组策略部署打印机不创build

目前，我们为用户和Windows打印服务器运行带有漫游configuration文件的Citrix XenApp环境，以便为所有用户提供部署的networking打印机，具体取决于分配的位置（OU）。

直到本周，我们开始有一些随机的问题，用户打电话报告说他们没有看到他们的networking打印机，所有东西似乎都很好用。最初，我们可以通过从networking共享中删除漫游configuration文件和它们将连接到的每个Citrix服务器上的漫游configuration文件的本地副本来弥补这种情况。但是，这已经被certificate是一个单调乏味，不可靠的解决scheme，因为它并不总是有效的。

今天，我已经开始深入研究这个问题，并且我已经能够确定这个问题不是与Citrix相关的，因为我可以使用远程桌面连接将testing帐户复制到相同的问题（networking打印机不创build）服务器。我一直在寻找解决这个问题的办法，但是迄今为止我发现的一切都被certificate是没有帮助的。

一个奇怪的警告是，这些问题似乎并没有影响到所有的用户。虽然似乎每天都在变得更糟，所以恐怕这个说法很快就会改变。

一点关于我们的环境：

打印服务器（也包含我们的漫游configuration文件的networking共享） – Windows Server 2008R2。加载打印机驱动程序，然后使用“打印pipe理”模块中的组策略进行部署。使用“每个用户”选项根据成员所属的OU来部署打印机。
域控制器 – Windows Server 2008（不是R2） – 域中的每个OU都有一个专用的打印机策略来发布该位置所需的打印机。每个策略的安全筛选设置为包含用户的组。
Citrix /terminal服务器 – Windows Server 2008R2

故障排除步骤远：

已经尝试了不同的用户帐户，都使用pipe理权限以及具有类似结果的常规“域用户”帐户。
确保组策略的“委派”选项卡包含正确的用户帐户，并具有“读取”组策略访问权限。
试图closures所有的域控制器，并一次一个，以确保没有一个单一的域控制器的问题。
在单个用户的域中创build一个全新的组策略对象进行testing。为该用户部署了一台打印机，无法在会话中部署任何打印机。
确保在连接到服务器的桌面后，我可以手动连接到共享上的打印机（以检查是否允许）
希望我不需要包含它，但自问题出现以来，所有系统（域控制器，打印服务器和Citrix /terminal服务器）都已经多次重启

任何想法/援助，将不胜感激，因为我在我的绳索试图弄清楚这一点的结尾。

提前致谢！

这听起来可能与最近的微软更新有关：

MS16-072：组策略安全更新：2016年6月14日

此更新从根本上改变了GPO的应用方式。微软目录服务团队博客条目的这个片段总结了这个原因：

当使用计算机的安全上下文检索用户组策略时，计算机帐户现在需要“读取”访问权来检索应用于用户的组策略对象（GPO）。

我敢说，受影响的用户在工作站或虚拟机池中安装了此更新。

如果您的客户使用此更新，他们将无法应用用户设置，如果他们的工作站不具有读取（不一定应用）权限您的打印机分配GPO。默认的安全设置包括这个，但是如果您定制了安全性并从安全性中移除了Authenticated Users ，则会遇到问题。实际上，我曾经在一些旧书中看到过这样的做法，作为优化GPO的措施，但现在是时候把这一页撕掉了。

最简单的办法是授予通过身份validation的用户对GPO的读取权限。如果你有很多问题需要解决，那么微软有一个PowerShell脚本，可以帮助你更新它们。像往常一样，权衡这个信息与您的特定需求。如果您不习惯将此权限添加到所有已authentication的用户 ，那么您将需要查找或使其他组为工作站分配读取权限。