Comment activer/désactiver le mode d'impression protégé de Windows dans Intune

Commencez par vous connecter au centre d'administration Microsoft Intune pour créer votre stratégie de mode d'impression protégé Windows. Cette console centralisée gère toutes les configurations de périphériques de votre organisation.

Ouvrez votre navigateur web et accédez au centre d'administration Intune :

https://endpoint.microsoft.com/

Une fois connecté, accédez à Appareils > Configuration > Créer > Nouvelle stratégie. Sélectionnez Plateforme : Windows 10 et versions ultérieures et Type de profil : Modèles > Personnalisé.

Vérification : Vous devriez voir l'assistant "Créer un profil" avec Windows 10 et versions ultérieures sélectionné comme plateforme et Personnalisé comme type de profil.

Configurez les détails fondamentaux pour votre politique de mode d'impression protégé Windows. Des conventions de nommage claires aident les administrateurs à comprendre l'objectif et la portée de la politique.

Dans l'onglet Principes de base, configurez ces champs :

• Nom : Mode d'impression protégé Windows - Activer (ou "Désactiver" si vous créez une politique de désactivation)
• Description : Active le mode d'impression protégé Windows pour restreindre l'impression aux appareils certifiés Mopria pour une sécurité renforcée
• Plateforme : Windows 10 et versions ultérieures (déjà sélectionné)
• Type de profil : Personnalisé (déjà sélectionné)

Cliquez sur Suivant pour passer aux paramètres de configuration.

Vérification : Le nom de la politique apparaît dans la navigation par fil d'Ariane en haut de la page, confirmant que vos entrées ont été enregistrées.

Configurez le paramètre principal OMA-URI qui contrôle le mode d'impression protégée de Windows. Cette méthode offre un contrôle précis sur la fonctionnalité WPP.

Dans l'onglet Paramètres de configuration, cliquez sur Ajouter pour créer un nouveau paramètre OMA-URI :

• Nom : Configurer l'impression protégée de Windows
• Description : Contrôle l'état du mode d'impression protégée de Windows
• OMA-URI : ./Device/Vendor/MSFT/Policy/Config/Printers/ConfigureWindowsProtectedPrint
• Type de données : Chaîne
• Valeur : <enabled/> (pour activer WPP) ou <disabled/> (pour désactiver WPP)

Le chemin OMA-URI est sensible à la casse et doit être saisi exactement comme indiqué. Ce paramètre utilise le fournisseur de services de configuration Windows (CSP) pour les politiques d'imprimante.

Vérification : Le paramètre OMA-URI apparaît dans la liste de configuration avec une coche verte indiquant une syntaxe valide.

Affectez la politique à des groupes d'appareils spécifiques tout en tenant compte de l'impact opérationnel du mode d'impression protégé de Windows sur votre environnement.

Dans l'onglet Affectations :

1. Cliquez sur Ajouter des groupes sous Groupes inclus
2. Sélectionnez vos groupes cibles (commencez par un groupe pilote de 10 à 20 appareils)
3. Envisagez d'exclure les groupes avec des imprimantes héritées sous Groupes exclus
4. Examinez le résumé de l'affectation

Exemple de stratégie d'affectation :

Groupes inclus :
- IT-Pilot-Devices
- Executive-Laptops
- Conference-Room-PCs

Groupes exclus :
- Manufacturing-Workstations
- Legacy-Printer-Users
- Critical-Production-Systems

Vérification : Le résumé de l'affectation montre le nombre estimé d'appareils qui recevront cette politique.

Complétez le processus de création de la politique et surveillez le déploiement initial pour garantir une application réussie sur vos appareils cibles.

Dans l'onglet Revoir + créer :

1. Examinez tous les détails de configuration
2. Vérifiez que le chemin et la valeur OMA-URI sont corrects
3. Confirmez que les groupes d'affectation sont appropriés
4. Cliquez sur Créer pour déployer la politique

Après la création, surveillez le statut du déploiement :

1. Accédez à Appareils > Surveiller > Configuration de l'appareil
2. Trouvez votre politique de Mode d'impression protégé Windows
3. Vérifiez les onglets Statut de l'appareil et Statut de l'utilisateur

L'application de la politique se produit généralement dans les 8 heures pour les vérifications standard, ou immédiatement si vous déclenchez une synchronisation manuelle.

Vérification : Le statut de la politique indique "Réussi" pour les appareils cibles, et le pourcentage de déploiement atteint 100 % pour votre groupe pilote.

Confirmez que le mode d'impression protégé de Windows est correctement configuré sur les appareils cibles en utilisant à la fois des vérifications du registre et une vérification de l'interface utilisateur.

Sur un appareil cible, ouvrez PowerShell en tant qu'administrateur et exécutez :

Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers" -Name "EnableWindowsProtectedPrintMode"

Sortie attendue pour WPP activé :

EnableWindowsProtectedPrintMode : 1
PSPath                         : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers
PSParentPath                   : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT
PSChildName                    : Printers
PSDrive                        : HKLM
PSProvider                     : Microsoft.PowerShell.Core\Registry

Vérifiez également via l'interface des paramètres Windows :

1. Ouvrez Paramètres > Bluetooth et appareils > Imprimantes et scanners
2. Cliquez sur Préférences de l'imprimante
3. Cherchez le paramètre Impression protégée Windows (devrait être grisé/imposé)

Vérification : La valeur du registre indique 1 pour activé ou 0 pour désactivé, et l'interface des paramètres reflète l'état imposé.

Vérifiez que les imprimantes certifiées Mopria continuent de fonctionner tandis que les appareils non certifiés sont correctement restreints ou supprimés.

Effectuez ces tests sur des appareils avec WPP activé :

1. Test des imprimantes certifiées Mopria : Imprimez une page de test pour confirmer le bon fonctionnement
2. Vérifiez les imprimantes supprimées : Vérifiez que les imprimantes non Mopria n'apparaissent plus dans la liste des imprimantes
3. Test de la file d'attente d'impression : Assurez-vous que les travaux d'impression se déroulent normalement pour les appareils certifiés
4. Vérifiez l'impact XPS/Fax : Vérifiez si Microsoft XPS Document Writer ou Windows Fax ont été supprimés

Utilisez cette commande PowerShell pour lister les imprimantes actuelles :

Get-Printer | Select-Object Name, DriverName, PortName | Format-Table -AutoSize

Documentez les résultats dans une matrice de test :

Nom de l'imprimante     | Certifiée Mopria | Statut après WPP
---------------------|------------------|------------------
HP LaserJet Pro M404 | Oui              | Fonctionne
Canon PIXMA TR8620   | Oui              | Fonctionne
Ancienne Epson Dot Matrix | Non               | Supprimée
XPS Document Writer  | N/A              | Supprimé

Vérification : Seules les imprimantes certifiées Mopria restent fonctionnelles, et les utilisateurs peuvent imprimer avec succès sur des appareils approuvés sans avertissements de sécurité.

Préparez une politique de désactivation pour revenir rapidement au mode d'impression protégé de Windows si des problèmes surviennent ou lorsque la prise en charge des imprimantes héritées est temporairement nécessaire.

Suivez le même processus que la politique d'activation, mais avec ces différences clés :

1. Nom : Mode d'impression protégé de Windows - Désactiver
2. Description : Désactive le mode d'impression protégé de Windows pour restaurer la compatibilité avec les imprimantes héritées
3. Valeur OMA-URI : <disabled/>

Assignez la politique de désactivation à un groupe distinct initialement (ne pas chevaucher avec les attributions de la politique d'activation) :

Attribution de la politique de désactivation :
- WPP-Rollback-Group (vide initialement)
- Legacy-Printer-Required-Users
- Emergency-Disable-Devices

Pour effectuer un retour en arrière :

1. Déplacez les appareils affectés du groupe de la politique d'activation au groupe de la politique de désactivation
2. Attendez l'application de la politique (ou forcez la synchronisation)
3. Réinstallez les pilotes d'imprimante hérités requis
4. Réactivez XPS/Fax si nécessaire via les fonctionnalités optionnelles

Vérification : Après avoir appliqué la politique de désactivation, la valeur du registre change en 0, et l'interface utilisateur des paramètres montre que l'impression protégée de Windows est disponible pour le contrôle de l'utilisateur.

Établissez des procédures de surveillance et de maintenance continues pour garantir que le mode d'impression protégé de Windows continue de répondre à vos exigences de sécurité et opérationnelles.

Configurez des tâches de surveillance régulières :

1. Conformité des politiques : Vérifiez les rapports Intune chaque semaine pour les échecs d'application des politiques
2. Inventaire des imprimantes : Maintenez des listes à jour des appareils certifiés Mopria
3. Support utilisateur : Surveillez les tickets du service d'assistance liés aux problèmes d'impression
4. Événements de sécurité : Examinez les journaux de l'Observateur d'événements pour les entrées liées à WPP

Utilisez ce script PowerShell pour générer un rapport de conformité :

# Vérifiez le statut WPP sur les ordinateurs du domaine
$computers = Get-ADComputer -Filter * | Select-Object -ExpandProperty Name
$results = @()

foreach ($computer in $computers) {
    try {
        $wppStatus = Invoke-Command -ComputerName $computer -ScriptBlock {
            Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers" -Name "EnableWindowsProtectedPrintMode" -ErrorAction SilentlyContinue
        }
        $results += [PSCustomObject]@{
            Computer = $computer
            WPPEnabled = if ($wppStatus) { $wppStatus.EnableWindowsProtectedPrintMode } else { "Non configuré" }
            Status = "En ligne"
        }
    } catch {
        $results += [PSCustomObject]@{
            Computer = $computer
            WPPEnabled = "Erreur"
            Status = "Hors ligne"
        }
    }
}

$results | Export-Csv -Path "WPP-Compliance-Report.csv" -NoTypeInformation

Vérification : Les rapports de conformité réguliers montrent une application cohérente de WPP sur votre flotte, et la satisfaction des utilisateurs reste élevée avec les appareils d'impression approuvés.