Delegare l'amministrazione della stampante con le unità amministrative in Microsoft Entra ID

Questo articolo descrive come Stampa universale si integra con le unità amministrative in Microsoft Entra ID. Le unità amministrative limitano le autorizzazioni associate a un ruolo a qualsiasi parte dell'organizzazione definita dall'utente. È possibile, ad esempio, usare le unità amministrative per delegare il ruolo Amministratore stampante agli amministratori di stampa a livello di area, in modo che possano gestire le stampanti solo nell'area supportata.

Per altre informazioni sulle offerte, vedere Unità amministrative in Microsoft Entra ID.

Prerequisites

• Configurazione dell'unità amministrativa di Azure
  • Account amministratore con ruolo di amministratore con privilegi o amministratore globale
• Amministratore stampante delegato
  • Licenza Microsoft Entra ID Premium P1 o P2 assegnata a ogni Amministratore stampanti all'interno dell'unità amministrativa
  • A ogni amministratore della stampante all'interno dell'unità amministrativa viene assegnata una licenza idonea per Stampa universale

Configurare l'unità amministrativa

Passaggio 1: Creare l'unità amministrativa

Per informazioni dettagliate sulle varie opzioni, vedere Creare o eliminare unità amministrative .

1. Accedi al portale di Azure con un account Amministratore dei ruoli con privilegi o Amministratore globale.
2. Selezionare Microsoft Entra ID> Unità amministrative.
3. Seleziona Aggiungi.
4. Nella casella Nome immettere il nome dell'unità amministrativa. Facoltativamente, aggiungere una descrizione dell'unità amministrativa.
5. Selezionare Avanti: Assegnare ruoli >.
6. Selezionare Ruolo amministratore stampante e quindi selezionare gli utenti o i gruppi a cui assegnare il ruolo con questo ambito di unità amministrativa.
7. Nella scheda Rivedi e crea, esaminare l'unità amministrativa ed eventuali assegnazioni di ruolo.
8. Selezionare il pulsante Crea.

Passaggio 2: Assegnare le stampanti da gestire da parte dell'amministratore con ambito definito

Azure unità amministrative offre due modi per consentire agli amministratori di definire il set di dispositivi che rientrano nell'ambito dei diritti amministrativi assegnati.

1. Appartenenza dinamica ai dispositivi
   • I membri vengono aggiornati automaticamente in base alle regole di appartenenza del set di amministratori
2. Appartenenza assegnata
   • I membri vengono assegnati e aggiornati manualmente dall'amministratore dell'unità amministrativa

Opzione 1: Regola di appartenenza dinamica della stampante

Per altri dettagli, vedere Gestire utenti o dispositivi per un'unità amministrativa con regole di appartenenza dinamica .

Delega delle responsabilità di amministratore ai connettori di Stampa universale

1. Dopo la creazione iniziale dell'unità amministrativa, tornare a Unità amministrative.

2. Selezionare l'unità amministrativa creata a cui si desidera aggiungere stampanti.

3. Selezionare Proprietà.

4. Nell'elenco Tipo di appartenenza selezionare Dispositivo dinamico.

5. Seleziona aggiungi query dinamica.

6. Usare il generatore di regole per specificare la regola di appartenenza dinamica. Per altre informazioni, vedere generatore Rule nel portale di Azure.

7. Nel generatore di regole

   Property	Operator	Value
   systemLabels	Contiene	PrinterStandard
   extensionAttribute2	Inizia con	<Schema di denominazione del connettore>

Delega delle responsabilità dell'amministratore in base alla posizione della stampante

1. Dopo la creazione iniziale dell'unità amministrativa, tornare a Unità amministrative.

2. Selezionare l'unità amministrativa creata a cui si desidera aggiungere stampanti.

3. Selezionare Proprietà.

4. Nell'elenco Tipo di appartenenza selezionare Dispositivo dinamico.

5. Seleziona aggiungi query dinamica.

6. Usare il generatore di regole per specificare la regola di appartenenza dinamica. Per altre informazioni, vedere generatore Rule nel portale di Azure.

7. Nel generatore di regole

   Property	Operator	Value
   systemLabels	Contiene	PrinterStandard
   extensionAttribute3	Contiene	USA

Opzione 2: Elenco di appartenenze statico della stampante

Per altri dettagli , vedere Aggiungere utenti, gruppi o dispositivi a un'unità amministrativa .

1. Dopo la creazione iniziale dell'unità amministrativa, tornare a Unità amministrative.
2. Selezionare l'unità amministrativa creata a cui si desidera aggiungere stampanti.
3. Selezionare Proprietà.
4. Nell'elenco Tipo di appartenenza selezionare Assegnato.
5. Se è stata apportata una modifica, ricordarsi di salvare le modifiche.
6. Selezionare Dispositivi.
7. Seleziona Aggiungi dispositivo.
8. Nel riquadro Seleziona selezionare le stampanti da aggiungere all'unità amministrativa e quindi selezionare Seleziona.

Sincronizza proprietà stampante

l'integrazione di Stampa universale con Microsoft Entra ID oggetti dispositivo e unità amministrative offre una notevole flessibilità e personalizzazione nel modo in cui è possibile delegare il ruolo Amministratore stampante. Sfruttando "extensionAttributeX" dell'oggetto dispositivo di Microsoft Entra ID, le organizzazioni possono selezionare la combinazione di metadati della stampante da utilizzare per definire i diversi ambiti degli amministratori delle stampanti.

Per supportare questa flessibilità, è necessaria la sincronizzazione periodica dei metadati della stampante da Stampa universale a Microsoft Entra ID. Questa operazione può essere eseguita eseguendo uno script, ad esempio l'esempio seguente o qualsiasi altra forma di automazione.

L'esempio seguente fornisce un riferimento iniziale, i clienti devono modificare lo script per soddisfare le proprie esigenze di distribuzione.

Script di PowerShell di esempio

$ErrorActionPreference = "Stop"
Connect-MgGraph -Scopes "Directory.AccessAsUser.All", "Printer.Read.All"

$tenantId = (Get-MgContext).TenantId
Write-Host "Starting processing of Universal Print printers in tenant $tenantId"

# This streams pages of printers and does not require them to all be loaded at once.
Get-MgPrintPrinter -All -ExpandProperty "connectors" | ForEach-Object -Process {
    $printer = $_

    Write-Host "Fetching Microsoft Entra ID device for printer $($printer.DisplayName)"
    $device = Get-MgDevice -Filter "deviceId eq '$($printer.Id)'" -Top 1

    # The display name of the Microsoft Entra ID device is set to the initial display name
    # of the printer. This sets extensionAttribute1 to the current name.
    $extensionAttribute1 = "$($printer.DisplayName)"

    # If the printer was registered with the Universal Print connector then the
    # display name of the connector will be present in extensionAttribute2.
    $extensionAttribute2 = "$($printer.Connectors[0].DisplayName)"

    # If the printer has a country or region set in its location properties it
    # will be set to extensionAttribute15. Other location properties can be used
    # as well.
    $extensionAttribute3 = "$($printer.Location.CountryOrRegion)"

    $existingExtensionAttributes = $device.AdditionalProperties.extensionAttributes
    if ($extensionAttribute1 -ne "$($existingExtensionAttributes.extensionAttribute1)" -or
        $extensionAttribute2 -ne "$($existingExtensionAttributes.extensionAttribute2)" -or
        $extensionAttribute3 -ne "$($existingExtensionAttributes.extensionAttribute3)")
    {
        Write-Host "Updating Microsoft Entra ID device extension attributes for printer $($printer.DisplayName)"
        Update-MgDevice -DeviceId $device.Id -BodyParameter @{
            "extensionAttributes" = @{
                "extensionAttribute1" = $extensionAttribute1
                "extensionAttribute2" = $extensionAttribute2
                "extensionAttribute3" = $extensionAttribute3
            }
        }
    }
}

Amministratore con ambito definito e amministratore delle stampanti del tenant

Un amministratore delle stampanti con ambito definito dispone di molti degli stessi diritti di accesso del ruolo Amministratore stampanti del tenant. La tabella seguente riepiloga le analogie e le differenze.

Nota:

1. Gli amministratori con ambito possono gestire solo il set di stampanti definite nella configurazione Azure AU, se non diversamente specificato.
2. Gli amministratori con ambito possono eseguire l'azione su qualsiasi stampante o connettore.
3. Gli amministratori con autorizzazioni limitate visualizzano tutte le stampanti, le condivisioni di stampanti e i connettori, ma hanno solo accesso in lettura a quelle esterne alla configurazione di Azure AU.