Ativar o Windows Protected Print Mode afeta todos os usuários de um PC?

Em resumo

Sim. Windows Protected Print Mode (WPP) é uma configuração por máquina, não por organização, então habilitá-la se aplica a todos os perfis de usuário naquele PC, não apenas à pessoa que a ativou. Não há como restringi-la a um único usuário e, uma vez ativada, a máquina só imprime em impressoras com certificação Mopria, então quaisquer impressoras que não sejam Mopria desaparecem para todos que a utilizam. Uma pessoa só pode alterar seu próprio PC. Implementar o WPP em toda a organização é um passo separado que um administrador de TI realiza através da Group Policy ou do Intune, e em máquinas compartilhadas ou de uso rotativo (hot-desk), a medida mais segura é bloqueá-lo centralmente para que um administrador local não possa ativá-lo acidentalmente.

Windows Protected Print Mode é um recurso de segurança no Windows 11 versão 24H2 e posteriores. Ele restringe um PC a imprimir através do driver de classe IPP integrado da Microsoft para impressoras com certificação Mopria e bloqueia drivers de impressão de terceiros. O WPP é o modo de aplicação estrita do Windows Ready Print (WRP), a plataforma de impressão mais ampla baseada em IPP que ainda permite um fallback para um driver legado. Quando o WPP está ativado, esse fallback deixa de existir.

O Windows Protected Print Mode é por usuário ou por máquina?

Windows Protected Print Mode é uma configuração por máquina, aplicada no nível do sistema operacional no cliente. No momento em que é habilitado através das Configurações, Group Policy ou Intune, ele governa como o print spooler carrega os drivers para toda a máquina, e todos os perfis de usuário herdam as mesmas regras. Não há como habilitá-lo para um perfil e deixar outro usando a impressão legada. O WPP se aplica ao próprio cliente, não a impressoras individuais ou usuários individuais.

O que acontece com as impressoras e os drivers quando você habilita o WPP?

Habilitar o WPP altera a configuração de impressão da máquina de quatro maneiras:

• Toda impressora que depende de um driver de terceiros é desinstalada, e seu driver é removido do repositório de drivers.
• Impressoras sem certificação Mopria não podem ser reinstaladas por nenhuma conta enquanto o WPP estiver ativo.
• Impressoras com certificação Mopria podem ser reinstaladas, mas voltam a usar o Windows Ready Print em vez do driver antigo.
• Qualquer impressora que um usuário adicione enquanto o WPP está ativo precisa ter a certificação Mopria para ser instalada.

Habilitar o WPP afetará outras pessoas em um PC compartilhado?

Sim. Todos os perfis nessa máquina estão sujeitos às mesmas regras, então um colega de trabalho que faça login no mesmo PC perde as mesmas impressoras, mesmo que nunca tenha tocado na configuração. Isso torna os clientes Windows compartilhados o lugar mais arriscado para ativar o WPP. Configurações de uso rotativo (hot-desk), como balcões de recepção, estações de trabalho de laboratório, , PCs de retaguarda no varejo, terminais de manufatura) e máquinas com contas compartilhadas (terminais de biblioteca, computadores de sala de aula, PCs de sala de conferência) todos submetem várias pessoas a uma única configuração de impressão. A mesma restrição se aplica aos testes dos administradores: um administrador não pode limitar um teste do WPP ao seu próprio perfil, porque habilitá-lo altera a configuração de impressão para todos os usuários que fizerem login depois.

Como testar o Windows Protected Print Mode sem afetar outros usuários?

Teste o WPP em um hardware no qual mais ninguém faça login. Use uma estação de trabalho de teste dedicada ou restrinja a implementação através da Group Policy ou do Intune a uma OU que contenha apenas máquinas de teste. A restrição de GPO por usuário não ajudará, porque o WPP é uma política do lado do computador que se aplica à máquina, independentemente de quem faz o login. Habilitar o WPP a partir das Configurações também exibe um aviso de que as impressoras incompatíveis serão removidas e pede que você confirme, para que você possa desistir antes de confirmar em uma máquina sobre a qual não tem certeza.

Como bloquear o Windows Protected Print com a Group Policy?

Bloqueie o WPP com a política "Configure Windows protected print" em Computer Configuration > Administrative Templates > Printers. A política tem três estados:

• Enabled (Habilitado) ativa o WPP e impede que seja desativado localmente.
• Disabled (Desabilitado) desativa o WPP em toda a máquina e impede que um administrador local o ative nas Configurações.
• Not Configured (Não Configurado) deixa a opção nas mãos dos usuários. Este é o padrão.

No Intune, o equivalente é a política CSP ConfigureWindowsProtectedPrint.

Escolha a direção que corresponde à sua linha de base de segurança. Onde o WPP faz parte da linha de base, bloqueie-o como ativado, para que um administrador local não possa desativá-lo para recuperar uma impressora que não é Mopria. Onde o parque de máquinas não estiver pronto, bloqueie-o como desativado, para que ninguém o habilite em uma estação de trabalho compartilhada por acidente. A regra geral é: não deixe o WPP configurável a partir das Configurações do administrador local em máquinas compartilhadas ou de uso rotativo (hot-desk).

Como desativar o WPP se ele foi habilitado por engano?

Se o WPP foi ativado por engano e as impressoras desapareceram para outros usuários, há duas maneiras de reverter:

1. Se foi configurado localmente, desative o WPP nas Configurações ou reverta a Group Policy e, em seguida, reinstale manualmente quaisquer impressoras não-Mopria que foram removidas. As impressoras que foram instaladas enquanto o WPP estava ativado continuam usando o Windows Ready Print depois que você desativa o WPP, a menos que você as remova e reinstale.
2. Se foi imposto pela Group Policy e você não pode alterá-lo na máquina, o administrador que definiu a política precisa atualizar o escopo da OU ou a própria GPO. Alterações locais não substituirão uma política imposta.

O ezeep funciona com o Windows Protected Print Mode?

Sim, o ezeep faz o cloud rendering dos trabalhos de impressão e envia dados prontos para impressão para o dispositivo de saída, por isso não depende de o cliente Windows carregar um driver de impressora. Isso é exatamente o que o WPP restringe, e é a parte que o ezeep contorna. As impressoras físicas com as quais o ezeep se comunica não precisam da certificação Mopria, porque a renderização e a entrega ao dispositivo ocorrem fora do modelo de driver do Windows. Em uma estação de trabalho compartilhada onde o WPP está habilitado, a impressão através do ezeep permanece disponível para todos os perfis de usuário naquela máquina, e o caminho de cloud rendering encaminha os trabalhos para a impressora, independentemente do estado do WPP da máquina.

É uma questão pequena no contexto do WPP, mas um diagnóstico útil. Se suas estações de trabalho compartilhadas imprimem através do ezeep, elas continuarão funcionando durante uma transição para o WPP. As impressoras com drivers legados ao lado delas, não.

Fale com um especialista sobre sua configuração de WPP

Envie-nos um pedido de contato, e podemos conversar sobre sua configuração e como o ezeep pode ajudá-lo a continuar imprimindo com o modo Windows Protected Print ativado.

Você está pronto para ativar o WPP?

Confira nosso checklist primeiro.

Checklist Gratuito