Drucker werden über Gruppenrichtlinie nicht mehr verbunden

Es hätte so ein schöner Freitag werden können. Aber plötzlich klingelte das Telefon. Der User am anderen Ende meinte verzweifelt, dass seine Drucker plötzlich nicht mehr auftauchen. Die darauf folgende Odyssey hat mich einen halben Tag gekostet :(Also ein Blick in die Ereignisanzeige und mir schwante übles. Mich begrüßte der folgende Fehler:

Also fing ich an zu suchen was da los ist. Dann stieß ich auf den Eintrag „MS16-087: Security update for Windows print spooler components: July 12, 2016„. Den Artikel hab ich mir zu Gemüte geführt. Schnell dachte ich mir, „OK mal sehen ob der betroffene Drucker einen „package-aware“ Treiber hat. Sofort machte sich Freude breit. Natürlich war der Treiber alt und war nicht „package-aware“.

Neuen Treiber gesucht und am Server eingespielt und nächsten Test gefahren.
Schnell machte sich Ernüchterung breit. Die Ereignisanzeige begrüßte mich weiterhin mit dem gleichen Fehler.
Nun versuchte ich den Drucker händisch zu verbinden und stelle fest, dass ich tatsächlich mit der Meldung „Vertrauen Sie diesem Drucker?“ begrüßt wurde.

Also erstmal weiter gelesen:

Guidance for network administrators:
Update the affected printer driver. Package-aware V3 printer drivers were introduced in Windows Vista. Installing a package-aware printer driver will resolve the issue.
If a specific legacy printer does not have the appropriate printer driver available, preinstalling the problematic printer driver on the client system will resolve the issue.

Na Klasse. Lösung 1 klappt nicht und Lösung 2 nicht umsetzbar in unserer Umgebung. Also Artikel erstmal wieder zugemacht und an anderer Stelle nach der Lösung gesucht. Nach knappen 2 Stunden landete ich allerdings wieder beim gleichen Artikel und stieß auf ein Update vom Oktober 2016.

Microsoft has released an update for October 2016 that lets network administrators configure policies that permit the installation of print drivers that they consider are safe. This update also allows for network administrators to deploy printer connections that they consider safe.

Microsoft rät uns nun dazu, die Gruppenrichtlinien „Point-and-Print-Einschränkungen“ und „Point-and-Print für Pakete – Genehmigte Server“ unter Computerkonfiguration –> Richtlinien –> Administrative Vorlagen –> Drucker zu konfigurieren

Wenn man die GPOs allerdings genauer durchliest fragt man sich schnell, warum soll ich „Point-and-Print-Einschränkungen“ durchkonfigurieren und „Point-and-Print für Pakete…“
Langer Rede kurzer Sinn. Ich bin hier von der Empfehlung abgewichen und hab die Policy „Point-and-Print-Einschränkungen“ bewusst auf deaktiviert gesetzt und die Printserver in der andern GPO hinterlegt. Ich dachte mir warum soll ich die Liste doppelt pflegen, wenn er sowieso nur Pakete von Servern annimmt die ich extra in einer Policy definieren muss.

Die Aussage von Microsoft zu dem Thema hat mich dann endgültig umgehauen:

Note After you enable these group policies, you have to add all printer servers to both the Point and Print Restrictions list and the Package Point and Print – Approved server list. This is true regardless of package awareness.

Ich hoffe ich kann euch vor dem gleichen Wahnsinn bewahren, wie er mich heute ereilt hat und Wünsche allen ein schönes Wochenende :)