Achei que era necessário estar no grupo de administradores de domínio para criar uma porta TCP / IP padrão ao adicionar uma impressora

Question

Ao configurar um servidor de impressão (Microsoft Windows Server 2008 R2), descobri que um usuário de domínio pode criar uma porta TCP / IP padrão ao adicionar uma impressora "local", estando a impressora local na rede, mas conectada a usando o endereço IP da impressora.

Eu pensei que um usuário tinha que estar no grupo de administradores de domínio para adicionar uma porta TCP / IP padrão. Isso mudou? Existe uma configuração de política que pode ser modificada?

Eu quero que os usuários do domínio imprimam em minhas impressoras de rede através do meu servidor de impressão. Não quero que eles imprimam diretamente nas minhas impressoras de rede.

As máquinas clientes são o Windows 7.

    

Answer 1

Normalmente, a maneira como isso é tratado é ter um GPO ou GPP instalando impressoras do servidor de impressão para o usuário, e, em seguida, criar um GPO que impeça os usuários de instalarem impressoras .

Como alternativa, você pode ter suas impressoras em uma VLAN diferente de seus clientes e bloquear o acesso a essa VLAN da VLAN cliente no comutador, portanto, a única maneira de os clientes acessarem as impressoras é através do servidor de impressão. (que teria acesso à impressora VLAN, naturalmente).

    

Answer 2

O que o HopelessN00b disse.

Falando como alguém que teve o problema oposto - "Como deixamos os não administradores instalar impressoras?" - não, você não precisa ser um administrador de domínio para instalar uma impressora.

No Windows XP, pelo menos, e talvez antes, os Usuários avançados conseguiram criar portas de impressora TCP / IP. Eles não podiam, no entanto, instalar drivers, a menos que fossem administradores locais ou recebessem "Carregar e descarregar drivers de dispositivo" por meio de diretivas de segurança local ou de domínio (em Atribuição de direitos de usuário).

Eles não podem instalar o software que vem com a impressora, a menos que sejam administradores locais ( não domínio).

Você deve usar a solução de GPO do HopelessN00b.