Как разграничить доступ на общие принтеры в домене с помощью групповых политик?

Question

[centurio_mark]

Имеется домен, я являюсь администратором поддоменной группы. Как сделать так, чтобы и при открытии общего доступа к принтеру, и уже на текущих расшаренных принтерах не могли печатать пользователи из других поддоменых групп. Отдельно на каждом принтере настраивать доступ долго, принтеров около 100 шт. Можно ли как то создать политику, которая оставит доступ к моим общим принтерам только для пользователей моей поддоменой группы?

Answer 1

[Дмитрий]

Каждый принтер - отдельная группа доступа. Добавляем в группу только тех пользователей, которым разрешено на него печатать. Можно в группу принтера добавлять группу отдела, если весь отдел сидит вокруг принтера.

Comments

[centurio_mark]

у меня сейчас около 100 принтеров расшаренных в АД, на каждом принтере настраивать доступ только для своей поддоменной группы долго, если можно как то спустить на пользователей или пк политику, которая оставит доступ только для определенных юзеров, хотелось бы сделать так, чтобы и на будущие расшаренные принтеры сразу давался нужный доступ

[Дмитрий]

centurio_mark, расшареные принтеры - имеется ввиду usb-принтеры, которым предоставлен сетевой доступ средствами ОС?

[centurio_mark]

Дмитрий, да, галочка общий доступ, и ввести в Active Directory

[Alexey Dmitriev]

centurio_mark, не дольше чем ждать ответ здесь и потом его реализовывать.
Создать security группы и права на принтеры можно Powershell скриптом разлить.
Добавить в группы пользователей скриптом или если хотите динамическое добавление - политиками.

[Дмитрий]

centurio_mark, сочувствую. От личных принтеров нужно избавляться в пользу нормальных сетевых принтеров и заводить их на print server, где группами уже рулить. Но это уже из пьесы "Как должно быть" Можно написать политику подключения принтеров пользователям где перечислять все доступные ему принтеры (но думаю врядли всем можно печатать на большую часть устройств), но это не запретит пользователю подключить вручную себе притер соседа.

[centurio_mark]

Дмитрий, мне главное, чтобы юзеры из других поддоменых групп, недоступные мне, не могли печатать на моих принтерах, а то звонят и говорят, что на принтере печатают люди из другой организации

[centurio_mark]

Alexey Dmitriev, группа уже есть, а вот как такой скрипт организовать моих знаний не хватит

[Alexey Dmitriev]

centurio_mark, https://gallery.technet.microsoft.com/scriptcenter...

Answer 2

[pindschik]

Нужна абстракция на уровне групп доступа. Например в структурном подразделении сотрудники входят в одну группу, а несколько групп таких подразделений входят в другую группу - которая имеет право печати на конкретном принтере.
Разворачивая доступ к принтерам - вам нужно заранее для него создавать только одну группу доступа и только ее добавить в права на печать. Дальше только жонглируете работниками и группами, к самому принтеру и правам больше не лезете.
Боюсь, что первый раз надо будет настроить все 100 принтеров вручную.
Но вообще такого рода проблемы - обычно преодолеваются переходом на МФУ более дорого класса. Ставится 2-3 штуки на этаже и все ходят к ним. Сначала правда стонут "ох как тяжело поднимать зад со стула, домкраты-то не выдали", но потом привыкают. Такой подход обычно выгоднее, т.к. дорогие большие МФУ дают экономию в цене отпечатка.