GPO(グループポリシー)を使ってユーザー・グループ・コンピューターにネットワークプリンターを自動展開する方法

本記事では、Active Directoryドメイン環境において、グループポリシー(GPO)を利用して、特定のユーザー、コンピューター、セキュリティグループに対してプリンターを自動的にインストール・接続する方法を解説します。この仕組みを導入すれば、ユーザーがドメインのコンピューターに初めてログオンした時点で、割り当てられた共有プリンターが自動的に接続されるため、管理者の手動作業を大幅に削減できます。

想定する構成

ここでは、次のようなシナリオを想定します。組織には「営業部」「IT部」「管理部」の3つの部署があり、各部署のユーザーはそれぞれ専用のカラー共有ネットワークプリンターで文書を印刷できる必要があります。管理者としては、所属部署に応じて適切なネットワークプリンターを自動的に展開する設定を行わなければなりません。

なお、本ガイドではWindows Server 2008で導入されたGPO拡張機能である「グループポリシー基本設定(GPP:Group Policy Preferences)」を使用します。そのため、ドメイン機能レベルがWindows Server 2008以降、クライアントはWindows XP SP3以降のAD環境であれば、この手順を適用できます。

グループポリシーによるユーザーへのプリンター展開手順

まず、ADに3つの新しいセキュリティグループ(SharedPrinter_Sales、SharedPrinter_IT、SharedPrinter_Managers)を作成し、各部署のユーザーを追加します。グループは「Active Directory ユーザーとコンピューター」コンソールから作成することもできますし、PowerShellのNew-ADGroupコマンドレットを使えば一括作成も可能です。

New-ADGroup "SharedPrinter_Sales" -path 'OU=Groups,OU=Paris,DC=woshub,DC=com' -GroupScope Global –PassThru

続いて、以下の手順でポリシーを構成します。

1. GPMC.msc(グループポリシーの管理)を実行し、新しいポリシーprint_AutoConnectを作成して、対象ユーザーが含まれるOUにリンクします。 ドメイン内の共有プリンターの数が30〜50台程度までであれば、1つのGPOでまとめて管理できます。一方、ドメイン構造が複雑で、支店の管理者にAD管理タスクを委任しているような場合は、ADサイトやOUごとに複数のプリンター展開ポリシーを作成する方が運用しやすくなります。
2. ポリシー編集モードに入り、[ユーザーの構成] → [基本設定] → [コントロールパネルの設定] → [プリンター]を展開します。新規アイテムとして[共有プリンター]を選択して作成します。なお、プリントサーバーを経由せずIPアドレスで直接プリンターに接続したい場合は、[TCP/IP プリンター]を選択してください。
3. アクションは[更新]を指定します。[共有パス]フィールドには、プリンターのUNCパスを入力します。例:\\srv-par-print\\hpsales(この例ではすべてのプリンターが中央のプリントサーバー\\srv-par-printに接続されています)。ここで、このプリンターを既定のプリンターとして設定するかどうかも指定できます。
4. [共通]タブを開き、「ログオンしているユーザーのセキュリティコンテキストで実行する(Run in logged-on user's security context)」にチェックが入っていることを確認します。さらに[項目レベルの targeting(Item-level targeting)]オプションにチェックを入れ、[Targeting...]ボタンをクリックします。
5. GPPのターゲット設定エディターで、このポリシーがSharedPrinter_Salesグループのメンバーにのみ適用されるよう指定します。[新しい項目] → [セキュリティ グループ]を選択し、グループ名にSharedPrinter_Salesを入力します。 注意点として、この制限はドメインユーザーがエクスプローラーなどから手動で該当プリンターに接続することを妨げるものではありません。プリンターへのアクセス自体を制限したい場合は、プリントサーバー側でプリンターのセキュリティアクセス許可を変更し、特定のグループのみ印刷を許可する必要があります。
6. 同じ要領で、他のユーザーグループ(IT部・管理部)向けのプリンター接続ポリシーも作成します。

ちなみに、古いGPOのセクションである[コンピューターの構成] → [ポリシー] → [Windows の設定] → [展開されたプリンター]でもプリンターを構成できますが、この方法は上記のGPPを使う手法に比べて柔軟性が低いため、特別な理由がなければGPPの利用をおすすめします。

このプリンター展開ポリシーを使用する場合、新しいプリンターがユーザーのコンピューターに接続されるのは、対応するプリンタードライバーがインストールされている場合のみです。しかし問題なのは、一般ユーザー(非管理者)にはプリンタードライバーをインストールする権限がないという点です。そこで必要になるのが、Point and Print Restrictions(ポイントと印刷の制限)ポリシーの構成です。

Point and Print Restrictionsポリシーの構成

任意のユーザーに対してプリンターを正しく接続させるためには、Point and Print Restrictionsポリシーを構成し、ユーザーがドライバーやプリンターをインストールすることを許可するプリントサーバーのアドレスを指定しておく必要があります。

念のため補足すると、Microsoftはセキュリティ上の理由から2016年以降、パッケージ非対応(non-package-aware)のv3プリンタードライバーのインストールを制限しています。詳細は「Unable to install non-package-aware print drivers」関連の記事を参照してください。

プリンターをユーザー構成ポリシーで接続している場合は、[ユーザーの構成] → [ポリシー] → [管理用テンプレート] → [コントロール パネル] → [プリンター] → [ポイントと印刷の制限(Point and Print Restrictions)]に移動します。ポリシーを有効化し、以下のように構成します。

1. [ユーザーはこれらのサーバーにのみポイントと印刷できる]:ユーザーがドライバーをインストールできるプリントサーバーのリストを指定します(FQDN名をセミコロン区切りで入力します)。
2. [新しい接続用ドライバーのインストール時] → [警告を表示しない、または昇格の確認メッセージを表示しない] を選択。
3. [既存の接続用ドライバーのインストール時] → 同様に [警告を表示しない、または昇格の確認メッセージを表示しない] を選択。

さらに、GPOの[ユーザーの構成] → [ポリシー] → [管理用テンプレート] → [コントロール パネル] → [プリンター]にある[Package Point and Print - 承認されたサーバー(Approved servers)]ポリシーも有効化し、信頼できるプリントサーバーのリストを設定しておきましょう。

以上の設定後、コンピューターを再起動(またはポリシーを更新)すると、ユーザーのログオン時に割り当てられた共有ネットワークプリンターが自動的にインストールされ、接続されます。

以前は、ユーザー用プリンターのインストールと接続に.batやPowerShellスクリプトを使用するのが一般的でした。これらのスクリプトはスタートアップスクリプトとしてGPOから実行し、グループポリシーフィルタリングで対象を絞り込む形になります。ただし、筆者の経験上、GPPを使ってプリンターを展開する方がはるかに簡単で、管理負担も少ないと感じています。