Geen rechten voor WMI bij installatie printer door script

[JFTE]

Ik heb een powershell script gemaakt voor gebruikers op onze locaties, voor het installeren van de netwerkprinter op de Windows 10 Ent LTSB werkplek.
Het script kijkt in het netwerk of de printer te benaderen is, kopieert de driver van de server en installeert vervolgens de printer als WS printer.

add-printer -Name "iR-ADV C250P" -Location "LocatiePrinter" -DeviceURL $DEVICEURL

De variabele $DEVICEURL is vooraf gevuld met de waarde van het subnet b.v.:"http://192.168.55.18:80/wsd/mex"

Als ik dit als administrator uitvoer, gaat alles prima. Doet een gewone gebruiker dit, dan verschijnt de onderstaande foutmelding:

add-printer : Access was denied to the specified resource.
At line:1 char:1
+ add-printer -Name "iR-ADV C250P" -Location "LocatiePrinter" -DeviceUR ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : PermissionDenied: (MSFT_Printer:ROOT/StandardCimv2/MSFT_Printer) [Add-Printer], CimException
+ FullyQualifiedErrorId : HRESULT 0x80070005,Add-Printer


Lijkt erop dat de gebruikers niet voldoende rechten op WMI hebben. Heb al in een ultieme poging geprobeerd gebruikers op een test pc meer rechten te geven op WMI maar werkt nog niet.
Hoe kan ik dit instellen?

[DukeBox]

Waarom gerbruik je geen gpp met elevated right ? Dat laatste kan op basis van source server of forest.

[JFTE]

DukeBox schreef op donderdag 26 januari 2017 @ 21:49:
Waarom gerbruik je geen gpp met elevated right ? Dat laatste kan op basis van source server of forest.

Wij hebben 250 locaties. Netwerk op zo'n locatie is niet direct verbonden met het domein. PC's gebruiken "direct access" om bij het domein te komen. Pc's printen rechtstreeks naar de printer op de locatie zonder tussenkomst van een printserver. Dit is geen doen dit centraal te beheren.

Onder Windows 7 werkte deze methode perfect. Snelkoppeling op het bureaublad van de gebruiker(Door GPO). Deze wijst naar een script op een share op een server. Script leest ip adres en daardoor subnet van de pc uit. Dan koppelt hij de printer naar X.X.X.7 De printer heeft altijd een "7" op het eind in het netwerk.
Onder W7 koppelde ik met:
RUNDLL32.EXE PRINTUI.DLL,PrintUIEntry /if /z /b "iR-ADV C250P" /f C:\CanonC250Driver\x64\Driver\CNLB0HA64.INF /r ("IP_" + $IP) /m "Canon iR-ADV C250/350 UFR II"
Nadeel hiervan is dat je alleen kunt printen. Met "Add-Printer" kun je de printer als "WS" printer installeren zodat je ook naar pc kunt scannen.

[DukeBox]

JFTE schreef op donderdag 26 januari 2017 @ 22:01:
Wij hebben 250 locaties. Netwerk op zo'n locatie is niet direct verbonden met het domein.

Snelkoppeling op het bureaublad van de gebruiker(Door GPO).

[JFTE]

DukeBox schreef op donderdag 26 januari 2017 @ 22:04:
[...]


[...]

De pc zelf is met Direct Access (VPN tunnel van pc naar UAG server in domein) verbonden.
Hierdoor laad deze policies en kan domein resources e.d benaderen. Printers staat in het lokale netwerk zonder mogelijkheid printserver in het domein te benaderen.
Dit zijn allemaal private range netwerken met verschillende sub-netten.
Het is veel werk hiervoor allemaal lijstjes bij te houden. Script kijkt naar IP adres van pc en zoekt hierin de printer.

[DukeBox]

Dan is juist gpp een mooie oplossing omdat dit onder user context draait en getriggerd wordt door de domein detectie.

[JFTE]

DukeBox schreef op donderdag 26 januari 2017 @ 22:13:
Dan is juist gpp een mooie oplossing omdat dit onder user context draait en getriggerd wordt door de domein detectie.

Wat bedoel jij dan precies met GPP. Group Policy?

[DukeBox]

JFTE schreef op donderdag 26 januari 2017 @ 22:16:
Wat bedoel jij dan precies met GPP. Group Policy?

https://technet.microsoft...ry/dn581922(v=ws.11).aspx

[JFTE]

DukeBox schreef op donderdag 26 januari 2017 @ 22:22:
[...]

https://technet.microsoft...ry/dn581922(v=ws.11).aspx

Dank je voor de uitleg.
Heb even gekeken maar houd het tot nu toe toch maar bij het script die de gebruiker via de snelkoppeling kan starten. Ze zijn het nu al zo gewend en behoeft geen verdere gebruikers actie en wij hoeven niet locatie specifieke dingen te doen zodat een pc na inspoelen naar elke locatie gezonden kan worden.

Als ik met een GPO de WMI rechten kan fixen ben ik denk ik al klaar maar ben daar nog niet uit.