连接共享打印机出现 0x0000011b 或 0x00000709，应该检查补丁、驱动还是策略？

应先对齐客户端与打印服务器补丁、Print Spooler 日志、驱动架构、Point and Print 和 RPC 安全设置，避免永久关闭安全功能。

1. 结论与适用范围

建议准备：客户端和服务器版本、是否加域、DNS 与网关配置、涉及的网络区域、完整报错、事件日志时间点，以及近期变更记录。示例域名统一使用 corp.example，不包含任何客户真实域名、IP、账号或设备序列号。

该问题归类为“Windows Server 与共享权限”。如果已经影响办公、生产或数据安全，可先远程收集日志和配置；涉及批量权限、交换机链路、停机切换或恢复演练时，应安排受控实施窗口。

2. 常见现象与环境确认

• 保留完整报错、事件日志时间点和失败操作，不要只凭用户口述判断。
• 先记录影响范围、首次发生时间、是否持续复现，以及同网段和其他网段是否一致。
• 使用“有效访问”检查用户通过组成员、继承和拒绝条目最终获得的权限。

3. 按顺序排查

1. 检查客户端与打印服务器的 Print Spooler、PrintService 日志、队列状态和挂起作业，再决定是否清理队列或重启服务。
2. 核对 Point and Print 限制、受信任服务器列表、管理员安装要求和驱动包签名，尤其是在安全更新或 GPO 变更后。
3. 统一驱动架构和版本，优先使用包感知或 Type 4 驱动；旧驱动残留可能造成 0x0000011b、0x00000709 或安装循环。
4. 不要通过永久关闭 RPC 隐私或全局安全功能来绕过打印问题，应先确认补丁水平、服务器兼容性和受控例外范围。
5. 打印机 GPO 需同时满足共享权限、打印机安全权限、驱动兼容性、Point and Print 限制和策略作用范围。
6. 一次只变更一个条件，并在变更前导出配置或记录当前状态。

Get-Printer
Get-WinEvent -LogName "Microsoft-Windows-PrintService/Admin" -MaxEvents 30
gpresult /h "%TEMP%\printer-policy.html"

4. 安全处理与批量实施

优先使用只读查询、导出配置和单台验证。确认根因后，再选择修复对象、维护窗口和回退方式。企业环境应将个人授权逐步迁移到部门、岗位和项目安全组，并保留权限矩阵、审批记录和回退脚本。

• 不要通过永久关闭 RPC 隐私或全局安全功能来绕过打印问题，应先确认补丁水平、服务器兼容性和受控例外范围。
• 打印机 GPO 需同时满足共享权限、打印机安全权限、驱动兼容性、Point and Print 限制和策略作用范围。
• 一次只变更一个条件，并在变更前导出配置或记录当前状态。

5. 验证、回退与常见误区

修复后不要只看“暂时能用”。应从用户操作、日志、重启/重新登录、不同网络位置和下一次策略/备份周期再次验证。

验证与回退检查

• 一次只变更一个条件，并在变更前导出配置或记录当前状态。
• 需要追踪删除和修改时，应配置对象访问审核、合适的 SACL、日志容量与集中留存，而不是只看文件时间。
• 访问共享前清理错误的缓存凭据和旧会话，并确认客户端使用的是预期的域账号或本地账号。

常见错误做法

• 为了快速恢复业务直接给 Everyone 完全控制。
• 只修改共享权限而忽略 NTFS 与继承。
• 在根目录批量重置 ACL 前没有备份权限和抽样验证。