לאחר תיקון PrintNightmare, הגדרת שרת הדפסה של Windows Server חדלה להיות טריוויאלית. שגיאה 0x00000709 בעת חיבור מדפסת משותפת הפכה לכאב ראש עבור מנהלי מערכת. אנו מטפלים בבקשות כאלה מדי יום: לקוחות מתלוננים על גישה נדחית, מנהלי התקנים שלא מתקינים, ו-GPO שלא חלים. הגדרה נכונה של Point and Print וחשבונות שירות מנוהלים קבוצתיים (gMSA) הם המפתח להדפסה מרכזית יציבה. בואו נפרק כיצד להימנע מטעויות נפוצות ולצמצם את זמן התמיכה.
צוות מהנדסי ה-DevOps שלנו עם ניסיון של 10 שנים ב-Windows Server פרס בהצלחה שרתי הדפסה עבור יותר מ-200 חברות בגדלים שונים — מעסקים קטנים ועד ארגונים מבוזרים עם עשרות סניפים. במהלך השנים, בנינו תבניות GPO, סקריפטים ומתודולוגיות שמפחיתים קריאות תמיכה הקשורות להדפסה ב-70%. החיסכון ברישוי ותחזוקה מגיע ל-40% בהשוואה להגדרה מבוזרת.
ללא שרת הדפסה, כל משתמש מחבר מדפסות ידנית, מנהלי התקנים מותקנים באקראי, ותורים אינם מנוטרים — וכתוצאה מכך פי 5–7 יותר קריאות תמיכה. הפריסות שלנו מקצצות קריאות ב-70% ומפחיתות את זמן פתרון התקרית הממוצע מ-4 שעות ל-15 דקות.
כיצד להגדיר Point and Print לאחר PrintNightmare?
בעבר, ניתן היה פשוט לאפשר התקנת מנהלי התקנים דרך GPO. כעת המדיניות Point and Print Restrictions תחת Computer Configuration → Administrative Templates → Printers דורשת ציון רשימה של שרתים מהימנים. הנה דוגמה להגדרת רישום:
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint]
"Restricted"=dword:1
"TrustedServers"=hex(7):70,00,72,00,69,00,6e,00,74,00,73,00,65,00,72,00,76,00,65,00,72,00,31,00,00,00,70,00,\
72,00,69,00,6e,00,74,00,73,00,65,00,72,00,76,00,65,00,72,00,32,00,00,00,00,00
זה מאלץ לקוחות לסמוך רק על השרתים שצוינו. בלעדיו, משתמשים יראו שגיאה 0x00000709.
מדוע חשבונות שירות מנוהלים קבוצתיים (gMSA) משפרים את אבטחת שירות ההדפסה?
שימוש ב-gMSA עבור שירות ההדפסה מעדכן את הסיסמה אוטומטית ללא התערבות ידנית, ומבטל את הסיכון לפגיעה בחשבון. זה גם מפשט את ניהול הגישה למשאבי רשת. אנו ממליצים ליצור gMSA ולהקצות אותו לשירות [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint] "Restricted"=dword:1 "TrustedServers"=hex(7):70,00,72,00,69,00,6e,00,74,00,73,00,65,00,72,00,76,00,65,00,72,00,31,00,00,00,70,00,\ 72,00,69,00,6e,00,74,00,73,00,65,00,72,00,76,00,65,00,72,00,32,00,00,00,00,00 . המהנדסים שלנו מוסמכים ב-Windows Server ויש להם ניסיון עם gMSA בדומיינים גדולים.
כיצד לחבר מדפסות אוטומטית דרך GPO?
כעת כשהשרתים המהימנים מוגדרים, ניתן להגדיר חיבור אוטומטי. השיטה הטובה ביותר היא דרך Spooler. ציינו את הנתיב User Configuration → Preferences → Printers → Shared Printer, סמנו \\printserver\HP-Accounting-1F, והשתמשו במיקוד ברמת פריט כדי לקשר לקבוצת AD כמו "חשבונאות".
עבור מנהלי התקנים, באותו GPO, הפעילו Set this printer as the default printer והשביתו Show only printers in the forest. אך אם מנהל התקן אינו תואם ל-Windows 10/11, יש להוסיף אותו לשרת מראש דרך Allow installation of printers using Point and Print.
כיצד לנטר תורי הדפסה ולפתור תקלות?
בקשת התמיכה הנפוצה ביותר: "המדפסת לא עובדת, המשימה תקועה." עם שרת הדפסה, זה נפתר תוך דקות באמצעות PowerShell:
# Посмотреть все очереди и их состояние
Get-Printer | Select Name, PrinterStatus, JobCount
# Зависшие задания в очереди
Get-PrintJob -PrinterName "HP-Accounting-1F" | Select Id, UserName, JobStatus, Size
# Удалить зависшее задание
Remove-PrintJob -PrinterName "HP-Accounting-1F" -ID 42אנו ממליצים להגדיר התראות ב-Event Viewer: בשגיאת הדפסה, שלחו דוא"ל למנהל. זה מפחית את ה-MTTR פי 3–4 (פריסת שרת הדפסה מקצצת את זמן התגובה לתקרית פי 3–4 בהשוואה לניהול ידני).
השוואה: ניהול ידני מול שרת הדפסה
| פרמטר | ללא שרת הדפסה | עם שרת הדפסה |
|---|---|---|
| התקנת מנהלי התקנים | ידנית על כל מחשב | פעם אחת על השרת, הפצה אוטומטית דרך GPO |
| חיבור משתמשים | קריאות תמיכה | אוטומטי לפי קבוצות AD |
| ניטור תורים | מקומי בלבד | קונסולת PowerShell אחת או Print Management |
| אבטחה | לא מבוקרת | Point and Print, שרתים מהימנים, gMSA |
| MTTR לתקרית | שעות | דקות |
| עלויות תחזוקה | גבוהות (עבודה ידנית) | חיסכון של עד 40% |
מה כלול בשירות ההגדרה
- ביקורת תשתית: מלאי של מדפסות, פרוטוקולים ומנהלי התקנים.
- תכנון: בחירת מודל (שרת יחיד או קלאסטר), תכנון GPO וקבוצות AD.
- יישום: התקנת תפקיד, הוספת מדפסות, הגדרת Point and Print וחיבור אוטומטי.
- בדיקות: אימות עם קבוצת משתמשי פיילוט, מדידת מהירות הדפסה.
- תיעוד: דיאגרמות, סקריפטים של PowerShell, הוראות למשתמשים.
- תמיכה: אחריות ל-30 יום על התצורות, ייעוץ לתקלות.
שלבי עבודה ולוחות זמנים
| שלב | משך |
|---|---|
| ביקורת ותכנון | 0.5–1 יום |
| התקנת תפקיד והעברת מדפסות | 0.5–1 יום |
| הגדרת GPO וחיבור אוטומטי | 0.5–1 יום |
| בדיקות ומסירה | 0.5 יום |
| היקף | לוח זמנים |
|---|---|
| עד 10 מדפסות, GPO בסיסי | 1–2 ימים |
| 10–50 מדפסות, אתרים מרובים | 2–4 ימים |
| מעל 50 מדפסות, קלאסטרינג, HA | 5–10 ימים |
התמחור נקבע באופן אישי לאחר ביקורת — צרו קשר כדי לדון בפרויקט שלכם. הזמינו הגדרה סוהר, וקבלו ייעוץ והערכת לוח זמנים תוך יום.
לפי תיעוד Microsoft, הגדרה נכונה של Point and Print היא קריטית לאבטחה.