Windows Protected Print Modeを有効にすると、そのPCの全ユーザーに影響がありますか？

TL;DR

はい。 Windows Protected Print Mode (WPP) は組織全体の設定ではなく、マシンごとの設定です。そのため、有効にすると、その設定をオンにした本人だけでなく、そのPC上のすべてのユーザープロファイルに適用されます。単一のユーザーに限定して適用する方法はなく、一度有効にすると、そのマシンは Mopria-certified printersにしか印刷できなくなります。つまり、Mopria非対応のプリンターは、そのPCを使用するすべてのユーザーから見えなくなります。個人が変更できるのは自分のPCのみです。組織全体にWPPを展開するには、IT管理者がGroup PolicyやIntuneを通じて別途設定を行う必要があります。共有PCやフリーアドレスのPCでは、ローカルの管理者が誤って設定を切り替えてしまわないよう、中央でロックしておくのが安全な運用です。

Windows Protected Print Mode は、Windows 11バージョン24H2以降で利用できるセキュリティ機能です。これにより、PCでの印刷は、内蔵のMicrosoft IPPクラスドライバーを介したMopria認定プリンターへの印刷に制限され、サードパーティ製のプリンタードライバーはブロックされます。WPPは、 Windows Ready Print (WRP)という、より広範なIPPベースの印刷プラットフォームの厳格な強制モードです。WRPでは従来のドライバーへのフォールバックが許可されていますが、WPPを有効にすると、そのフォールバックは利用できなくなります。

Windows Protected Print Modeはユーザーごと、それともマシンごとの設定ですか？

Windows Protected Print Mode は、クライアントのOSレベルで適用されるマシンごとの設定です。設定、Group Policy、またはIntuneのいずれかで有効にした瞬間から、マシン全体の印刷スプーラーがドライバーを読み込む方法が制御され、すべてのユーザープロファイルが同じルールを継承します。あるプロファイルでは有効にし、別のプロファイルでは従来の印刷方法のままにするといったことはできません。WPPは、個別のプリンターや個別のユーザーではなく、クライアント自体に適用されます。

WPPを有効にすると、プリンターとドライバーはどうなりますか？

WPPを有効にすると、マシンの印刷環境が以下の4つの点で変更されます。

• サードパーティ製ドライバーに依存するすべてのプリンターがアンインストールされ、そのドライバーはドライバーストアから削除されます。
• WPPが有効な間は、どのアカウントからもMopria認定ではないプリンターを再インストールすることはできません。
• Mopria認定プリンター は再インストールできますが、以前のドライバーの代わりにWindows Ready Printでセットアップされます。
• WPPが有効な間にユーザーが追加するプリンターは、インストールするためにMopria認定である必要があります。

共有PCでWPPを有効にすると、他のユーザーに影響はありますか？

はい、影響します。そのマシン上のすべてのプロファイルが同じルールの対象となるため、同じPCにログインした同僚は、たとえその設定に触れていなくても、同様にプリンターが利用できなくなります。そのため、共有のWindowsクライアントはWPPを切り替える上で最もリスクが高いと言えます。フリーアドレス環境（受付デスク、 研究室のワークステーション, 、小売店のバックオフィスPC、製造現場の端末など）や、共有アカウントのマシン（図書館の端末、 教室のコンピューター、会議室のPCなど）はすべて、1つの印刷構成を複数の人々が利用します。この制約は管理者のテスト時にも同様に影響します。WPPを有効にすると、その後ログインするすべてのユーザーの印刷設定が変更されてしまうため、管理者はWPPのテストを自分のプロファイルだけに限定することができません。

他のユーザーに影響を与えずにWindows Protected Print Modeをテストするには？

他の誰もログインしないハードウェアでWPPをテストしてください。専用のテスト用ワークステーションを使用するか、Group PolicyまたはIntuneを通じて、テストマシンのみを含むOUに展開範囲を限定します。ユーザーごとのGPOスコープ設定は役立ちません。なぜなら、WPPは誰がサインインしたかに関わらずマシンに適用されるコンピューター側のポリシーだからです。また、設定メニューからWPPを有効にする際には、互換性のないプリンターが削除されるという警告が表示され、確認を求められます。そのため、確信が持てないマシンで設定を確定する前に、操作を中断することができます。

Group PolicyでWindows Protected Printをロックするには？

Computer Configuration > Administrative Templates > Printersにある「Configure Windows protected print」ポリシーでWPPをロックします。このポリシーには3つの状態があります。

• Enabled（有効） ：WPPをオンにし、ローカルでオフに切り替えることを防ぎます。
• Disabled（無効） ：マシン全体でWPPをオフにし、ローカル管理者が設定メニューでオンにすることを防ぎます。
• Not Configured（未構成） ：設定の切り替えをユーザーに委ねます。これがデフォルトです。

Intuneでは、ConfigureWindowsProtectedPrintポリシーCSPがこれに相当します。

自社のセキュリティベースラインに合った方向性を選択してください。WPPがベースラインの一部である場合は、有効の状態でロックし、ローカル管理者がMopria非対応のプリンターを復旧させるために無効にできないようにします。全社がまだ対応できていない場合は、無効の状態でロックし、誰も共有ワークステーションで誤って有効にしないようにします。原則として、共有PCやフリーアドレスのPCでは、ローカル管理者の設定からWPPを切り替え可能な状態のままにしないでください。

誤ってWPPを有効にしてしまった場合、どうすれば無効にできますか？

誤ってWPPをオンにしてしまい、他のユーザーのプリンターが見えなくなった場合、元に戻す方法は2つあります。

1. ローカルで設定された場合は、設定メニューでWPPを無効にするか、Group Policyの設定を元に戻してから、削除されたMopria非対応のプリンターを手動で再インストールします。WPPが有効な間にインストールされたプリンターは、WPPを無効にした後も、削除して再インストールしない限りWindows Ready Printを使い続けます。
2. Group Policyによって強制され、マシン上で変更できない場合は、ポリシーを設定した管理者がOUのスコープまたはGPO自体を更新する必要があります。ローカルでの変更は、強制されたポリシーを上書きできません。

ezeepはWindows Protected Print Modeに対応していますか？

はい、 ezeep renders print jobs in the cloud 、印刷可能なデータを出力デバイスに送信するため、Windowsクライアントがプリンタードライバーを読み込むことに依存しません。WPPが制限するのはまさにこの部分であり、ezeepはその制約を回避します。ezeepが通信する物理的なプリンターは、レンダリングとデバイスへのデータ送信がWindowsのドライバーモデルの外で行われるため、Mopria認定である必要はありません。WPPが有効になっている共有ワークステーションでも、 printing through ezeep stays available 。そのマシン上のすべてのユーザープロファイルで利用でき、クラウドレンダリングの仕組みによって、マシンのWPPの状態に関わらずジョブがプリンターに転送されます。

これはWPPの全体像から見れば些細な点ですが、便利な判断材料になります。もし貴社の共有ワークステーションがezeep経由で印刷しているなら、WPPへの移行後もそれらの印刷機能は維持されます。一方、その隣にある従来のドライバーに依存するプリンターは利用できなくなります。

WPPの導入について専門家に相談する

Send us a contact request、お客様の環境についてお伺いし、WPPを有効にした状態でもezeepがどのように印刷の継続に役立つかをご説明します。

Are You Ready to Turn on WPP?

Run through our checklist first.

Free Checklist