Habilitar o ambiente híbrido AD/Microsoft Entra ID no Universal Print
Aplica-se a: Windows Server 2016
Tela de fundo
Essas informações destinam-se a ajudá-lo a decidir se habilitar a configuração híbrida do AD é a escolha certa para sua organização.
O que é uma configuração híbrida do AD?
Uma configuração híbrida do AD é uma instalação em que a organização usa o AD e o Microsoft Entra ID. Nesse ambiente, existe uma conta de usuário em ambos os serviços de diretório.
O que significa "Habilitar configuração híbrida do AD"?
O conector Universal Print é executado como serviço do Windows no PC onde está instalado. Uma das funções do conector é recuperar trabalhos de impressão do Universal Print e enviá-los para a impressora de destino. O conector usa a conta "Sistema" para enviar trabalhos de impressão para o spooler. Portanto, embora o portal Universal Print mostre o nome de usuário Microsoft Entra ID que enviou um trabalho de impressão, cada trabalho de impressão impresso usando Universal Print aparecerá na fila de impressora do Windows no conector como enviado pelo usuário "Sistema".
Alguns aplicativos de gerenciamento de impressão herdados, que dependem de domínios do Active Directory, leem o nome de usuário da fila do spooler e usam essas informações para executar alguma função (por exemplo, deduzir o trabalho de impressão da cota de impressão mensal de um usuário). Até que esses aplicativos sejam atualizados para funcionar mais perfeitamente com o Universal Print, eles não poderão obter a identidade do usuário que originou um trabalho de impressão.
Quando a opção "Habilitar configuração híbrida do AD" está ativada no conector Universal Print, o conector tenta mapear a identidade do usuário do Microsoft Entra ID para uma identidade de usuário do domínio do AD local correspondente. Se uma identidade correspondente for encontrada, o serviço de conector representará a identidade de domínio desse usuário antes de enviar o trabalho de impressão para o spooler em seu nome. Nesse caso, o nome de usuário do domínio do usuário que originou o trabalho de impressão aparecerá na fila do spooler no PC conector, permitindo que aplicativos herdados o leiam.
Pré-requisitos
Há uma série de assinaturas, serviços e computadores que você precisará adquirir antes de iniciar esta instalação. Elas são as seguintes:
Assinatura premium do Microsoft Entra ID.
Confira Introdução a uma assinatura do Azure para obter uma assinatura de avaliação do Azure.
Serviço de MDM, como o Intune.
Consulte Microsoft Intune para obter uma assinatura de avaliação do Intune.
Computador com Windows Server 2016 ou posterior executando o Active Directory.
Confira Passo a passo: configurando o Active Directory no Windows Server 2016 para obter ajuda para configurar o Active Directory.
Um computador Windows Server 2016 ou posterior dedicado associado ao domínio em execução como um Servidor de Impressão e um conector de Impressão Universal.
Consulte Compreender os conectores do Proxy de Aplicativo do Microsoft Entra ID para obter mais informações.
Nome de domínio voltado para o público.
Você pode usar o nome de domínio criado para você pelo Azure (domainname.onmicrosoft.com) ou comprar seu nome de domínio. Consulte Adicionar seu nome de domínio personalizado usando o portal Microsoft Entra ID.
Etapas de implantação
As etapas abaixo permitem que você configure uma implantação típica de Impressão Universal necessária para habilitar o Ambiente de ID do AD Híbrido/Microsoft Entra.
Etapa 1 - Instalar o Microsoft Entra ID Connect
- A conexão do Microsoft Entra ID sincroniza o Microsoft Entra ID com o AD local. No computador Windows Server com Active Directory, baixe e instale o software Microsoft Entra ID Connect com configurações expressas. Consulte Introdução ao Microsoft Entra ID Connect usando configurações expressas.
Etapa 2 – Instalar o Proxy de Aplicativo
Observação: ignore esta etapa se o servidor de impressão já tiver ingressado no AzureAD.
O proxy de aplicativo permite que os usuários na organização acessem aplicativos locais da nuvem. Instale o Proxy de Aplicativo no conector.
- Para obter instruções de instalação, consulte Tutorial: Adicionar um aplicativo local para acesso remoto por meio do Proxy de Aplicativo no Microsoft Entra ID.
- Um grupo de conectores dedicados será recomendado se a organização tiver uma topologia de rede complexa. Confira Publicar aplicativos em redes e locais separados usando grupos de conectores.
Etapa 3 - Configurar o servidor de impressão
Verifique se o Servidor de Impressão tem todo o Windows Update disponível instalado (Atualize o servidor antes de prosseguir).
Observação: o Servidor 2019 precisa receber patches para o build 17763.165 ou posterior.
Na máquina Windows Server que atua como um servidor de impressão, precisaríamos instalar a Função de Servidor de Impressão.
- Consulte Instalar funções, serviços de função e recursos usando o Assistente para Adicionar Funções e Recursos para obter detalhes sobre como instalar funções de servidor.
Para garantir que o AD local mapeie com as contas de ID do Microsoft Entra, o Windows Server que atua como Servidor de Impressão deve ser Ingressado Híbrido/Ingressado no Azure. Consulte Configuração de impressão universal para garantir que todas as etapas sejam concluídas. Em suma,
- Instale o Universal Print Connector na máquina do Servidor de Impressão, se ainda não tiver sido feito.
- Registre o conector com o Universal Print fornecendo um nome exclusivo para o conector.
- Compartilhe as impressoras registradas no portal administrativo.
Etapa 4 - Configurar a sincronização de diretório do AD local com o Microsoft Entra ID
Os usuários ou grupos devem existir no Active Directory local e sincronizados com o Microsoft Entra ID. Se a solução for implantada em um domínio não roteável (por exemplo , mydomain.local), o domínio Microsoft Entra ID (por exemplo , domainname.onmicrosoft.com ou um adquirido de um fornecedor de terceiros) precisará ser adicionado como um sufixo UPN ao Active Directory local. Isso ocorre exatamente o mesmo usuário que publicará impressoras (por exemplo, admin@domainname.onmicrosoft.com). Consulte Preparar um domínio não roteável para sincronização de diretórios para garantir que o domínio local seja adicionado e sincronizado.
Nota: Este é um passo importante, pois é o requisito básico para uma configuração completa. O usuário local do AD deve ter o mesmo nome de usuário na conta sincronizada do Microsoft Entra ID.
Exemplo: domain/user1 deve ser traduzido para user1@example.com
Depois que a sincronização ocorrer (a frequência de sincronização padrão é de 30 minutos), você poderá verificar se os usuários do AD estão sincronizados no portal administrativo. Em Microsoft Entra ID, selecione a guia usuários e uma lista de todos os usuários apareceria. Seria fácil verificar se um usuário está sincronizado com o diretório nessa lista. Os detalhes de um usuário devem mostrar que a origem é o Windows Server AD.
Etapa 5 - Habilitando o suporte híbrido ao AD/Microsoft Entra ID no Universal Print Connector
No Servidor de Impressão onde o conector está instalado, deve haver um botão de alternância no canto superior direito do aplicativo.
- Selecione o botão de opção ativado para a opção Habilitar configuração híbrida do AD no conector.
Verificar a implantação
Verificar se a implantação seria enviando um trabalho de impressão de teste para o servidor de impressão usando suas credenciais de ID do Microsoft Entra em um computador cliente ingressado no AD.
A máquina deve ser Microsoft Entra ID associada com a mesma conta que está vinculada durante a etapa de sincronização. Vá para Configurações>Contas Email>& Contas. Clique em Adicionar uma conta corporativa ou de estudante e faça logon usando as credenciais para adicionar a conta Microsoft Entra ID à máquina cliente.
As etapas para enviar uma impressão de teste para verificar a implantação estão abaixo:
- Adicionar uma impressora e imprimir uma página de teste
- Depois de notar um trabalho de impressão enfileirado na fila de impressão, o servidor de impressão na pasta C:/prints deve ter um arquivo de impressão de teste exibido no nome printerName.pdf.
- Se esse arquivo for exibido, você poderá verificar se o mapeamento ocorreu com êxito verificando os logs de eventos no caminho mencionado na seção Solução de problemas para logs do Servidor de Impressão.
Solução de problemas
Abaixo estão os problemas comuns encontrados durante a implantação:
| Erro | Etapas Recomendadas |
|---|---|
| A solicitação para adicionar ou remover recursos no servidor especificado falhou | Verifique se o Windows Server tem a atualização mais recente, verificando se há atualizações no servidor. |
| Verificar se o servidor é Domínio e ingressou no Azure | Execute dsregcmd no prompt de comando e verifique se AzureADJoined e DomainJoined estão definidos para o estado "YES". |
| Os trabalhos de impressão permanecem no estado Enviado à impressora | |
| Os trabalhos de impressão são exibidos como "Abortados" no portal. O log de eventos do Conector de Impressão mostra o Evento 27 "Falha ao representar <o usuário> para a ID> do trabalho<, seguido pelo Evento 9 "Falha no PrintJob System.Security.SecurityException: O nome de usuário ou senha está incorreto...". | Verifique se a conta do computador é membro do "Grupo de Acesso de Autorização do Windows", conforme descrito aqui - Aplicativos e APIs exigem acesso. |
Para obter mais ajuda na solução de problemas relacionados ao Universal Print, consulte o Guia de solução de problemas do Universal Print.
Abaixo estão os locais de logs que podem ajudar na solução de problemas:
| Componente | Local do log |
|---|---|
| Cliente do Windows 10 | |
| Servidor de Impressão | Use o Visualizador de Eventos para ver o log do Conector de Impressão. Clique em Iniciar e digite Visualizador de Eventos. Navegue até Logs de aplicativos > e serviços do Microsoft > Windows > PrintConnector > Operacional. |