[paranoya]

Charg, запусти rsop.msc на проблемном ПК, она тебе сразу покажет, какие параметры и какой ГП установлены.
Ещё стоит выяснить, связана ли проблема с группой пользователей и компьютерами. То есть, устанавливаются ли проблемные принтеры у пользователей в других группах там, где другие драйвера ставятся нормально.

[Charg]

В общем частично решил проблему заменив, где это можно было, драйвера на упакованные PCL.
Но полностью проблему это не решило потому что есть в моем зоопарке пара таких принтеров как OKI C831. Так вот все драйвера которые доступны на сайте - НЕ упакованы.
И тут два нюанса:
1. если пользователю такой принтер не подключен - политикой он не раздается (драйвера то нет). Если попытаться вручную подключить этот принтер с сервера - появится окошко "доверяете ли вы этому драйверу?" с выбором "да, установить" и "нет". И кнопка с согласием имеет значок UAC, но тем не менее ввода пароля админа не требует, видимо это результат действия политики. Ну и таким способом всё успешно подключается.
Теоретически можно было бы проинструктировать пользователей как вручную подключить, но эти принтеры стоят у людей которые процесс печати понимают примерно как "я нажимаю на кнопку печать, потом просходит какая-то технологическая магия а затем из принтера лезет бумажка с рисунком". В общем сложно это.
2. если у пользователя этот принтер уже установлен, т.е. был вручную подключен с сервера печати со скачкой драйвера с него же подтверждая доверие драйверу из пункта 1 - через некоторое время при печати у пользователя просит обновить драйвер. При чем появляется такое же окошко спрашивающее о доверии к драйверу с кнопкой "да, установить". С той лишь разницей что сколько не жми на эту кнопку - драйвер не обновляется. После подтверждения о доверии происходит скачка чего-то в %localappdata%\temp, а затем снова появляется окно с вопросом о доверии драйвера, и так бесконечно. Если нажать пкм на самом принтере - там тоже есть пункт меню "обновить" - который "работает" с такими же симптомами. Ну и решается проблема удалением принтера и ручным подключением - тогда снова таки спрашивает о доверии к драйверу и на этот раз таки всё успешно качается и устанавливается - до поры до времени.

В связи с этим возникает вопрос - есть ли возможность самому упаковать драйвер либо таки заставить клиентские компьютеры "доверять" всем драйверам принтеров? Желательно с конкретного принт-сервера ну или вообще всем, если возможности ограничить нет.

[Charg]

Нашел костыльное решение тут, которое позволяет заставить принтсервер думать что драйвер который он раздает - подписан и упакован.
А именно - нужно в реестре по пути HKLM\System\CurrentControlSet\Control\Print\Enviroments\Windowsx64\Drivers\Version-X\{имядрайвера} (где X = 3 или 4 обычно, тип драйвера, который указан тут найти параметр PrinterDriverAttributes и к его содержимому добавить единицу, чтобы получилось нечётное число. Ну и перезапустить службу печати. После этого драйвер "становится" упакованным и успешно раздается клиентам.
Все групповые политики я оставлял и не хочу уже экспериментировать с минимальным набором настроек, позволяющим решить задачу, потому что задолбался уже возится с этими принтерами.
Вроде как хэппи энд.