By Brock McKenna on października 8, 2026
Sterowniki drukarek stanowią rzeczywistą powierzchnię ataku. Według Microsoftu błędy związane z drukowaniem stanowiły 9% spraw zgłoszonych do Microsoft Security Response Center w ciągu trzech lat, a analiza Microsoftu wykazała, że tryb Windows Protected Print (WPP) mógłby ograniczyć ponad połowę analizowanych podatności związanych z drukowaniem. Dlatego sensowne jest przejście na bezpieczniejszą, niezależną od sterowników architekturę drukowania.
Ale co to oznacza dla organizacji korzystających z Azure Virtual Desktop (AVD), Citrix lub Remote Desktop Services (RDS)?
Środowiska wirtualnych pulpitów od dawna bazują na różnych podejściach łączenia sesji zdalnych z fizycznymi drukarkami. Niektóre wymagają sterowników producenta na hostach sesji, inne opierają się na przekierowaniu drukarek, technologiach uniwersalnego drukowania lub usługach chmurowych. WPP nie wpływa jednak na wszystkie te podejścia w równym stopniu, więc przed wprowadzeniem zmian warto zrozumieć istniejące zależności.
Dlaczego tryb Windows Protected Print jest wyzwaniem dla wirtualnych pulpitów?
Podstawowe wyzwanie przy drukowaniu w VDI polega na tym, że aplikacje uruchamiane są w sesjach zdalnych, podczas gdy drukarki często znajdują się gdzie indziej. Tradycyjne architektury drukowania rozwiązują to na różne sposoby:
Przekierowanie drukarki udostępnia lokalnie podłączone drukarki wewnątrz sesji. Na przykład Microsoft Remote Desktop Easy Print eliminuje konieczność instalowania sterowników producenta na hoście sesji. Jednak nazwy przekierowanych drukarek mogą zawierać sufiksy specyficzne dla sesji, co sprawia problemy aplikacjom oczekującym stałych nazw drukarek.
Technologie uniwersalnego drukowania, takie jak Citrix Universal Print Driver czy Windows Easy Print, zmniejszają potrzebę instalacji indywidualnych sterowników producentów na hostach sesji. W zależności od konfiguracji wprowadzają one jednak dodatkowe kwestie do rozważenia, np. obciążenie pasma czy zgodność ze specjalistycznymi funkcjami drukarek.
Bezpośrednie drukowanie sieciowe pozwala hostom sesji wysyłać zadania do drukarek sieciowych. To rozwiązanie może działać dobrze, ale często wymaga sterowników producenta oraz niezawodnej łączności między hostami sesji a drukarkami.
Aby bliżej przyjrzeć się tym architekturom, zobacz Jak działa drukowanie w AVD, Citrix i RDS – i dlaczego często zawodzi.
Ważne jest, by pamiętać, że nie każda metoda drukowania w VDI wymaga sterowników firm trzecich na hoście sesji. Zgodność z WPP zależy od użytych komponentów.
Co WPP zmienia dla hosta sesji?
Tryb Windows Protected Print, wprowadzony w Windows 11 24H2 i obsługiwany w Windows Server 2025, ogranicza drukowanie do architektury opartej na IPP wbudowanej przez Microsoft. Gdy WPP jest włączony, nie można używać sterowników drukarek firm trzecich.
Dla administratorów VDI to oznacza trzy kwestie, które warto rozważyć.
Istniejące sterowniki w złotych obrazach. Jeśli obraz AVD, Citrix lub RDS zawiera sterowniki drukarek dostarczone przez producenta, WPP zablokuje ich użycie. Włączenie WPP usuwa też zainstalowane drukarki zależne od sterowników firm trzecich.
Przekierowanie drukarek. Nie wszystkie przekierowane drukarki wymagają sterowników producenta na hoście sesji. Powinniście jednak zweryfikować, czy wasza konkretna konfiguracja przekierowania i komponenty drukowania działają przy włączonym WPP.
Starsze i wyspecjalizowane drukarki. Urządzenia zależne od przestarzałych sterowników producenta mogą nie być już dostępne poprzez konwencjonalną instalację drukarek w systemie Windows. Drukarki etykiet, starsze MFP i inny wyspecjalizowany sprzęt wymagają szczególnej uwagi. Alternatywne architektury drukowania mogą pozwolić na dalsze korzystanie z części tych urządzeń.
Obecnie WPP nie jest obowiązkowe, a Microsoft nie ogłosił, kiedy stanie się rozwiązaniem domyślnym. Jednak szersze przejście od starszych sterowników druku jest już w toku:
- 15 stycznia 2026 r.: Microsoft przestał rutynowo akceptować nowe sterowniki drukarek firm trzecich do publikacji przez Windows Update dla Windows 11, Windows Server 2025 i nowszych, z wyjątkami rozpatrywanymi indywidualnie.
- 1 lipca 2026 r.: Windows zaczął priorytetowo traktować wbudowany sterownik klasy IPP podczas wyboru sterowników drukarek.
- 1 lipca 2027 r.: Microsoft przestanie akceptować przez Windows Update aktualizacje sterowników drukarek firm trzecich, które nie dotyczą bezpieczeństwa.
Istniejące sterowniki drukarek firm trzecich pozostaną dostępne do instalacji za pośrednictwem Windows Update, a producenci będą mogli nadal udostępniać sterowniki w oddzielnych pakietach instalacyjnych. Harmonogram Microsoftu nie oznacza, że starsze sterowniki drukarek nagle przestaną działać w lipcu 2027 r.
Mimo to organizacje utrzymujące złote obrazy VDI powinny rozważyć, jak długo chcą polegać na sterownikach specyficznych dla producenta. Oficjalny harmonogram Microsoftu jasno wskazuje kierunek zmian.
Przed włączeniem WPP: Lista kontrolna zgodności z VDI
Przed włączeniem WPP w środowisku AVD, Citrix lub RDS powinniście ustalić, gdzie faktycznie występują zależności w zakresie drukowania.
Zacznijcie od sterowników. Czy sterowniki producenta są instalowane w złotych obrazach, dodawane dynamicznie do hostów sesji, czy używane tylko na urządzeniach końcowych? WPP wpływa na ten system Windows, w którym jest włączony, więc to rozróżnienie ma znaczenie.
Następnie zidentyfikujcie, które metody drukowania i aplikacje zależą od tych sterowników. Zwróćcie szczególną uwagę na drukarki specjalistyczne, funkcje specyficzne dla producenta oraz aplikacje skonfigurowane do korzystania ze stałych nazw drukarek.
Na koniec przetestujcie WPP na reprezentatywnym hoście sesji przed zmianą obrazów produkcyjnych. Sprawdźcie dostępność drukarek, kompatybilność aplikacji i kluczowe przepływy pracy. Microsoft potwierdza, że włączenie WPP usuwa drukarki korzystające ze sterowników firm trzecich, a jego późniejsze wyłączenie nie przywróci automatycznie tych konfiguracji drukarek.
Celem niekoniecznie jest natychmiastowa wymiana infrastruktury drukowania. Chodzi o to, aby wykryć zależności, zanim staną się problemami z kompatybilnością.
Drukowanie w chmurze: przeniesienie sterowników drukarek poza sesję VDI
Jednym ze sposobów zmniejszenia wpływu WPP jest przeniesienie renderowania specyficznego dla drukarki poza wirtualny pulpit.
Dzięki ezeep zadania drukowania są renderowane w chmurze, a nie przez sterowniki renderujące specyficzne dla producenta zainstalowane na hostach sesji. Przetworzone zadania są dostarczane do drukarek przez ezeep Hub lub odpowiedni Connector, w zależności od wdrożenia.
To zmniejsza konieczność utrzymywania sterowników specyficznych dla producenta w obrazach wzorcowych i pozwala uniknąć polegania na tradycyjnym przekierowaniu drukarek przez RDP lub ICA przy drukowaniu zarządzanym przez ezeep.
ezeep obsługuje również tryb Windows Protected Print. Zgodnie z oficjalną dokumentacją ezeep, aplikacja ezeep Print App for Windows (z maja 2026 r. lub nowsza) tworzy natywne kolejki wydruku IPP, korzystając z wbudowanego sterownika klasy IPP firmy Microsoft. Renderowanie specyficzne dla drukarki odbywa się w chmurze, dzięki czemu drukarki zarządzane przez ezeep mogą działać bez wyłączania WPP.
To podejście może też pomóc organizacjom w dalszym korzystaniu ze starszych drukarek nieobsługujących Mopria, o ile urządzenia te są wspierane i podłączone w odpowiedniej konfiguracji ezeep.
W środowiskach VDI praktyczne korzyści obejmują:
- Brak potrzeby instalowania sterowników renderujących specyficznych dla producenta na hostach sesji dla obsługiwanych drukarek zarządzanych przez ezeep.
- Mniejsze nakłady na utrzymanie sterowników i mniejsze ryzyko konfliktów zgodności w obrazach wzorcowych.
- Drukowanie bez polegania na tradycyjnym przekierowywaniu drukarek po stronie klienta.
- Scentralizowane zarządzanie drukarkami i ich przypisywanie.
Administratorzy powinni jednak zweryfikować kompatybilność aplikacji i ich zachowanie w środowisku wielosesyjnym przed włączeniem WPP na hostach produkcyjnych.
Ukryty problem z drukowaniem w VDI: stałe nazwy drukarek
Przed zmianą konfiguracji drukarek warto zadać sobie jedno pytanie: które aplikacje w waszym środowisku zależą od konkretnej nazwy drukarki?
Aplikacje biznesowe, zwłaszcza systemy ERP, są często skonfigurowane do drukowania na kolejkach o określonych nazwach. W środowiskach wielosesyjnych z pulami nazwy przekierowanych drukarek mogą zawierać sufiksy specyficzne dla danej sesji, co może uniemożliwić aplikacjom znalezienie oczekiwanej drukarki.
Aplikacja ezeep Print App for Services obsługuje zautomatyzowane drukowanie z aplikacji Windows, w tym systemów ERP. Może być częścią konfiguracji drukowania, która eliminuje konwencjonalne przekierowywanie drukarek w poszczególnych sesjach. Aplikacje wymagające stałych nazw kolejek powinny zostać przetestowane z wybraną konfiguracją.
Przed rozpoczęciem migracji zidentyfikujcie, które aplikacje zależą od stałych nazw drukarek i w jaki sposób te zależności zostaną utrzymane. Jeśli odpowiedź brzmi: „kilka aplikacji, ale nikt nie wie dokładnie, które”, to jest to ważny wniosek, który powinien wpłynąć na kolejność migracji.
Przygotowanie środowiska VDI pod kątem Windows Protected Print
Wprowadzenie Windows Protected Print nie oznacza, że każda istniejąca konfiguracja drukowania w VDI musi zostać wymieniona. Jednak odejście Microsoftu od przestarzałych sterowników druku firm trzecich sprawia, że kluczowe staje się zrozumienie, od których komponentów zależy wasze środowisko.
Dla organizacji utrzymujących złożone obrazy wzorcowe (golden images) i konfiguracje drukarek, cloud rendering stanowi sposób na ograniczenie tych zależności i przygotowanie się na bezpieczniejszą architekturę drukowania w systemie Windows.
Przekierowanie drukarek w AVD nie działa? Poprawki i rozwiązania
Drukowanie w AVD, Citrix i RDS: jak to działa i dlaczego zawodzi
