Windows Server 2012 R2 Printer und Dokumenten Server, Druckerberechtigungen per Sicherheitsgruppe

Hallo Computerbase,

ich habe selbst schon gegooglet aber leider nichts passendes zu meinem Thema gefunden. Auch die Forensuche hier brachte mir aktuell keine passenden Resulate. Vielleicht kann mir jemand weiterhelfen.

Thema: Ich habe in unserem Netzwerk verschiedene Standorte die sich auf einen Terminalserver verbinden. Auf dem Terminalserver wird Software sowie ein Printserver zurverfügungen gestellt. (Normale Rolle. Datei+Druckerdienste).

Ich habe für die jeweiligen Einrichtungen die Drucker entsprechend installiert. Nun möchte ich über die Freigabe der Drucker diese im Netzwerk für die jeweiligen Standorte zur Verfügung stellen. Dabei möchte ich mit einer Benutzergruppe die Verwendung eines Druckers im falschen Standort vermeiden.

So soll es aussehen.

Standort Berlin: soll nur in Berlin Drucken können.
Standort Dresden nur in Dresden.
und Standort Hamburg nur in Hamburg.

Da es schon vermehrt vorgekommen ist das die Anwender fehler machen möchte ich verhindert das Berlin in Hamburg drucken kann.

Alle Standorte sind in der gleichen Benutzerdomäne und Pro Standort ist eine "Sicherheitsgruppe" erstellt, in dieser Sicherheitsgruppe befinden sich jeweils nur die Mitarbeiter der Standorte.

Ich habe nun per Administrator auf den Druckern in Berlin die Sicherheit bearbeitet. Nur noch die Gruppen:

System ; Ersteller und Besitzer ; Standortgruppe Berlin, Administratoren sind Berechtigt den Drucker zu nutzen, dies wird auch angezeigt wenn ich per Rechtsklick in die Sicherheiten schaue.

Sobald ich mich mit einem Terminal User anmelde bekommt er alle Drucker sichtbar dargestellt, jedoch ist auf der Sicherheitsgruppe Automatisch dann die Gruppe "Jeder" hinterlegt. Somit ist das Falschdrucken von einem Mitarbeiter aus Berlin in Hamburg möglich.

Wo ist mein denktfehler?
Kann mir jemand weiterhelfen?

Vielen Dank schonmal im voraus.

Wie werden denn die Drucker den Benutzern bereit gestellt?

Man könnte zum Beispiel die Drucker über eine GPO bereitstellen und das abhängig von der jeweiligen Sicherheitsgruppe machen

Ich würde für die Druckdienste einen separaten Server aufsetzen. Auf einem TS würde ich die allein aus Stabilitätsgründen nicht betreiben wollen.

@ T3 Kila

Die Drucker, sind fest auf dem Terminalserver installiert. Jeder User kann sich dann seinen Drucker selbst über die Systemsteuerung\Geräte und Drucker als Standarddrucker markieren. Eine Verbindung zu einem anderen Server ist aus Anwendersicht nicht möglich. Die Mitarbeitern sind "zu doof" auf einem anderen Server als auf dem wo sie gerade angemeldet sind zu suchen. Eine GPO würde dann Sinn machen wenn die Drucker durchgängig angeschaltet sind. Jedoch lassen diese sich nicht verknüpfen sobald Sie in den Energiesparmodus wechseln. (Druckerbedingt).

Generell wollen wir die Drucker ja alles Fest auf den Servern installieren.

In Hamburg verwenden die User hauptsächlich Terminal-PCS (Thinclients ohne lokale Windows / OS / Ebene). Bedeutet die User starten Ihre Geräte und bekommen dann ein RDP Anmeldefenster von Microsoft angezeigt, Sie geben Ihre Benutzerdaten ein und zack sind Sie auf dem Terminalserver.

Wir wollen hier die bestehende Umgebung über einen Lastenausgleich verbessern.

@ Evil E-Lex.

Für einen separaten Drucker Server müsste in den jeweiligen Standorten ein Printserver stehen der die Aufgaben übernimmt. Das ist nicht der Fall. Bei 2 Softwareprodukten die bei uns im Einsatzsind werden Emulierte Drucker nicht bedient, bedeutet der Treiber kann nicht über einen separat Verknüpften Printserver ausgeführt werden. Es kommt eine Fehlermeldung bei senden des Druckauftrages aus dem Programm.

Nochmal für mich, als Zusammenfassung :
1. Ihr habt ein AD
2. Der Terminalserver ist gleichzeitig Printserver und die Drucker sind dort installiert
3. Die Drucker werden über die Freigabe den Benutzern bereitgestellt

Noch eine Frage, die Benutzer erhalten dementsprechend ALLE auf dem Terminalserver installierten Drucker und müssen sich IHREN Drucker dann als Standard wählen?

@ T3Kila,

ja das ist Korrekt da bestimmte Programme über die interne Treiberverwaltung sonst nicht ausdrucken können.

Auf dem Terminalserver sind die Drucker festhinterlegt und werden dann im Netzwerkfreigegeben. Jeder Endbenutzer kann sich dann seinen Drucker an Hand der freigabe Liste selbst hinzufügen.

Ich ging jetzt davon aus wenn ich die Drucker anhang seiner SMB Strucktur freigebe und mit Sicherheiten berechtige könnten sich dann die jeweligen Endbenutzer nur die Drucker hinzufügen welche Ihnen auch direkt über die Sicherheiten freigegeben sind.

Jedoch habe ich ja fest gestellt wenn ich mich mit einem normalen Terminaluseraccount (Dummyaccount) am Server anmelde werden trotz der Freigabenbegrenzung die ich als Admin eingestellt habe:

1. alle Drucker angezeigt
2. können angesteuert und verstellt werden
3. kann gedruckt werden.

Ziel ist es ja durch die "AD-Berechtigungen" direkt die angezeigten Drucker auf dem Server zu reduzieren und nur die Freigegebenen Drucker auch mit der Funktion : Drucken und Druckerverwalten Frei zu geben.

Hier ein Beispiel Bild:

Ansicht als Admin:

Die Drucker werden automatisch freigegeben, weil Sie direkt am Server installiert sind. Dementsprechend haben die Benutzer, die sich verbinden auch Zugriff.

Steht die Berechtigung bei den entsprechenden Gruppen auf verweigern? das sollte auch die Benutzung über die "Jeder" Einstellung verhindern.
Es sollten für Berechtigungen im Optimalfall immer Gruppen benutzt werden, selbst wenn die Gruppe nur einen Benutzer enthält (ist ja nur ein Beispiel Screenshot, ich weiß )

Ich würde die Drucker trotzdem per GPO bei den Benutzern installieren - nach Sicherheitsgruppe - dann müssen sie sich den Drucker nicht mehr aussuchen, sondern sie haben automatisch den richtigen. Leider hält sie das bisher nicht ab manuell den falschen zu nehmen.

@ T3Kila,

danke nochmal für den TIP mit der #JEDER Einstellung. Ich habe diese nochmal Explizit, (wie auch im Screenshot ersichtlich) entfernt. Danach musste ich den SERVER NEUSTARTEN. Nachdem neustart habe ich mich mit einer Dummy anmeldung nochmals auf den Server begeben und siehe da. (die Drucker mit den bearbeiteten Berechtigungen in denen die Gruppe "JEDER FEHLT" ) werden beim Dummy User garnicht mehr angezeigt.

So stelle ich mir das vor. #neustart regelt.

Mir war nicht bewusst das diese Sicherheitseinstellungen in der Datei und Druckerfreigabe erst nach einem neustart greifen.

Aber ich denke damit ist meine Problem gelöst!

Danke für die TIPS, das mit der GPO werde ich zu einem späteren Zeitpunkt mal testen!