Niet-AD-users laten printen op domain-printers?

[witchdoc]

Hopelijk een simpel probleempje voor diegene met AD ervaring.

We hebben hier vaak mensen op bezoek (zoals klanten, leveranciers, collega's van zusterfirma's, ...) die dus geen AD user hebben maar toch willen printen.
Nu zijn onze printers geïntegreerd in het domein en kunnen ze die printers dus niet zomaar aanspreken.

Ik dacht slim te zijn en de printer zelf te installeren (met een admin account) op die persoon z'n computer. Helaas bleek die user dan effectief als administrator te printen. Dit lijkt me niet echt hoe het hoort te gaan.

De vraag is dus: hoe kan ik deze bezoekers toch laten printen op onze domein printer zonder dat ik telkens een AD account moet aanmaken en terwijl het ganse systeem toch veilig te houden?

Als ik wat ga rondzoeken kom ik b.v. deze link waar iemand hetzelfde probleem heeft. De oplossing die hier aangegeven wordt is om een domein guest account te gebruiken.
Ik vind echter niet terug of hier nadelen aanzitten en hoe ik dit precies configureer.

Mocht het van belang zijn, we zitten hier op win2008.

[Outerspace]

Heb je ook een USB aansluiting op je printer zitten? Soms kan je namelijk printen vanaf een USB stick die je in de printer steekt. Dan hoef je ook niet te werken via het AD

[witchdoc]

Outerspace schreef op vrijdag 16 december 2011 @ 10:41:
Heb je ook een USB aansluiting op je printer zitten? Soms kan je namelijk printen vanaf een USB stick die je in de printer steekt. Dan hoef je ook niet te werken via het AD

De printer staat niet in de buurt van waar de bezoekers meestal zitten. En nee, gaan spelen met USB is niet de oplossing die we willen

[YuriV]

Is dat niet op te lossen door mensen (mits verbonden met het netwerk natuurlijk) direct naar het IP adres van de printer te laten printen?
Dus een nieuwe lokale printer aanmaken en dan kiezen een TCP/IP poort.

[Arie-]

Een simpele guest account zonder wachtwoord met enkel printrechten werkt niet? Het zal wel gaan om lap-tops die zij zelf bij zich hebben?

[ Voor 29% gewijzigd door Arie- op 16-12-2011 10:57 ]

[pinodambini]

Anders via de web interface. De meeste grotere machines ondersteunen direct printing via de web interface dmv het uploaden van de te printen documenten.

[Verwijderd]

Dan geef je "everyone" print permissies op een bepaalde printer en maak je via IIS die printer via het web toegankelijk.
Vervolgens kun je de gasten naar bijv. http://printers.example.com laten browsen en kunnen ze zo de printer via de IIS website toevoegen aan hun systeem, zonder inloggen, etc.

[Question Mark]

Zou dat voldoende zijn? Vanuit het domein gezien zijn de "bezoekers" anonymous (aangezien er niet geauthenticeerd wordt). In windows 2008 zijn de anonymous users echter standaard geen member van de "everyone" group.

Everyone group does not include anonymous security identifier

Dit gedrag is overigens via een policy te beinvloeden:

Network access: Let Everyone permissions apply to anonymous users.

By Default, the Everyone security identifier (SID) is removed from the token created for anonymous connections. Therefore, permissions granted to the Everyone group do not apply to anonymous users. If this option is set, anonymous users can only access those resources for which the anonymous user has been explicitly given permission.

If this policy is enabled, the Everyone SID is added to the token that is created for anonymous connections. In this case, anonymous users are able to access any resource for which the Everyone group has been given permissions.

[witchdoc]

Question Mark schreef op vrijdag 16 december 2011 @ 13:04:
Zou dat voldoende zijn? Vanuit het domein gezien zijn de "bezoekers" anonymous (aangezien er niet geauthenticeerd wordt). In windows 2008 zijn de anonymous users echter standaard geen member van de "everyone" group.

Everyone group does not include anonymous security identifier

Dit gedrag is overigens via een policy te beinvloeden:

[...]

Mja, het lijkt me zeker geen goed idee om die anonymous te gaan activeren overaal waar die everyone gedefiniëerd is. Wie weet waar is dat allemaal in gebruik.

Als anynomous betekend dat iedereen zonder logon 'toegang' heeft, lijkt de beste en makkelijkste oplossing om gewoon die anonymous toegang te geven tot de printer.
Vraag is dan natuurlijk wat er dan gebeurd voor de AD users.. gaan die nog steeds met hun ad credentials printen zodat de coversheet bij elke printopdracht nog wel gewoon hun gegevens komen te staan.

Even testen..

[PeterPan]

YuriV schreef op vrijdag 16 december 2011 @ 10:55:
Is dat niet op te lossen door mensen (mits verbonden met het netwerk natuurlijk) direct naar het IP adres van de printer te laten printen?
Dus een nieuwe lokale printer aanmaken en dan kiezen een TCP/IP poort.

^Dit.
Eventueel koop je een paar losse (HP) printerservers die je aansluit op de printerpoort of USB aansluiting van de printers (en eventueel een apart VLAN) zodat je niet in de knoop komt met je eigen printerserver/netwerk.

Je moet je wel afvragen of je verantwoordelijk wilt zijn voor het installeren van printerdrivers op de laptops van je bezoekers. Ik zou een korte instructie schrijven en ze het verder zelf laten uitzoeken.

[moppentappers]

Als je die kant op wil gaan zijn HP printers waar je een e-mailtje naar kan sturen misschien nog wel makkelijker, dan heb je helemaal geen driver perikelen meer.