Delegar a Administração de Impressoras com Unidades Administrativas no Microsoft Entra ID

Este artigo descreve como a Impressão Universal se integra com unidades administrativas no Microsoft Entra ID. As unidades administrativas restringem permissões numa função a qualquer parte da sua organização que defina. Poderia, por exemplo, usar unidades administrativas para delegar o papel de Administrador de Impressora aos administradores regionais de impressão, para que possam gerir impressoras apenas na região que suportam.

Consulte Unidades Administrativas no Microsoft Entra ID para obter mais detalhes sobre o que esta funcionalidade oferece.

Prerequisites

• Configurar Unidade administrativa do Azure
  • Conta de administrador com a função de Administrador de Funções Privilegiadas ou de Administrador Global
• Administrador Delegado de Impressoras
  • Licença Microsoft Entra ID Premium P1 ou P2 atribuída a cada Administrador de Impressora dentro da unidade administrativa
  • A licença elegível para o Impressão Universal é atribuída a cada Administrador de Impressoras dentro da unidade administrativa

Configurar a Unidade Administrativa

Passo 1: Criar a unidade administrativa

Consulte Criar ou eliminar unidades administrativas para detalhes sobre as várias opções.

1. Inicie sessão no portal Azure com uma conta de Administrador de Funções Privilegiadas ou Administrador Global.
2. Selecione Microsoft Entra ID>Unidades administrativas.
3. Selecione Adicionar.
4. Na caixa do Nome , insira o nome da unidade administrativa. Opcionalmente, adicione uma descrição da unidade administrativa.
5. Selecionar Próximo: Atribuir papéis >.
6. Selecione o papel de administrador de impressora e depois selecione os utilizadores ou grupos a atribuir o papel com este âmbito de unidade administrativa.
7. No separador Rever + Criar, reveja a unidade administrativa e eventuais atribuições de funções.
8. Selecione o botão Criar.

Passo 2: Atribuir impressoras para serem geridas por um administrador com âmbito definido

O Azure Administrative Units oferece 2 formas para os Administradores definirem o conjunto de dispositivos que estão dentro do âmbito dos direitos administrativos atribuídos.

1. Adesão Dinâmica ao Dispositivo
   • Os membros são atualizados automaticamente com base nas regras de pertença definidas pelo Administrador.
2. Afiliação atribuída
   • Os membros são atribuídos e atualizados manualmente pelo Administrador da Unidade Administrativa

Opção 1: Regra dinâmica de associação de impressoras

Consulte Gerenciar utilizadores ou dispositivos para uma unidade administrativa com regras dinâmicas de adesão para mais detalhes.

Atribuir responsabilidades de administrador através dos conectores do Impressão Universal

1. Depois de a unidade administrativa ser criada pela primeira vez, volte a Unidades administrativas.

2. Selecione a unidade administrativa criada à qual quer adicionar impressoras.

3. Selecione Propriedades.

4. Na lista de tipos de membros , selecione Dispositivo Dinâmico.

5. Selecione Adicionar consulta dinâmica.

6. Utilize o construtor de regras para especificar a regra de associação dinâmica. Para mais informações, consulte Rule builder no portal Azure.

7. No construtor de regras

   Property	Operador	Valor
   etiquetasDoSistema	Contém	PrinterStandard
   extensãoAtributo2	Começa Com	<Esquema de nomenclatura de conectores>

Delegação de responsabilidades administrativas por localização da impressora

1. Depois de a unidade administrativa ser criada pela primeira vez, volte a Unidades administrativas.

2. Selecione a unidade administrativa criada à qual quer adicionar impressoras.

3. Selecione Propriedades.

4. Na lista de tipos de membros , selecione Dispositivo Dinâmico.

5. Selecione Adicionar consulta dinâmica.

6. Utilize o construtor de regras para especificar a regra de associação dinâmica. Para mais informações, consulte Rule builder no portal Azure.

7. No construtor de regras

   Property	Operador	Valor
   etiquetasDoSistema	Contém	PrinterStandard
   extensionAttribute3	Contém	EUA

Opção 2: Lista de membros estática para impressoras

Consulte Adicionar utilizadores, grupos ou dispositivos a uma unidade administrativa para mais detalhes.

1. Depois de a unidade administrativa ser criada pela primeira vez, volte a Unidades administrativas.
2. Selecione a unidade administrativa criada à qual quer adicionar impressoras.
3. Selecione Propriedades.
4. Na lista de tipos de membros , selecione Atribuído.
5. Se foi feita uma alteração, lembre-se de guardar as alterações.
6. Selecionar dispositivos.
7. Selecione Adicionar dispositivo.
8. No painel Select , selecione as impressoras que quer adicionar à unidade administrativa e depois selecione Select.

Propriedades da Impressora de Sincronização

A integração da Impressão Universal com objetos de dispositivo Microsoft Entra ID e unidades administrativas oferece muita flexibilidade e personalização na forma como o papel de Administrador de Impressora pode ser delegado. Ao aproveitar o "extensionAttributeX" do objeto dispositivo Microsoft Entra ID, as organizações podem escolher a combinação de metadados da impressora a usar para definir os diferentes escopos dos administradores da impressora.

Para suportar esta flexibilidade, é necessária a sincronização periódica dos metadados da impressora da Impressão Universal para o Microsoft Entra ID. Isto pode ser feito executando um script, como o exemplo seguinte, ou qualquer outra forma de automação.

O exemplo seguinte fornece uma referência inicial, os clientes devem modificar o script para satisfazer as suas próprias necessidades de implementação.

Exemplo de Script PowerShell

$ErrorActionPreference = "Stop"
Connect-MgGraph -Scopes "Directory.AccessAsUser.All", "Printer.Read.All"

$tenantId = (Get-MgContext).TenantId
Write-Host "Starting processing of Universal Print printers in tenant $tenantId"

# This streams pages of printers and does not require them to all be loaded at once.
Get-MgPrintPrinter -All -ExpandProperty "connectors" | ForEach-Object -Process {
    $printer = $_

    Write-Host "Fetching Microsoft Entra ID device for printer $($printer.DisplayName)"
    $device = Get-MgDevice -Filter "deviceId eq '$($printer.Id)'" -Top 1

    # The display name of the Microsoft Entra ID device is set to the initial display name
    # of the printer. This sets extensionAttribute1 to the current name.
    $extensionAttribute1 = "$($printer.DisplayName)"

    # If the printer was registered with the Universal Print connector then the
    # display name of the connector will be present in extensionAttribute2.
    $extensionAttribute2 = "$($printer.Connectors[0].DisplayName)"

    # If the printer has a country or region set in its location properties it
    # will be set to extensionAttribute15. Other location properties can be used
    # as well.
    $extensionAttribute3 = "$($printer.Location.CountryOrRegion)"

    $existingExtensionAttributes = $device.AdditionalProperties.extensionAttributes
    if ($extensionAttribute1 -ne "$($existingExtensionAttributes.extensionAttribute1)" -or
        $extensionAttribute2 -ne "$($existingExtensionAttributes.extensionAttribute2)" -or
        $extensionAttribute3 -ne "$($existingExtensionAttributes.extensionAttribute3)")
    {
        Write-Host "Updating Microsoft Entra ID device extension attributes for printer $($printer.DisplayName)"
        Update-MgDevice -DeviceId $device.Id -BodyParameter @{
            "extensionAttributes" = @{
                "extensionAttribute1" = $extensionAttribute1
                "extensionAttribute2" = $extensionAttribute2
                "extensionAttribute3" = $extensionAttribute3
            }
        }
    }
}

Administrador com âmbito limitado vs Administrador de impressoras do tenant

Um administrador de impressoras com âmbito definido tem muitos dos mesmos direitos de acesso que a função de Administrador de Impressoras do tenant. A tabela seguinte resume as semelhanças e diferenças.

Note:

1. Os administradores com escopo só podem gerir o conjunto de impressoras definidas na configuração Azure AU, salvo indicação em contrário.
2. Os administradores com âmbito definido podem executar a ação em qualquer impressora ou conector.
3. Os administradores com âmbito definido veem todas as impressoras, partilhas de impressora e conectores, mas estão limitados a acesso só de leitura àqueles que estão fora da configuração da AU do Azure.