Windows Server 2022 – Netzwerkdrucker über Print-Server lassen sich nicht ohne Adminrechte verbinden (Fehler #5)

[illuminaten 10]

Hallo zusammen,

ich betreibe einen dedizierten Printserver auf Windows Server 2022 (Build 10.0.20348.1). Der DC läuft ebenfalls auf Server 2022, beide Maschinen sind also voneinander getrennt. Unsere Clients Windows 11 - 10, alle sauber in die Domäne eingebunden.

 

Das Problem: Sobald sich ein normaler Domänen­benutzer per Explorer (\\print‑mm) mit einem freigegebenen Drucker verbindet, erscheint nahezu direkt „Treiber wird gesucht …“ und endet dann reproduzierbar mit dem Dialog. Auf dem Print-Server ist bei den Berechtigungen für den Drucker und den Treiber Die Berechtigung "Jeder" gesetzt mit den Rechten "Drucken, Diesen Drucker verwalten".

Druckerverbindung herstellen
Druckerverbindung kann nicht hergestellt werden.

Zugriff verweigert.

Melde ich mich als Domänen‑Admin am gleichen PC an, lässt sich der Drucker ohne Rückfrage sofort installieren – der Treiber ist also grundsätzlich vorhanden und freigegeben. Auf dem Printserver liegen ausschließlich paket‑signierte Type‑3‑Treiber.

---

Was ich bisher untersucht habe

• Registry auf dem Print-MM Server: Unter HKLM\…\Printers\PointAndPrint finde ich Restricted = 1 und ServerList = Print‑MM (ohne FQDN). Der Schlüssel RestrictDriverInstallationToAdministrators existiert gar nicht. (Ich hatte darüber was unter Microsoft Support point-and-print-default-driver-installation-behavior gelesen) die Einstellung existiert außerdem nicht in den Gruppenrichtlinien.

• Gruppenrichtlinien: In der GPMC steht „Point‑and‑Print‑Einschränkungen“ aktuell auf Deaktiviert. „Installation von Treibern für diese Gerätesetupklassen ohne Administratorrenrechte zulassen“  ist auf Aktiviert mit folgenden Klassen:

  • {4d36e979-e325-11ce-bfc1-08002be10318}

  • {6bdd1fc6-810f-11d0-bec7-08002be2092f}

• GPUpdate & Neustart: Sowohl gpupdate /force als auch ein kompletter Reboot der Clients bringen keinen Unterschied. (Das Problem besteht auf allen Clients)

---

 

Im Moment komme ich hier leider nicht weiter. Falls jemand dieses Problem schon erfolgreich lösen konnte oder einen konkreten Ansatz kennt – gerne auch nur eine Idee, freue ich mich über jeden fundierten Hinweis. Vielen Dank vorab für eure Unterstützung!

Viele Grüße

 

[NorbertFe 2.223]

vor 3 Minuten schrieb illuminaten:

Der Schlüssel RestrictDriverInstallationToAdministrators existiert gar nicht.

Sollte er aber, sonst hast du ein ziemliches Loch in deiner Security. Grad bei einem Kunden und seinem Pentest gesehen. 

[dartzen 3]

Wir haben bei uns die beiden Gruppenrichtlinien "Point-and-Print Einschränkungen" auf "aktiviert" und "Point-and-Print für Pakete - Genehmigte Server" auf "aktiviert". Bei beiden entsprechend den FQDN des Printservers eingetragen. Bei der "Einschränkungen" GPO dann nur die Sicherheitshinweise ausgeschaltet. Das funktioniert bei uns problemlos, die Drucker können entweder über "Drucker und Geräte" oder über den FQDN des Printservers angebunden werden.

bearbeitet vor 4 Stunden von dartzen

[illuminaten 10]

vor 30 Minuten schrieb dartzen:

Wir haben bei uns die beiden Gruppenrichtlinien "Point-and-Print Einschränkungen" auf "aktiviert" und "Point-and-Print für Pakete - Genehmigte Server" auf "aktiviert". Bei beiden entsprechend den FQDN des Printservers eingetragen. Bei der "Einschränkungen" GPO dann nur die Sicherheitshinweise ausgeschaltet. Das funktioniert bei uns problemlos, die Drucker können entweder über "Drucker und Geräte" oder über den FQDN des Printservers angebunden werden.

Habe ich soeben versucht. Funktioniert leider immer noch nicht.