbose;
}

    Mas o int funciona apenas no Windows Server 2012 / Windows 8 ou posterior.

    • 0

relate perguntas