Delegar a administração da impressora usando o Portal do Azure

À medida que a implantação do Universal Print aumenta, pode se tornar difícil para um administrador de TI gerenciar tudo. Talvez você queira delegar determinadas tarefas administrativas, como registrar novas impressoras ou manter impressoras em uma determinada filial, a indivíduos específicos.

É aqui que entra em cena a administração delegada. As unidades administrativas no Microsoft Entra ID podem ser usadas para configurar permissões baseadas em regras em sua organização.

Por exemplo, você pode usar unidades administrativas para permitir que alguém gerencie apenas impressoras dentro da região à qual elas oferecem suporte.

Pré-requisitos

• O usuário que delega privilégios deve ter uma função de Administrador de Função Privilegiada ou de Administrador Global .
• O administrador delegado da impressora deve ter uma licença Universal Print elegível para gerenciar impressoras.

Configurar unidades administrativas

Etapa 1: Criar a unidade administrativa

Consulte Criar ou excluir unidades administrativas para obter detalhes sobre as várias opções.

1. Entre no portal do Azure com uma Privileged Role Administrator conta ouGlobal Administrator.
2. Selecione Microsoft Entra ID>Unidades administrativas.
3. Selecione Adicionar.
4. Na caixa Nome, digite o nome da unidade administrativa. Opcionalmente, adicione uma descrição da unidade administrativa.
5. Selecione Seguinte: Atribuir funções >.
6. Selecione Função de administrador de impressora e, em seguida, selecione os usuários ou grupos aos quais atribuir a função com esse escopo de unidade administrativa.
7. Na guia Revisar + criar, revise a unidade administrativa e todas as atribuições de função.
8. Selecione o botão Criar.

Etapa 2: Atribuir impressoras a serem gerenciadas pelo administrador delegado

As unidades administrativas no Microsoft Entra ID oferecem duas maneiras de definir o conjunto de impressoras que um administrador delegado pode gerenciar:

Opção 1: Regra dinâmica

Usando regras de associação de impressora dinâmica, é possível atribuir permissões de gerenciamento a administradores delegados com base em um conjunto de critérios. Por exemplo, um administrador pode ter permissões de gerenciamento para todas as impressoras que estão em um determinado local ou foram registradas usando um determinado conector.

Consulte Gerenciar usuários ou dispositivos para uma unidade administrativa com regras de associação dinâmicas para obter detalhes adicionais.

Nota

Pode levar algum tempo para que a lista de impressoras em uma unidade administrativa seja avaliada de acordo com as regras de associação de dispositivos dinâmicos.

Delegando responsabilidades de administrador por conectores Universal Print

1. Após a criação inicial da unidade administrativa, volte para as unidades administrativas.

2. Selecione a unidade administrativa criada à qual pretende adicionar impressoras.

3. Selecione Propriedades.

4. Na lista Tipo de associação , selecione Dispositivo dinâmico.

5. Selecione Adicionar consulta dinâmica.

6. Use o construtor de regras para especificar a regra de associação dinâmica. Para obter mais informações, consulte Construtor de regras no portal do Azure.

7. No construtor de regras:

   Property	Operador	Value
   systemLabels [en]	Contains	ImpressoraStandard
   extensãoAttribute2	Começa com	<esquema de nomenclatura do conector>

Gorjeta

Anote os campos e valores "Propriedade" usados na regra de consulta dinâmica. Estes serão necessários mais tarde no processo de implantação.

Delegando responsabilidades de administrador por local da impressora

1. Após a criação inicial da unidade administrativa, volte para as unidades administrativas.

2. Selecione a unidade administrativa criada à qual pretende adicionar impressoras.

3. Selecione Propriedades.

4. Na lista Tipo de associação , selecione Dispositivo dinâmico.

5. Selecione Adicionar consulta dinâmica.

6. Use o construtor de regras para especificar a regra de associação dinâmica. Para obter mais informações, consulte Construtor de regras no portal do Azure.

7. No construtor de regras

   Property	Operador	Value
   systemLabels [en]	Contains	ImpressoraStandard
   extensionAttribute3	Contains	EUA

Gorjeta

Anote os campos e valores "Propriedade" usados na regra de consulta dinâmica. Estes serão necessários mais tarde no processo de implantação.

Opção 2: Lista estática

Usando essa opção, os administradores privilegiados podem atribuir manualmente acesso delegado a uma lista específica de impressoras.

Consulte Adicionar usuários, grupos ou dispositivos a uma unidade administrativa para obter detalhes adicionais.

1. Após a criação inicial da unidade administrativa, volte para as unidades administrativas.
2. Selecione a unidade administrativa criada à qual pretende adicionar impressoras.
3. Selecione Propriedades.
4. Na lista Tipo de associação , selecione Atribuído.
5. Se uma alteração foi feita, lembre-se de Salvar as alterações.
6. Selecione Dispositivos.
7. Selecione Adicionar dispositivo.
8. No painel Selecionar, selecione as impressoras que deseja adicionar à unidade administrativa e selecione Selecionar.

Sincronizar propriedades da impressora

A integração do Universal Print com objetos de dispositivo e unidades administrativas do Azure AD fornece muita flexibilidade e personalização na forma como a função de Administrador de Impressora pode ser delegada. Ao aproveitar o "extensionAttributeX" do objeto de dispositivo do Azure AD, as organizações podem escolher a combinação de metadados da impressora a ser usada para definir os diferentes escopos do administrador da impressora.

Para dar suporte a essa flexibilidade, é necessária a sincronização periódica dos metadados da impressora do Universal Print para o Azure AD. Isso pode ser feito executando um script, como o exemplo a seguir, ou qualquer outra forma de automação.

O exemplo a seguir fornece uma referência inicial. Modifique o script para atender às suas próprias necessidades de implantação.

Exemplo de script do PowerShell

$ErrorActionPreference = "Stop"
Connect-MgGraph -Scopes "Directory.AccessAsUser.All", "Printer.Read.All"

$tenantId = (Get-MgContext).TenantId
Write-Host "Starting processing of Universal Print printers in tenant $tenantId"

# This streams pages of printers and does not require them to all be loaded at once.
Get-MgPrintPrinter -All -ExpandProperty "connectors" | ForEach-Object -Process {
    $printer = $_

    Write-Host "Fetching Azure AD device for printer $($printer.DisplayName)"
    $device = Get-MgDevice -Filter "deviceId eq '$($printer.Id)'" -Top 1

    # The display name of the Azure AD device is set to the initial display name
    # of the printer. This sets extensionAttribute1 to the current name.
    $extensionAttribute1 = "$($printer.DisplayName)"

    # If the printer was registered with the Universal Print connector then the
    # display name of the connector will be present in extensionAttribute2.
    $extensionAttribute2 = "$($printer.Connectors[0].DisplayName)"

    # If the printer has a country or region set in its location properties it
    # will be set to extensionAttribute15. Other location properties can be used
    # as well.
    $extensionAttribute3 = "$($printer.Location.CountryOrRegion)"

    $existingExtensionAttributes = $device.AdditionalProperties.extensionAttributes
    if ($extensionAttribute1 -ne "$($existingExtensionAttributes.extensionAttribute1)" -or
        $extensionAttribute2 -ne "$($existingExtensionAttributes.extensionAttribute2)" -or
        $extensionAttribute3 -ne "$($existingExtensionAttributes.extensionAttribute3)")
    {
        Write-Host "Updating Azure AD device extension attributes for printer $($printer.DisplayName)"
        Update-MgDevice -DeviceId $device.Id -BodyParameter @{
            "extensionAttributes" = @{
                "extensionAttribute1" = $extensionAttribute1
                "extensionAttribute2" = $extensionAttribute2
                "extensionAttribute3" = $extensionAttribute3
            }
        }
    }
}

Nota

A execução deste script de exemplo requer que a conta de usuário seja

• Um "Administrador do Windows 365" e "Administrador da impressora"
• Ou, um "Administrador Global"

Administrador delegado vs. administrador de locatário

As permissões de administrador delegado e locatário diferem além de quais impressoras podem ser manadas. A tabela a seguir resume as semelhanças e diferenças:

Ação do administrador	Função de administrador da impressora	Administrador deimpressora com escopo 1
Registar impressora	Sim	Sim2
Conector de registro	Sim	Sim2
Cancelar o registro da impressora	Sim	Sim
Cancelar o registro do conector	Sim	No
Listar impressoras	Sim	Sim3
Listar compartilhamentos de impressora	Sim	Sim3
Listar Conectores	Sim	Sim3
Propriedades da impressora	Sim	Sim3
Propriedades de compartilhamento de impressora	Sim	Sim3
Partilhar impressora	Sim	Sim
Controlo de Acesso à Impressora	Sim	Sim
Trocar compartilhamento de impressora	Sim	Sim
Exibir status do trabalho na fila de impressão	Sim	Sim
Conversão de Documentos	Sim	No
Utilização e Relatórios	Sim	No

*Nota:

1. Os administradores com escopo só podem gerenciar o conjunto de impressora(s) definida(s) na configuração da unidade administrativa, a menos que especificado de outra forma.
2. Os administradores com escopo podem executar a ação em qualquer impressora ou conector.
3. Os administradores com escopo veem todas as impressoras, compartilhamentos de impressora e conectores, mas estão limitados ao acesso somente leitura para aqueles fora da configuração da AU do Azure.

Consulte também

• Leia Navegar pelo Universal Print no Portal do Azure para saber mais sobre outros recursos do Universal Print no Portal do Azure