Czy włączenie trybu Windows Protected Print Mode wpływa na wszystkich użytkowników komputera?

W skrócie

Tak. Tryb chronionego drukowania w systemie Windows (WPP) to ustawienie przypisane do maszyny, a nie do organizacji — jego włączenie dotyczy wszystkich profili użytkowników na danym komputerze, nie tylko osoby, która je aktywowała. Nie da się ograniczyć go do jednego użytkownika, a po włączeniu maszyna drukuje tylko na drukarkach z certyfikatem Mopria, więc wszystkie drukarki bez certyfikatu Mopria znikają dla każdego, kto z niej korzysta. Jedna osoba może zmienić ustawienia tylko na swoim komputerze. Wdrożenie WPP w całej organizacji to oddzielny krok wykonywany przez administratora IT za pomocą Group Policy lub Intune; na komputerach współdzielonych lub stanowiskach hot-desk bezpiecznym rozwiązaniem jest zablokowanie go centralnie, żeby lokalny administrator nie mógł go przypadkowo przełączyć.

Windows Protected Print Mode to funkcja bezpieczeństwa w Windows 11 w wersji 24H2 i nowszych. Ogranicza komputer do drukowania przez wbudowany sterownik klasy Microsoft IPP do drukarek z certyfikatem Mopria i blokuje sterowniki firm trzecich. WPP to tryb ścisłego egzekwowania dla Windows Ready Print (WRP), szerszej platformy drukowania opartej na IPP, która nadal pozwala na fallback do starszych sterowników. W trybie WPP ten fallback znika.

Czy Windows Protected Print Mode jest przypisany do użytkownika, czy do maszyny?

Windows Protected Print Mode to ustawienie przypisane do maszyny, egzekwowane na poziomie systemu operacyjnego klienta. Gdy zostanie włączone poprzez Ustawienia, Group Policy lub Intune, reguluje sposób, w jaki bufor wydruku ładuje sterowniki dla całej maszyny, i każdy profil użytkownika dziedziczy te same zasady. Nie ma sposobu, by włączyć je dla jednego profilu, a pozostawić drugi przy tradycyjnym drukowaniu. WPP dotyczy klienta jako takiego, a nie poszczególnych drukarek czy użytkowników.

Co dzieje się z drukarkami i sterownikami po włączeniu WPP?

Włączenie WPP zmienia konfigurację drukowania na maszynie w czterech obszarach:

• Każda drukarka korzystająca ze sterownika firmy trzeciej jest odinstalowywana, a jej sterownik usuwany z magazynu sterowników.
• Drukarek bez certyfikatu Mopria nie da się ponownie zainstalować z żadnego konta dopóki WPP jest aktywne.
• Drukarki z certyfikatem Mopria można ponownie zainstalować, ale zostaną dodane przez Windows Ready Print zamiast korzystać ze swojego dotychczasowego sterownika.
• Każda drukarka dodana przez użytkownika, gdy WPP jest włączone, musi mieć certyfikat Mopria, żeby dało się ją zainstalować.

Czy włączenie WPP wpłynie na inne osoby korzystające ze współdzielonego komputera?

Tak. Każdy profil na tej maszynie podlega tym samym zasadom, więc współpracownik, który zaloguje się na tym samym komputerze, straci te same drukarki, nawet jeśli nigdy nie zmieniał tego ustawienia. To sprawia, że współdzielone komputery z Windows są najryzykowniejszym miejscem do włączania WPP. Stanowiska hot-desk (recepcje, stanowiska laboratoryjne, , komputery zaplecza sklepowego, terminale produkcyjne) oraz maszyny ze wspólnymi kontami (terminale biblioteczne, komputery w salach lekcyjnych, komputery w salach konferencyjnych) obsługują wiele osób w ramach jednej konfiguracji drukowania. To samo ograniczenie dotyczy testów administratorów: administrator nie może ograniczyć testu WPP do własnego profilu, ponieważ jego włączenie zmienia konfigurację drukowania dla każdego użytkownika, który zaloguje się później.

Jak testować Windows Protected Print Mode, nie wpływając na innych użytkowników?

Testujcie WPP na sprzęcie, na który nikt inny się nie loguje. Użyjcie dedykowanej stacji testowej albo ograniczcie wdrożenie za pomocą Group Policy lub Intune do jednostki organizacyjnej (OU) zawierającej wyłącznie maszyny testowe. Ograniczenie zakresu GPO względem użytkownika nie pomoże, bo WPP to polityka po stronie komputera, która obowiązuje maszynę niezależnie od tego, kto się loguje. Włączenie WPP z poziomu Ustawień pokaże też ostrzeżenie, że niezgodne drukarki zostaną usunięte i poprosi o potwierdzenie — dzięki temu możecie się wycofać, zanim zatwierdzicie zmianę na maszynie, co do której nie macie pewności.

Jak zablokować tryb Windows Protected Print za pomocą Group Policy?

Zablokujcie WPP za pomocą zasady „Configure Windows protected print” w Computer Configuration > Administrative Templates > Printers. Zasada ma trzy stany:

• Enabled włącza WPP i uniemożliwia jego lokalne wyłączenie.
• Disabled wyłącza WPP na całej maszynie i uniemożliwia lokalnemu administratorowi włączenie go w Ustawieniach.
• Not Configured pozostawia przełącznik w gestii użytkowników. Jest to ustawienie domyślne.

W Intune odpowiednikiem jest polityka CSP ConfigureWindowsProtectedPrint.

Wybierzcie kierunek zgodny z Waszym baseline bezpieczeństwa. Tam, gdzie WPP jest częścią baseline'u, zablokujcie go w stanie włączonym, aby lokalny administrator nie mógł go wyłączyć, żeby odzyskać drukarkę bez certyfikatu Mopria. Tam, gdzie flota nie jest gotowa, zablokujcie go w stanie wyłączonym, żeby nikt przypadkowo nie aktywował go na współdzielonym stanowisku. Zasadnicza zasada: nie zostawiajcie możliwości przełączania WPP z poziomu lokalnych Ustawień na maszynach współdzielonych lub typu hot-desk.

Jak wyłączyć WPP, jeśli został włączony przez pomyłkę?

Jeśli WPP został włączony przez pomyłkę i drukarki zniknęły innym użytkownikom, są dwa sposoby na cofnięcie tej zmiany:

1. Jeśli ustawiono go lokalnie, wyłączcie WPP w Ustawieniach lub cofnijcie zmianę w Group Policy, a następnie ręcznie zainstalujcie na nowo wszystkie drukarki bez certyfikatu Mopria, które zostały usunięte. Drukarki zainstalowane podczas włączonego WPP będą nadal korzystać z Windows Ready Print po wyłączeniu WPP, chyba że je usuniecie i zainstalujecie ponownie.
2. Jeśli WPP narzucono przez Group Policy i nie możecie go zmienić na maszynie, administrator, który ustawił politykę, musi zaktualizować zakres OU lub sam obiekt GPO. Lokalne zmiany nie zastąpią wymuszonej polityki.

Czy ezeep działa z trybem Windows Protected Print Mode?

Tak, ezeep renderuje zadania drukowania w chmurze i wysyła dane gotowe do druku do urządzenia wyjściowego, więc nie zależy od tego, czy klient Windows załaduje sterownik drukarki. To dokładnie to, co ogranicza WPP — i to jest element, który ezeep omija. Fizyczne drukarki, z którymi komunikuje się ezeep, nie wymagają certyfikatu Mopria, ponieważ renderowanie i dostarczanie do urządzenia odbywa się poza modelem sterowników Windows. Na współdzielonej stacji roboczej z włączonym WPP drukowanie przez ezeep pozostaje dostępne dla każdego profilu użytkownika na tej maszynie, a ścieżka renderowania w chmurze przekazuje zadania do drukarki niezależnie od stanu WPP na maszynie.

To drobne pytanie w kontekście WPP, ale przydatne diagnostycznie. Jeśli Wasze współdzielone stacje robocze drukują przez ezeep, będą one nadal działać po przejściu na WPP. Starsze drukarki korzystające z tradycyjnych sterowników obok nich już nie będą działać.

Skonsultujcie konfigurację WPP z ekspertem

Skontaktujcie się z nami, a omówimy Waszą konfigurację i to, jak ezeep może pomóc wam kontynuować drukowanie przy włączonym trybie Windows Protected Print.

Are You Ready to Turn on WPP?

Run through our checklist first.

Free Checklist