Windows 10 отключить автоматическую установку принтеров gpo

По сравнению с предыдущими версиями, функция добавления принтеров в Windows 10 и 11 выглядит более простой, в Windows 11 она, пожалуй, еще удобнее, чем в «десятке». Открыв приложение «Параметры» и перейдя в раздел Bluetooth и устройства → Принтеры и сканеры и нажав кнопку «Добавить устройство», вы можете подключить сетевой или локальный принтер, но это еще не всё. Будучи администратором компьютера, вы вольны запрещать другим пользователям добавлять в систему новые устройства печати.

Запрет на добавление принтеров через GPO

Этот способ подходит для редакций Windows 11 Pro и выше.

Откройте командой gpedit.msc редактор локальных групповых политик, перейдите в раздел настроек, указанный на скриншоте ниже и откройте двойным кликом параметры политики «Запретить добавление принтеров».

Установите для данной политики значение «Включено» и сохраните настройки.

Изменения вступают в силу сразу, если вы теперь перейдете к опции добавление нового принтера в приложении «Параметры», но найдете функциональную кнопку неактивной, также в верхней части окна раздела появится уведомление «Некоторыми из этих параметров управляет ваша организация».

Запрет на добавление принтеров в редакторе реестра

В Windows 11 Home, в которой редактор групповых политик отключен, для запрета добавления принтеров можно применить твик реестра.

Открыв редактор Regedit одноименной командой, разверните ветку:

HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Создайте в правой колонке параметр типа DWORD,

с именем NoAddPrinter и установите в качестве его значения 1.

Перезапустите Проводник или перезайдите в систему, если настройки не вступят в силу сразу.

Результат будет тем же.

Оба приведенные здесь решения не распространяются на добавление новых принтеров через интерфейс мастера установки оборудования, а также с помощью сторонних программ.

Вы можете использовать групповые политики (GPO) для установки принтеров на компьютеры пользователей домена Active Directory. В этой статье мы покажем, как автоматически установить принтер пользователю домена при его входе на компьютер.

Рассмотрим следующую конфигурацию: в организации имеется 3 отдела, каждый отдел должен печатать документы на собственном цветном сетевом принтере. Ваша задача настроить автоматическое подключение сетевых принтеров пользователям в зависимости от отдела.

Подключение принтеров доменным пользователям через GPO

Создайте три новые группы безопасности в AD (prn_HPColorSales, prn_HPColorIT, prn_HPColorManagers) и добавьте в нее пользователей отделов (наполнение групп пользователей можно автоматизировать по статье “Динамические группы в AD”). Вы можете создать группы в консоли ADUC, или с помощью командлета New-ADGroup:

New-ADGroup "prnHPColorSales" -path 'OU=Groups,OU=Moscow,DC=corp,dc=winitpro,DC=ru' -GroupScope Global –PassThru

1. Запустите консоль редактора доменных политик (GPMC.msc), создайте новую политику prnt_AutoConnect и прилинкуйте ее к Organizational Unit (OU), в котором находятся целевые пользователи;

   Если у вас в домене используется небольшое количество сетевых принтеров (до 30-50), вы можете использовать одну GPO для установки всех принтеров. Если у вас сложная структура домена, есть сайты AD, используется делегирование прав администраторам филиалов, лучше создать несколько политик подключения принтеров. Например, по одной GPO для каждого сайта или OU.

2. Перейдите в режим редактирования политики и разверните секцию User Configuration -> Preferences -> Control Panel Setting -> Printers. Создайте новый элемент политики с именем Shared Printer;

   Если вы хотите подключать принтер по IP адресу (не через принт-сервер, а напрямую), выберите пункт TCP/IP Printer.

   

3. Действие – Update. В поле Shared Path укажите UNC адрес принтера, например,
   \msk-prnthpcolorsales
   (в моем примере все принтеры подключены к принт-серверу
   \msk-prnt
   ). Здесь же вы можете указать, нужно ли использовать этот принтер в качестве принтера по-умолчанию

   Вы можете опубликовать ваши принтеры в Active Directory. Для этого нужно включить опцию List in the Directory в настройках общего сетевого принтера на вкладке Sharing. В этом случае вы можете не указывать имя принетра вручную, а найти его поиском в AD. Просто нажмите кнопку с тремя точками при выборе принтера, нажмите кнопку Find now и выберите имя сетевого принтера из списка.

4. Перейдите на вкладку Common и укажите, что принтер нужно подключать в контексте пользователя (опция Run in logged-on user’s security context). Затем выберите опцию Item-level targeting и нажмите на кнопку Targeting;
5. С помощью нацеливания GPP вам нужно указать, что данная политика подключения принтера применялась только для членов группы prn_HPColorSales. Для этого нажмите New Item -> Security Group -> в качестве имени группы укажите prn_HPColorSales;

   Обратите внимание, что данное ограничение не запрещает любому пользователю домена подключить это принтер вручную в проводнике Windows. Чтобы ограничить доступ к принтеру, нужно изменить права доступа к нему на принт-сервере, ограничив возможность печати определенными группам.

6. Аналогичным образом создайте политики установки сетевых принтеров для других групп пользователей.

Есть еще старый раздел политик для настройки принтеров — Computer Configuration -> Policies -> Windows Settings -> Deployed Printers, однако этот метод установки принтеров пользователям не такой гибкий, как рассмотренный нами способ с помощью GPP.

При использовании такой групповой политики, новые принтера будут устанавливаться у пользователей, только если на их компьютерах уже установлен соответствующий принтеру драйвер печати (драйвера нужно предварительно установить вручную или интегрировать напрямую в образ Windows).

Если для данного принтера не установлен драйвер, то назначенный через GPO принтер не будет добавлен пользователю. При этом в журнале Event Log -> Application появится событие с Event ID 4096:

Source: Group Policy Printers
The user 'HPLaserJet4101' preference item in the 'prnt_AutoConnect {0D83EA70-0077-46A3-882A-C4FEED3DA489}' Group Policy Object did not apply because it failed with error code '0x800702e4 The requested operation requires elevation.' This error was suppressed.

Дело в том, что теперь пользователи Windows без прав администратора не могут установить принтера даже не смотря на настройки политики Point and Print Restriction.

Разрешить установку принтеров через GPO без прав администратора

В 2021 году в сервисе Print Spooler была обнаружена серьезная уязвимость (PrintNightmare CVE-2021-34527), для исправления которой Microsoft изменила поведение Windows при установке драйверов печати. Теперь пользователи без прав администратора не могут установить драйвера для принтера (KB5005033), в том числе с помощью параметра GPO Point and Print. Установку драйверов (подписанных и неподписанных) должны выполнять только пользователи с правами администратора.

Однако есть обходное решение, которое позволит обычным пользователям установить драйвера. Для этого нужно изменить вашу GPO установки принтеров.

1. Перейдите в раздел Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options и измените значение параметра Devices: Prevent users from installing printer drivers на Enabled;
2. Теперь перейдите в Computer Configuration -> Policies -> Administrative Templates -> System -> Driver Installation в параметре Allow non-administrators to install drivers for these device setup classes добавьте классы для устройства типа принтеры
   {4658ee7e-f050-11d1-b6bd-00c04fa372a7}
   и
   {4d36e979-e325-11ce-bfc1-08002be10318}
   . Это разрешит установку только драйверов печати;
3. Перейдите в раздел Computer Configuration -> Policies -> Administrative Templates -> Printers и включите политику Point and Print Restrictions. Здесь нужно указать список ваших принт-серверов (Users can only point and print to these servers), с которых разрешено устанавливать драйверы печати. В двух оставшихся параметрах выберите Don’t show warning or elevation prompt;
4. Добавьте список ваших доверенных прнит-серверов в параметр Package Point and print — Approved servers;
5. (Теперь самый важный пункт!!). Чтобы разрешить установку драйвера печати без прав админа нужно временно изменить значение параметра реестра RestrictDriverInstallationToAdministrators на 0.

На отдельном компьютере вы можете изменить этот параметр с помощью команды:
reg add "HKEY_LOCAL_MACHINESoftwarePoliciesMicrosoftWindows NTPrintersPointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 0 /f

Чтобы изменить этот параметр реестра на компьютере через GPO, нужно создать правило GPP в разделе Computer (Configuration -> Preferences -> Windows Settings -> Registry. Создайте параметр реестра с настройками:

Action: Replace
Hive : HKEY_LOCAL_MACHINE
Key path: SoftwarePoliciesMicrosoftWindows NTPrintersPointAndPrint
Value name : RestrictDriverInstallationToAdministrators
Type: REG_DWORD
Value: 0

В новых шаблонах административных ADMX файлов из Microsoft Security Baseline для этого параметра реестра добавлен отдельная опция GPO. Называется она Limits printer driver installation to Administrators (находится в разделе Computer Configuration -> Administrative Templates -> Printers).

Перейдите на вкладку Common и включите опцию Remove this item when it is no longer applied.

Теперь обновите настройки GPO на клиентах (перелогиньтесь или выполните
gpupdate /force
) и проверьте, что драйвера с принт-серверов теперь устанавливаются автоматически. В журнале Application должны появится события MsiInstaller вида:

EventID 1040
Beginning a Windows Installer transaction: C:Windowssystem32spoolDRIVERSx643CIOUM64.MSI. Client Process Id: 7240.

Такая GPO позволит любому пользователю без прав администратора установить сетевые принтера из указанных серверов печати без запроса на повышения прав и уведомлений.

Обратите внимание, что таким образом можно установить только подписанные драйвера принтеров (Package-aware v3 print drivers). Для таких драйверов в консоли Printer Management (printmanagement.msc) в разделе Drivers должно быть указано Packaged=True. Подробнее об этом здесь https://winitpro.ru/index.php/2016/08/31/update-kb3170455-network-shared-printer-error/

Если вы попытаетесь установить через GPO принтер с неподписанным драйвером, он не будет установлен не смотря на параметр RestrictDriverInstallationToAdministrators:

The user 'BrotherDCP2540' preference item in the 'prnt_AutoConnect {GUID}' Group Policy Object did not apply because it failed with error code '0x80070bcb The specified printer driver was not found on the system and needs to be downloaded.' This error was suppressed.

Элемент предпочтения пользователь "BrotherDCP2540" в объекте групповой политики "Подключение принтеров {GUID}" не применен по причине ошибки с кодом '0x80070bcb Указанный драйвер принтера не найден в системе. Необходимо скачать драйвер.' Эта ошибка была отключена.

Раньше для установки и подключения принтеров пользователям мне приходилось использовать VBS /PowerShell скрипты, которые запускались как Startup скрипты GPO и возможности фильтрации групповых политик. Однако использовать Group Policy Preferences для установки принтеров пользователям намного проще.

Возможно не все знают, что Windows 10 по умолчанию после чистой установке скачивает драйвера для вашего оборудования в автоматическом режиме. С одной стороны это очень хорошо для тех кто не очень разбирается в компьютерах и не знает как толком установить драйвера самому, но для более опытных пользователей эта функция окажется совсем ненужной. Так как скачивание происходит в фоновом режиме и пользователь не видит какой драйвер загружается. Ну или у Вас уже есть необходимые драйвера, которые Вы заранее подготовили, тогда Вам также не нужно будет что бы Windows 10 сам что-то скачивал.

Поэтому в этой статье я расскажу как отключить автоматическую установку драйверов в Windows 10. Мы разберем самые удобные способы, а Вы выберете для себя оптимальный. Как всегда, все способы буду показывать на примере последней сборки Windows 10. Ну и как всегда рекомендую обновиться к последней стабильной сборки Windows 10.

Способ 1. Как отключить автоматическую установку драйверов Windows 10

1. Нажимаем правой кнопкой мышки на значок Этот компьютер и выбираем пункт Свойства.
2. Переходим в категорию Дополнительные параметры системы и в открывшимся окне нажимаем на закладку Оборудование.
3. Заходим в Параметры установки устройств и новом окне выбираем Нет (устройство может работать не правильно).

Это значит что Windows 10 не будет скачивать автоматически приложения производителя и настраиваемые значки, доступны для Ваших устройств. Этот способ является простым и быстрым. Но также рекомендую использовать с ним ещё один со следующих способов.

Способ 2. Как отменить автоматическую установку драйверов с помощью редактора групповой политики

1. Откроем редактор групповой политики нажав на Win+R и выполнив команду gpedit.msc.
2. Перейдем по пути: Конфигурация компьютера => Административные шаблоны => Система => Установка устройств => Ограничения на установку устройств.
3. В этом же разделе находим политику Запретить установку устройств, не описанных другими параметрами политики и изменяем её значение на Включено.

Способ 3. Как отключить автоматическую установку драйверов с помощью редактора реестра

1. Открываем редактор реестра нажав Win+R и выполнив команду regedit.
2. Переходим по пути: HKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion DriverSearching.
3. Находим параметр SearchOrderConfig и изменяем его значение на .

Если же такой раздел или параметр отсутствуют, то просто создайте их. Ну и само собой, чтобы вернуть все назад просто измените значение назад на 1, которое и должно стоять по умолчанию.

Способ 4. Как отключить установку драйверов в Windows 10 с помощью утилиты от Майкрософта

Так как многие пользователи Windows 10 задумывались об этом ещё с времен только перехода на новую операционную систему, то Майкрософт выпустила утилиту Show or Hide Updates. По сути это и есть средство устранения неполадок, которое мы привыкли видеть в Windows. Оно ищет все драйвера, с которыми могут возникнуть у Вас проблемы и дает возможность Вам отключить обновление драйверов, можно отключать и по одному.

Скачать его можно на сайте Майкрософта по ссылке.

1. Скачиваем саму утилиту Show or Hide Updates.
2. Запускаем её и нажимаем Далее и после этого кнопку Hide Updates.
3. В открывшимся окне будет список проблемных драйверов, обновление которых Вы собственно здесь можете и запретить, для этого стоит их отметить и нажать Далее.

В этой статье мы рассмотрели способы как можно отключить автоматическую установку драйверов в Windows 10. Сам в принципе считаю это нововведение интересным. Так как в большинстве вариантов Windows 10 скачивает хорошие драйвера, но если же у Вас возникли проблемы с драйверами тогда эта статья будет интересной для Вас. Не забывайте подписываться на обновления и делиться статьей в социальных сетях.

  HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionDevice Metadata  

HKEY_LOCAL_MACHINESOFTWARE PoliciesMicrosoftWindowsWindowsUpdate

HKEY_LOCAL_MACHINESOFTWAREWow6432NodePoliciesMicrosoftWindowsWindowsUpdate

—> Притащил ноут на работу, подключил к локалке. Зашел в Панель управления — Устройство и принтеры.Готовьтесь к тому, что к каждой привычной опции теперь придётся добираться через длинный лабиринт меню.  Микрософты почему-то решили, что теперь компьютером пользуются существа недалёкие, и загружать программистов нет смысла. Кому очень хочется — как-нибудь найдут.Дальше начался какой-то ад! Система нашла все что шевелилось в сети: принтеры сетевые, плоттеры сетевые, расшаренные принтеры и плоттеры, пользовательские usb-диски и т.д. и т.п.В Win XP была опция автоматического поиска сетевых устройств.Подключение принтераЕсть в блоке Параметры — Обновление и безопасность, раздел «Поиск устройств». Операционка привычно предлагает поиметь микрософт-регистрацию, а потом выясняется (для этого система отправляет пользователя на сайт корпорации), что вся эта конструкция создана для… «поиска телефона». Не то.Обратился в «Устройства», Принтеры и сканеры.В нижней части окошка нашёл выключатель автоматического назначения принтера по умолчанию (отключил) и Скачивание через лимитные подключения (тоже отключил).Линк «Устройства и принтеры» перебрасывает в соответствующий привычный системный раздел.Удалив здесь, без сожаления, всё что Десятке удалось найти — найти-то нашла, но подключила, в лучшем случае, по MAC-адресу, — отправил систему в повторный поиск HP LJ 5100. Этот сетевой принтер стоит у нас в комнате. Десятка его нашла и даже поставила галку «принтер по умлочанию». Вот только вместо тестовой страницы принтер выдал тарабарщину. Удалил. Отключил автоматическую установку драйверов. Показал место откуда надо взять правильные. Тестовая страница напечаталась.Несколько раз перезагрузил систему, желая проверить будет ли она опять искать сетевые устройства. Не ищет. Ну и славно.Раз уж мы залезли в это меню, то пройдёмся до конца.Подключённые устройства:Скачивание отключил.BluetoothОбнаружил тут стаю присосавшихся телефонов. Тоже выключил доступ.Остальные разделы особого интереса у меня не вызвали.Последняя, на сегодня, настройка. Это не периферия, но раз она была найдена, то пусть будет и описана.Выбор переключения раскладки клавиатуры:Так как Панель управления не имеет прямой ссылки из стартового меню, предлагаю три варианта доступа к нему.1. Правой клавишей щелкаем по Рабочему столу -> Персонализация. Оттуда попадем в раздел «Параметры» (самая первая картинка).Персонализация — Темы — Параметры значков рабочего стола — Ставим галки против тез значков, которые хочется видеть.Я поставил все. Лазать по настройкам придётся много, а продираться каждый раз через ублюдочное меню Десятки — терпения не хватит. Да и забыть можно как сюда тебя занесло.2. Щелкаем правой клавишей по кнпке Пуск (либо клавиши ) Получаем вот такое меню:3. В командной строке проводника пишем фразу: Панель управленияВсе элементы управления — нажимаем EnterМне нравится первый вариант, но второй тоже неплох.Итак, мы в Панели управления. Если необходимо, переключаем режимпросмотра на Крупные значкиДалее:  Язык — Дополнительные параметры — в разделе «Переключение методов ввода» — Изменить сочетания клавиш языковой панели.Используемые источники:

• https://windd.ru/kak-otklyuchit-avtomaticheskuyu-ustanovku-drajverov-v-windows-10/
• https://g-ek.com/windows10-otmena-ustanovki-drov
• https://anomel.livejournal.com/341407.html

Рекомендуем: Как Отключить обновление драйверов в Windows 10 для всех устройств.

ОС Windows 10 автоматически загружает и устанавливает все необходимые драйверы устройств, как только вы подключитесь к Интернету. Это устраняет необходимость вручную загружать и устанавливать драйвера. Однако, если вы используете старые аппаратные устройства такие как старые принтеры или видео карты, драйвера которые по умолчанию устанавливает ОС Windows 10 могут вызвать проблемы. Кроме того, некоторые из пользователей Windows 10 хотят просто запретить загрузку драйверов для отдельного оборудования видео карты карты или др. Чтобы справиться с этим, просто следуйте приведенным ниже инструкциям, и вы легко сможете остановить Windows 10 от загрузки и установки драйверов для конкретного выбранного аппаратного устройства.

Поиск и копирование идентификаторов устройств аппаратного обеспечения

Так как мы хотим, блокировать обновление драйверов не для всех устройств, а конкретного аппаратного устройства, мы должны узнать его уникальных идентификатор аппаратных средств. Чтобы посмотреть его, откройте «Диспетчер устройств» с помощью клика правой кнопкой мыши на кнопке Пуск.

После того, как вы открыли диспетчер устройств, найдите оборудование, для которого вы хотите запретить автоматическую обновление и установку драйверов. В моем случае, я выберу видеокарту в своем старом ноутбуке. Щелкните правой кнопкой мыши на устройстве и выберите опцию «Свойства».

В окне аппаратных свойств, перейдите на вкладку «Сведения», а затем выберите «ИД оборудования» из выпадающего меню в разделе «Свойство».

Данное действие покажет вам уникальные аппаратные идентификаторы целевого устройства. Выберите все указанные идентификаторы, кликните правой кнопкой мыши и выберите опцию «Копировать».

Эти идентификаторы понадобятся нам несколько раз, поэтому вставим их и сохраним в текстовый файл для удобства.

Запрет установки драйвера для конкретного устройства с помощью редактора групповой политики.

Нажмите Win+R, и введите или скопируйте и вставьте —  gpedit.msc и нажмите клавишу Enter, чтобы открыть, редактор локальной групповой политики Windows 10.

После открытия редактора групповой политики, перейдите в раздел «Конфигурация компьютера -> Административные шаблоны -> Система -> Установка устройства -> Ограничения на установки устройств.»

Теперь найдите политику «Запретить установку устройств, с указанными кодами устройств», и дважды кликните на ней, чтобы изменить его свойства.

В окне свойств политики, включите ее, выбрав Включено, а затем нажмите на кнопку «Показать» в категории Параметры.

Это действие откроет окно «Вывод Содержания». В данное окно, необходимо ввести все аппаратные идентификаторы, скопированные ранее один за другим.

После того, как данные заполнены, нажмите на кнопку «ОК», чтобы сохранить изменения. В будущем, если у вас есть другие аппаратные устройства, для которых вы хотите остановить или запретить обновления драйверов, просто добавьте новые идентификаторы аппаратных устройств в том же порядке.

В главном окне программы нажмите на кнопку «ОК», чтобы сохранить изменения.

Перезагрузите систему, мы запретили обновление драйверов для видеокарты в Windows 10. Примечание, имейте в виду, что Windows все равно будет скачивать драйвер для этого оборудования, но не будет устанавливать.

Чтобы вернуть настройки по умолчанию, установите чек бокс политики на «Не задано» или «Отключено».

Запрет установки драйвера для конкретного устройства с помощью редактора реестра

Если вы используете ОС Windows 10 Home, то вам необходимо изменить реестр. Чтобы блокировать установку драйвера, нажмите Win+R, и введите или скопируйте и вставьте regedit чтобы открыть редактор реестра.

Перейдите по следующему пути.

HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsDeviceInstallRestrictionsDenyDeviceIDs

Если у вас нет разделов:

• DeviceInstall
• Restrictions
• DenyDeviceIDs

Просто создайте их.

В созданном разделе DenyDeviceIDs  создайте новый параметр с именем «1»

Дважды кликните на вновь созданный параметр, и введите один из аппаратных идентификаторов, которые мы скопировали ранее, и нажмите на кнопку «OK».

Поскольку у нас есть несколько аппаратных идентификаторов для нашего устройства (видиокарты), нам нужно создать еще три строковых параметра и назвать их например  1, 2, 3, 4, и так далее. Для каждого значения введите дополнительный идентификатор оборудования и сохраните его. После того, как вы закончите со всем, это должно выглядеть примерно так. Как вы можете видеть, я создал несколько строковых параметров и добавил идентификаторы своей видео карты.

Перезагрузите систему чтобы изменения вступили в силу. Чтобы вернуть все назад, просто удалите созданные разделы.

Поделиться своими мыслями и опытом об использовании описанного выше способа блокировать обновления драйверов для конкретных устройств в ОС Windows 10.