Hãy xem cách tự động cài đặt và kết nối máy in cho người dùng, máy tính và nhóm cụ thể trong miền Active Directory bằng Chính sách nhóm (GPO). Rất tiện lợi khi các máy in có sẵn (được gán) tự động được cài đặt và kết nối khi người dùng đăng nhập lần đầu tiên vào máy tính miền.
Xét cấu hình sau: có 3 phòng ban trong tổ chức. Người dùng của mỗi phòng ban phải in tài liệu trên máy in mạng chia sẻ màu của riêng họ. Là một quản trị viên, bạn phải cấu hình triển khai tự động máy in mạng cho người dùng tùy thuộc vào phòng ban của họ.
Hướng dẫn này giả định việc sử dụng Group Policy Preferences – phần mở rộng của GPO được giới thiệu trong Windows Server 2008. Hướng dẫn sẽ áp dụng cho môi trường AD với cấp độ miền ít nhất Windows Server 2008, và máy khách ít nhất Windows XP SP3 và mới hơn.
Triển khai máy in cho Người dùng qua Chính sách nhóm
Tạo ba nhóm bảo mật mới trong AD (SharedPrinter_Sales, SharedPrinter_IT, SharedPrinter_Managers) và thêm người dùng phòng ban vào chúng (bạn có thể tự động thêm người dùng vào nhóm miền bằng cách làm theo bài viết "Tạo nhóm động trong Active Directory"). Bạn có thể tạo nhóm trong bảng điều khiển Active Directory Users & Computers hoặc sử dụng cmdlet New-ADGroup:
New-ADGroup "SharedPrinter_Sales" -path 'OU=Groups,OU=Paris,DC=woshub,DC=com' -GroupScope Global –PassThru
- Chạy trình chỉnh sửa Chính sách nhóm miền (
GPMC.msc), tạo một chính sách mới print_AutoConnect và liên kết nó với OU chứa người dùng.
Nếu bạn có số lượng máy in mạng chia sẻ nhỏ trong miền của mình (tối đa 30-50), bạn có thể cấu hình chúng bằng một GPO duy nhất. Nếu bạn có cấu trúc miền phức tạp và bạn ủy quyền một số nhiệm vụ quản trị AD cho quản trị viên chi nhánh, tốt hơn là tạo một số chính sách triển khai máy in. Ví dụ, một chính sách cho mỗi trang web AD hoặc OU. - Đi vào chế độ chỉnh sửa chính sách và mở rộng User Configuration -> Preferences -> Control Panel Setting -> Printers. Tạo một mục chính sách mới bằng cách chọn New -> Shared Printer; Nếu bạn muốn kết nối máy in bằng địa chỉ IP (trực tiếp, không qua máy chủ in), hãy chọn TCP/IP Printer.
- Chỉ định Update làm hành động. Trong trường Shared Path, nhập địa chỉ UNC của máy in của bạn, ví dụ:
\\srv-par-print\hpsales(trong trường hợp của tôi, tất cả máy in đều được kết nối với máy chủ in tập trung\\srv-par-print). Ở đây bạn có thể chỉ định có sử dụng máy in này làm máy in mặc định hay không;
- Đi đến tab Common và chỉ định rằng máy in phải được kết nối trong ngữ cảnh bảo mật của người dùng hiện tại (Run in logged-on user's security context). Cũng tích tùy chọn Item-level targeting và nhấp Targeting.
- Sử dụng nhắm mục tiêu GPP, bạn phải chỉ định rằng chính sách sẽ chỉ được áp dụng cho thành viên của nhóm SharedPrinter_Sales. Để làm điều đó, đi đến New Item -> Security Group và nhập SharedPrinter_Sales làm tên nhóm.
Lưu ý rằng hạn chế này không ngăn người dùng miền kết nối thủ công máy in này bằng Windows File Explorer. Để hạn chế truy cập vào máy in, bạn sẽ phải thay đổi quyền bảo mật máy in trên máy chủ in và chỉ cho phép in cho các nhóm cụ thể. - Theo cùng một cách tạo chính sách kết nối máy in cho các nhóm người dùng khác;
Cũng có một phần GPO cũ để cấu hình máy in: Computer Configuration -> Policies -> Windows Settings -> Deployed Printers, nhưng phương pháp này kém linh hoạt hơn phương pháp sử dụng GPP được mô tả ở trên.
Khi sử dụng Chính sách nhóm triển khai máy in này, máy in mới sẽ được kết nối trên máy tính người dùng chỉ nếu trình điều khiển máy in tương ứng đã được cài đặt. Tuy nhiên, vấn đề là người dùng không phải quản trị viên không có quyền cài đặt trình điều khiển in. Trong trường hợp này, bạn cần cấu hình Chính sách Point and Print Restriction.
Cấu hình chính sách Point and Print Restrictions để cài đặt máy in
Để kết nối máy in đúng cách cho bất kỳ người dùng nào, bạn sẽ phải cấu hình chính sách Point and Print Restrictions, cũng như địa chỉ của máy chủ in từ đó người dùng được phép cài đặt trình điều khiển và máy in.
Tôi nhắc lại rằng vì lý do bảo mật, Microsoft đã hạn chế cài đặt trình điều khiển in v3 không nhận biết gói từ năm 2016. Xem bài viết Unable to install non-package-aware print drivers.
Nếu bạn kết nối máy in của mình bằng Chính sách Cấu hình Người dùng, hãy đi đến User Configuration -> Policy -> Administrative Templates -> Control Panel -> Printers -> Printer -> Point and Print Restriction. Bật chính sách và cấu hình nó như sau:
- Users can only point and print to these servers – chỉ định danh sách máy chủ in mà người dùng có thể cài đặt trình điều khiển từ đó (tên FQDN được chỉ định với dấu chấm phẩy làm dấu phân cách);
- When installing driver for new connection -> Do not show warning or elevation prompt;
- When installing driver for existing connection -> Do not show warning or elevation prompt.
Cũng bật chính sách Package Point and Print – Approved server trong phần GPO User Configuration -> Policies -> Administrative Templates -> Control Panel -> Printers và đặt danh sách máy chủ in tin cậy.
Sau khi khởi động lại máy tính, máy in mạng chia sẻ được gán sẽ tự động được cài đặt và kết nối khi người dùng đăng nhập.
Trước đây, để cài đặt và kết nối máy in của người dùng, tôi phải sử dụng tập lệnh .bat và PowerShell. Các tập lệnh này cần được chạy như tập lệnh Khởi động GPO, và Lọc Chính sách nhóm có thể được sử dụng để nhắm mục tiêu cài đặt máy in. Tuy nhiên, theo ý kiến của tôi, việc sử dụng GPP để triển khai máy in dễ dàng hơn nhiều.