Zusammenfassung
Windows-Updates, die am 10. August 2021 und später veröffentlicht werden, erfordern standardmäßig Administratorrechte zum Installieren von Treibern. Wir haben diese Änderung des Standardverhaltens vorgenommen, um das Risiko auf allen Windows-Geräten zu beheben, einschließlich Geräten, die keine Point-and-Print- oder Druckfunktionen verwenden. Weitere Informationen finden Sie unter Point-and-Print-Standardverhalten undCVE-2021-34481.
Standardmäßig können Benutzer, die keine Administratoren sind, die folgende Aktionen mit Point-and-Print ausführen, ohne dass sie eine Erhöhung der Berechtigung zum Administrator haben:
- Installieren neuer Drucker mithilfe von Treibern auf einem Remotecomputer oder -server
- Aktualisieren vorhandener Druckertreiber mithilfe von Treibern vom Remotecomputer oder -server
Hinweis Wenn Sie Point-and-Print nicht verwenden, sollten Sie von dieser Änderung nicht betroffen sein und sind nach der Installation von Updates, die am 10. August 2021 oder später veröffentlicht wurden, standardmäßig geschützt.
Wichtig Druckclients in Ihrer Umgebung müssen über ein Update verfügen, das am 12. Januar 2021 oder später veröffentlicht wurde, bevor Updates installiert werden, die am 14. September 2021 veröffentlicht werden. Weitere Informationen finden Sie in Frage 2 unter "Häufig gestellte Fragen" weiter unten.
Ändern des Standardinstallationsverhaltens des Treibers mithilfe eines Registrierungsschlüssels
Sie können dieses Standardverhalten mithilfe des Registrierungsschlüssels in der folgenden Tabelle ändern. Seien Sie jedoch sehr vorsichtig, wenn Sie einen Wert von Null (0) verwenden, da dies Geräte anfällig macht. Wenn Sie in Ihrer Umgebung den Registrierungswert 0 verwenden müssen, empfehlen wir, ihn vorübergehend zu verwenden, während Sie Ihre Umgebung so anpassen, dass Windows-Geräte den Wert eins (1) verwenden können.
| Registrierungspfad | HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint |
|---|---|
| DWordname | RestrictDriverInstallationToAdministrators |
| Wertdaten |
Standardverhalten: Wenn Sie diesen Wert auf 1 festlegen oder wenn der Schlüssel nicht definiert oder nicht vorhanden ist, sind Administratorberechtigungen erforderlich, um bei Verwendung von Point-and-Print einen Druckertreiber zu installieren. Dieser Registrierungsschlüssel überschreibt alle Gruppenrichtlinien-Einstellungen für Point-and-Print-Einschränkungen und stellt sicher, dass nur Administratoren Druckertreiber von einem Druckerserver mit Point-and-Print installieren können. Das Festlegen des Werts auf 0 ermöglicht es Nicht-Administratoren, signierte und nicht signierte Treiber auf einem Druckserver zu installieren, überschreibt jedoch nicht die Point-and-Print-Gruppenrichtlinien-Einstellungen. Folglich können die Gruppenrichtlinieneinstellungen für Point-and-Print-Einschränkungen diese Registrierungsschlüsseleinstellung außer Kraft setzen, um zu verhindern, dass Nichtadministratoren signierte und unsignierte Druckertreiber von einem Druckserver installieren. Einige Administratoren legen den Wert möglicherweise auf 0 fest, um Nicht-Administratoren das Installieren und Aktualisieren von Treibern zu ermöglichen, nachdem sie zusätzliche Einschränkungen hinzugefügt haben, einschließlich des Hinzufügens einer Richtlinieneinstellung, die einschränkt, von wo aus Treiber installiert werden können. Wichtig Es gibt keine Kombination von Risikominderungen, die dem Festlegen von "RestrictDriverInstallationToAdmins" auf 1 entspricht. Hinweis: Updates, die am 6. Juli 2021 oder später veröffentlicht wurden, haben bis zur Installation von Updates, die am 10. August 2021 oder später veröffentlicht wurden, den Standardwert 0 (deaktiviert). Updates, die am 10. August 2021 oder später veröffentlicht wurden, haben den Standardwert 1 (aktiviert). |
| Neustartanforderungen | Beim Erstellen oder Ändern dieses Registrierungswerts ist kein Neustart erforderlich. |
Hinweis Windows-Updates legen den Registrierungsschlüssel nicht fest oder ändern ihn. Sie können den Registrierungsschlüssel vor oder nach der Installation von Updates festlegen, die am 10. August 2021 oder später veröffentlicht wurden.
Automatisieren des Hinzufügens des Registrierungswerts "RestrictDriverInstallationToAdministrators"
Gehen Sie folgendermaßen vor, um das Hinzufügen des Registrierungswerts "RestrictDriverInstallationToAdmins" zu automatisieren:
- Öffnen Sie ein Eingabeaufforderungsfenster (cmd.exe) mit erhöhten Berechtigungen.
- Geben Sie den folgenden Befehl ein, und drücken Sie dann die Eingabetaste:
reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f
Festlegen von "RestrictDriverInstallationToAdmins" mithilfe der Gruppenrichtlinie
Nach der Installation von Updates, die am 12. Oktober 2021 oder später veröffentlicht wurden, können Sie RestrictDriverInstallationToAdministrators auch mithilfe einer Gruppenrichtlinie festlegen, indem Sie die folgenden Anweisungen befolgen:
- Öffnen Sie den Gruppenrichtlinien-Editor, und wechseln Sie zu "Computerkonfiguration>", "AdministrativeVorlagendrucker>".
- Legen Sie die Einstellung Druckertreiberinstallation auf Administratoren beschränkt auf "Aktiviert" fest. Dadurch wird der Registrierungswert von "RestrictDriverInstallationToAdmins" auf 1 festgelegt.
Druckertreiber installieren, wenn die neue Standardeinstellung erzwungen wird
Wenn Sie "RestrictDriverInstallationToAdmins" je nach Umgebung als "nicht definiert" oder auf "1" festlegen, müssen Benutzer eine der folgenden Methoden zum Installieren von Druckern verwenden:
- Geben Sie einen Administratorbenutzernamen und ein Kennwort an, wenn Sie bei der Installation eines Druckertreibers zur Eingabe von Anmeldeinformationen aufgefordert werden.
- Fügen Sie die erforderlichen Druckertreiber in das Betriebssystemimage ein.
- Setzen Sie "RestrictDriverInstallationToAdmins" vorübergehend auf 0, um Druckertreiber zu installieren.
Hinweis Wenn Sie Druckertreiber auch mit Administratorrechten nicht installieren können, müssen Sie die Gruppenrichtlinie Nur Point-and-Print für Pakete verwenden" deaktivieren.
Empfohlene Einstellungen und teilweise Risikominderungen für Umgebungen, die das Standardverhalten nicht verwenden können
Die folgenden Risikominderungen können zum Schutz in allen Umgebungen beitragen, jedoch insbesondere, wenn Sie "RestrictDriverInstallationToAdmins" auf "0" festlegen müssen. Mit diesen Risikominderungen werden die Sicherheitsanfälligkeiten in CVE-2021-34481 nicht vollständig behoben.
Wichtig Es gibt keine Kombination von Risikominderungen, die dem Festlegen von "RestrictDriverInstallationToAdmins" auf 1 entspricht.
Stellen Sie sicher, dass "RpcAuthnLevelPrivacyEnabled" auf 1 festgelegt oder nicht definiert ist
Stellen Sie sicher, dass RpcAuthnLevelPrivacyEnabled auf 1 festgelegt oder nicht definiert ist, wie unter Verwalten der Bereitstellung von Änderungen der Drucker-RPC-Bindung für CVE-2021-1678 (KB4599464) beschrieben.
Überprüfen, ob Security Prompts für Point-and-Print aktiviert sind
Stellen Sie sicher, dass Sicherheits Prompts für Point-and-Print aktiviert sind, wie in KB5005010 beschrieben: Einschränken der Installation neuer Druckertreiber nach der Anwendung der Updates vom 6. Juli 2021.
Erlauben Sie Benutzern, nur eine Verbindung mit bestimmten Druckservern herzustellen, denen Sie vertrauen
Diese Richtlinie, Point-and-Print-Einschränkungen, gilt für Point-and-Print-Drucker, die einen nicht paketfähigen Treiber auf dem Server verwenden.
Verfahren Sie dazu wie folgt:
- Öffnen Sie die Gruppenrichtlinie-Verwaltungskonsole (Group Policy Management Console, GPMC).
- Navigieren Sie in der GPMC-Konsolenstruktur zu der Domäne oder Organisationseinheit, in der die Benutzerkonten gespeichert sind, für die Sie die Sicherheitseinstellungen für Druckertreiber ändern möchten.
- Klicken Sie mit der rechten Maustaste auf die entsprechende Domäne oder Organisationseinheit, und klicken Sie auf Gruppenrichtlinienobjekt in dieser Domäne erstellen und hierher verknüpfen. Geben Sie einen Namen für das neue Gruppenrichtlinien-Objekt (GPO) ein, und klicken Sie dann auf OK.
- Klicken Sie mit der rechten Maustaste auf das erstellte Gruppenrichtlinienobjekt, und klicken Sie dann auf "Bearbeiten".
- Klicken Sie im Fenster des Gruppenrichtlinienverwaltungs-Editors auf Computerkonfiguration, dann auf Richtlinien, auf Administrative Vorlagen und anschließend auf Drucker.
- Klicken Sie mit der rechten Maustaste auf "Point-and-Print-Einschränkungen", und klicken Sie dann auf "Bearbeiten".
- Klicken Sie im Dialogfeld "Point-and-Print-Einschränkungen " auf "Aktiviert".
- Aktivieren Sie das Kontrollkästchen Benutzer können Point-and-Print nur mit diesen Servern verwenden , wenn es nicht bereits aktiviert ist.
- Geben Sie die vollqualifizierten Servernamen ein. Trennen Sie die einzelnen Namen durch ein Semikolon (;).
Hinweis Nach der Installation von Updates, die am 21. September 2021 oder später veröffentlicht wurden, können Sie diese Gruppenrichtlinie mit einem durch Punkt oder Punkt (.) getrennten IP-Adressen austauschbar mit vollqualifizierten Hostnamen konfigurieren. - Wählen Sie im Feld Beim Installieren von Treibern für eine neue Verbindungdie Option Warnung und Eingabeaufforderung mit erhöhten Rechten anzeigen aus.
- Wählen Sie im Feld Beim Aktualisieren von Treibern für eine vorhandene Verbindung die Option Warnung und Eingabeaufforderung mit erhöhten Rechten anzeigen aus.
- Klicken Sie auf OK.
Erlauben Sie Benutzern, nur eine Verbindung mit bestimmten Point-and-Print-Servern für Pakete herzustellen, denen Sie vertrauen
Diese Richtlinie "Point-and-Print für Pakete – Genehmigte Server" schränkt das Clientverhalten so ein, dass Point-and-Print-Verbindungen nur zu definierten Servern zugelassen werden, die paketfähige Treiber verwenden.
Verfahren Sie dazu wie folgt:
Wählen Sie auf dem Domänencontroller Start, dann Verwaltung und anschließend Gruppenrichtlinienverwaltung. Alternativ können Sie "Start" und "Ausführen" auswählen, "GPMC.MSC" eingeben und dann die Eingabetaste drücken.
Erweitern Sie die Gesamtstruktur und dann die Domänen.
Wählen Sie unter Ihrer Domäne die Organisationseinheit aus, in der Sie diese Richtlinie erstellen möchten.
Klicken Sie mit der rechten Maustaste auf die Organisationseinheit, und wählen Sie dann Gruppenrichtlinienobjekt in dieser Domäne erstellen aus, und verknüpfen Sie es hierher.
Geben Sie dem Gruppenrichtlinienobjekt einen Namen, und klicken Sie dann auf OK.
Klicken Sie mit der rechten Maustaste auf das neu erstellte Gruppenrichtlinie-Objekt, und wählen Sie dann Bearbeiten aus, um den Editor für die Gruppenrichtlinienverwaltung zu öffnen.
Erweitern Sie im Editor für die Gruppenrichtlinienverwaltung die folgenden Ordner:
- Computerkonfiguration
- Richtlinien
- Administrative Vorlagen
- Lokale Computerrichtlinien
- Printers
Aktivieren Sie "Point-and-Print für Pakete – Genehmigte Server", und wählen Sie die Schaltfläche "Anzeigen..." aus.
Geben Sie die vollqualifizierten Servernamen ein. Trennen Sie die einzelnen Namen durch ein Semikolon (;).
Hinweis Nach der Installation von Updates, die am 21. September 2021 oder später veröffentlicht wurden, können Sie diese Gruppenrichtlinie mit einem durch Punkt oder Punkt (.) getrennten IP-Adressen austauschbar mit vollqualifizierten Hostnamen konfigurieren.
Häufig gestellte Fragen
F1: Jedes Mal, wenn ich versuche zu drucken, erhalte ich eine Eingabeaufforderung mit der Meldung "Vertrauen Sie diesem Drucker?", und zum Fortfahren sind Administrator-Anmeldeinformationen erforderlich. Wird dies erwartet?
A1: Es wird nicht erwartet, dass Sie für jeden Druckauftrag aufgefordert werden. Die meisten Umgebungen oder Geräte, in denen dieses Problem auftritt, werden durch die Installation von Updates behoben, die am 12. Oktober 2021 oder später veröffentlicht wurden. Diese Updates beheben ein Problem im Zusammenhang mit Druckservern und Druckclients, die sich nicht in derselben Zeitzone befinden.
Wenn dieses Problem nach der Installation von Updates vom 12. Oktober 2021 oder höher weiterhin besteht, müssen Sie sich möglicherweise an den Druckerhersteller wenden, um aktualisierte Treiber zu erhalten. Dieses Problem kann auch auftreten, wenn ein Druckertreiber auf dem Druckclient und dem Druckserver denselben Dateinamen verwendet, der Server jedoch über eine neuere Version der Treiberdatei verfügt. Wenn der Druckclient eine Verbindung zum Druckserver herstellt, findet er eine neuere Treiberdatei und wird aufgefordert, die Treiber auf dem Druckclient zu aktualisieren. Die Datei im Paket, die zur Installation angeboten wird, enthält jedoch nicht die neuere Version der Treiberdatei.
Bei den verglichenen Dateien handelt es sich um die Treiber im Spool-Ordner, normalerweise in C:\Windows\System32\spool\drivers\x64\3 sowohl auf dem Druckclient als auch auf dem Druckserver. Das Treiberpaket, das zur Installation angeboten wird, befindet sich normalerweise in C:\Windows\System32\spool\drivers\x64\PCC auf dem Druckserver. Nachdem die Dateien im Ordner \3 zwischen Geräten verglichen wurden und nicht übereinstimmen, wird das Paket in PCC installiert. Wenn die Dateien im Ordner \3 des Druckservers nicht aus demselben Druckertreiber stammen, den PCC dem Client anbietet, vergleicht der Druckclient die Dateien und findet die Diskrepanz jedes Mal, wenn er druckt.
Um dieses Problem zu beheben, stellen Sie sicher, dass Sie für alle Ihre Druckgeräte die neuesten Treiber verwenden. Verwenden Sie nach Möglichkeit dieselbe Version des Druckertreibers auf dem Druckclient und dem Druckserver. Wenn das Aktualisieren der Treiber in Ihrer Umgebung das Problem nicht behebt, wenden Sie sich an den Support Ihres Druckerherstellers (OEM).
F2: Ich habe Updates installiert, die am 14. September 2021 veröffentlicht wurden, und einige Windows-Geräte können nicht auf Netzwerkdruckern drucken. Muss ich Updates auf Druckclients und Druckservern installieren?
A2: Vor der Installation von Updates, die am 14. September 2021 oder später auf Druckservern veröffentlicht wurden, müssen Druckclients Updates installiert haben, die am 12. Januar 2021 oder später veröffentlicht wurden. Windows-Geräte werden nicht gedruckt, wenn sie kein Update installiert haben, das am 12. Januar 2021 oder später veröffentlicht wurde.
Hinweis Sie müssen keine früheren Updates installieren und können nach dem 12. Januar 2021 jedes Update auf Druckclients installieren. Es wird empfohlen, das neueste kumulative Update sowohl auf Clients als auch auf Servern zu installieren.