Yhteenveto
10. elokuuta 2021 ja sen jälkeen julkaistut Windows-päivitykset edellyttävät oletusarvoisesti järjestelmänvalvojan oikeuksia ohjainten asentamiseen. Teimme tämän muutoksen oletusarvoiseen toimintaan riskin vähentämiseksi kaikissa Windows-laitteissa, mukaan lukien laitteet, jotka eivät käytä osoittamalla tulostamisen tai tulostamisen toimintoa. Lisätietoja on artikkelissa Osoittamalla tulostamisen oletustoiminnan muutos ja CVE-2021-34481.
Muut kuin järjestelmänvalvojat eivät oletusarvoisesti voi enää tehdä seuraavia toimintoja osoittamalla tulostamista ilman järjestelmänvalvojan oikeuksien korotusta:
- Uusien tulostimien asentaminen ohjaimien avulla etätietokoneessa tai -palvelimessa
- Päivitä olemassa olevat tulostinohjaimet käyttämällä etätietokoneen tai palvelimen ohjaimia
Huomautus Jos et käytä osoittamalla tulostamisen toimintoa, tämän muutoksen ei pitäisi vaikuttaa sinuun, ja olet oletusarvoisesti suojattu 10. elokuuta 2021 julkaistujen tai sitä uudempien päivitysten asentamisen jälkeen.
Tärkeää Ympäristösi tulostusasiakkaiden päivityksen on oltava julkaistu 12.1.2021 tai myöhemmin ennen päivitysten asentamista 14. syyskuuta 2021. Katso lisätietoja alla olevan Usein kysytyt kysymykset -kohdan Q2-kohdasta .
Ohjaimen oletusasennuksen toiminnan muokkaaminen rekisteriavaimen avulla
Voit muokata tätä oletusarvoista toimintaa alla olevan taulukon rekisteriavaimen avulla. Ole kuitenkin erittäin varovainen, kun käytät arvoa nolla (0), koska se altistaa laitteet alttiiksi alttiiksi. Jos ympäristössäsi on käytettävä rekisteriarvoa 0, suosittelemme käyttämään sitä tilapäisesti, kun säädät ympäristöä niin, että Windows-laitteet voivat käyttää arvoa yksi (1).
| Rekisterin sijainti | HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint |
|---|---|
| DWordin nimi | RestrictDriverInstallationToAdministrators |
| Arvon tiedot |
Oletustoiminta: Jos asetat tämän arvoksi 1 tai jos avainta ei ole määritetty tai sitä ei ole, tarvitset järjestelmänvalvojan oikeuksia minkä tahansa tulostinohjaimen asentamiseen käytettäessä osoittamalla tulostamisen toimintoa. Tämä rekisteriavain ohittaa kaikki osoittamalla tulostamisen rajoitusten ryhmäkäytännön asetukset ja varmistaa, että vain järjestelmänvalvojat voivat asentaa tulostinohjaimet tulostuspalvelimesta osoittamalla tulostamista käyttämällä. Jos asetat arvoksi 0, muut kuin järjestelmänvalvojat voivat asentaa allekirjoitettuja ja allekirjoittamattomia ohjaimia tulostuspalvelimeen, mutta se ei ohita osoittamalla tulostamisen ryhmäkäytännön asetuksia. Näin ollen osoittamalla tulostamisen rajoitukset -ryhmäkäytännön asetukset voivat ohittaa tämän rekisteriavaimen asetuksen ja estää muita kuin järjestelmänvalvojia asentamasta allekirjoitettuja ja allekirjoittamattomia tulostinohjaimia tulostuspalvelimesta. Jotkut järjestelmänvalvojat saattavat määrittää arvoksi 0, jotta muut kuin järjestelmänvalvojat voivat asentaa ja päivittää ohjaimia lisärajoitusten lisäämisen jälkeen, mukaan lukien ohjaimia rajoittavan käytäntöasetuksen lisäämisen jälkeen. Tärkeää Mikään lievennysten yhdistelmä ei vastaa RestrictDriverInstallationToAdministratorsin määrittämistä arvoksi 1. Huomautus: 6. heinäkuuta 2021 tai myöhemmin julkaistujen Päivitykset ovat oletusarvoisesti 0 (poissa käytöstä), kunnes 10. elokuuta 2021 tai sen jälkeen julkaistut päivitykset asennetaan. 10. elokuuta 2021 tai myöhemmin julkaistujen Päivitykset ovat oletusarvoisesti 1 (käytössä). |
| Uudelleenkäynnistysvaatimukset | Uudelleenkäynnistystä ei tarvita, kun tätä rekisteriarvoa luodaan tai muokataan. |
Huomautus Windows-päivitykset eivät määritä tai muuta rekisteriavainta. Voit määrittää rekisteriavaimen ennen 10. elokuuta 2021 julkaistujen tai sen jälkeen julkaistujen päivitysten asentamista tai sen jälkeen.
Automatisoi RestrictDriverInstallationToAdministrators-rekisteriarvon lisääminen
Voit automatisoida RestrictDriverInstallationToAdministrators-rekisteriarvon lisäämisen seuraavasti:
- Avaa komentokehoteikkuna (cmd.exe) laajennetuilla käyttöoikeuksilla.
- Kirjoita seuraava komento ja paina sitten Enter-näppäintä:
reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f
Set RestrictDriverInstallationToAdministrators using ryhmäkäytäntö
Kun olet asentanut 12. lokakuuta 2021 tai sen jälkeen julkaistut päivitykset, voit määrittää RestrictDriverInstallationToAdministrators-asetuksen myös ryhmäkäytännön avulla noudattamalla seuraavia ohjeita:
- Avaa ryhmäkäytäntöeditori-työkalu ja siirry kohtaan Tietokoneasetukset>, Hallintamallit>,Tulostimet.
- Määritä Rajoittavat tulostinohjaimen asennusta järjestelmänvalvojille -asetukseksi "Käytössä". Tämä määrittää RestrictDriverInstallationToAdministrators-rekisteriarvoksi 1.
Asenna tulostinohjaimet, kun uusi oletusasetus on käytössä
Jos määrität RestrictDriverInstallationToAdministrators-asetukseksi ei määritetty tai 1, käyttäjien on ympäristöstä riippuen käytettävä jotakin seuraavista tavoista tulostimien asentamiseen:
- Anna järjestelmänvalvojan käyttäjänimi ja salasana, kun sinua pyydetään antamaan tunnistetiedot, kun yrität asentaa tulostinohjaimen.
- Sisällytä tarvittavat tulostinohjaimet käyttöjärjestelmän näköistiedostoon.
- Aseta RestrictDriverInstallationToAdministrators asetukseksi tilapäisesti 0 tulostinohjainten asentamista varten.
Huomautus Jos et voi asentaa tulostinohjaimia, vaikka sinulla on järjestelmänvalvojan oikeudet, sinun on poistettava käytöstä Vain käytä pakkausta, osoitta ja tulosta -ryhmäkäytäntö.
Suositellut asetukset ja osittaiset lievennykset ympäristöille, joissa ei voi käyttää oletustoimintaa
Seuraavat lievennykset auttavat suojaamaan kaikkia ympäristöjä, mutta erityisesti, jos RestrictDriverInstallationToAdministrators-asetukseksi on määritettävä 0. Nämä lievennykset eivät täysin korjaa haavoittuvuuksia CVE-2021-34481:ssa.
Tärkeää Mikään lievennysten yhdistelmä ei vastaa RestrictDriverInstallationToAdministratorsin määrittämistä arvoksi 1.
Varmista, että RpcAuthnLevelPrivacyEnabled-parametrin arvo on 1 tai sitä ei ole määritetty
Varmista, että RpcAuthnLevelPrivacyEnabled-asetuksena on 1 tai sitä ei ole määritetty artikkelissa Tulostimen RPC-sidontamuutosten käyttöönoton hallinta CVE-2021-1678:lle (KB4599464) kuvatulla tavalla.
Varmista, että suojaus Kehotteet ovat käytössä osoittamalla tulostamista varten
Varmista, että suojaus Kehotteet on otettu käyttöön osoittamalla tulostamista varten KB5005010: Uusien tulostinohjainten asennuksen rajoittaminen 6. heinäkuuta 2021 julkaistujen päivitysten käyttöönoton jälkeen kuvatulla tavalla.
Salli käyttäjien muodostaa yhteys vain tiettyihin tulostuspalvelimiin, joihin luotat
Tämä osoittamalla tulostamisen rajoitukset -käytäntö koskee osoittamalla tulostamisen tulostimia, jotka käyttävät palvelimessa pakettia hyödyntämätöntä ohjainta.
Toimi seuraavasti:
- Avaa ryhmäkäytäntöjen hallintakonsoli (GPMC).
- Siirry GPMC-konsolipuussa siihen toimialueeseen tai organisaatioyksikköön, johon tallennetaan käyttäjätilit, joiden tulostinohjaimen suojausasetuksia haluat muuttaa.
- Napsauta hiiren kakkospainikkeella asianmukaista toimialuetta tai OU:ta ja valitse Create a GPO in this domain (Luo ryhmäkäytäntöobjekti tälle toimialueelle) ja linkitä se tähän. Kirjoita uuden ryhmäkäytäntöobjektin nimi ja valitse sitten OK.
- Napsauta luomaasi ryhmäkäytäntöobjektia hiiren kakkospainikkeella ja valitse sitten Muokkaa.
- Valitse ryhmäkäytäntöjen hallinnan editori -ikkunassa Tietokoneasetukset, Käytännöt, Hallintamallit ja sitten Tulostimet.
- Napsauta hiiren kakkospainikkeella Osoittamis- ja tulostusrajoitukset ja valitse sitten Muokkaa.
- Valitse Osoittamalla tulostamisen rajoitukset -valintaikkunassa Käytössä.
- Valitse Käyttäjät voivat osoittaa ja tulostaa näihin palvelimiin vain , jos sitä ei ole vielä valittu.
- Kirjoita täydelliset palvelinnimet. Erota nimet toisistaan puolipisteellä (;).
Huomautus Kun olet asentanut 21. syyskuuta 2021 tai sen jälkeen julkaistut päivitykset, voit määrittää tämän ryhmäkäytännön pisteellä tai pisteellä (.) erotelluilla IP-osoitteilla synonyymeina täydellisten isäntänimien kanssa. - Valitse Asennettaessa ohjaimia uutta yhteyttä varten -ruudussa Näytä varoitus ja järjestelmänvalvojan oikeuksin suoritettava kehote.
- Valitse Päivitettäessä ohjaimia olemassa olevalle yhteydelle -ruudussa Näytä varoitus ja järjestelmänvalvojan oikeuksin suoritettava kehote.
- Valitse OK.
Salli käyttäjien muodostaa yhteys vain tiettyihin luotettaviin osoittamis- ja tulostuspakettipalvelimiin
Tämä Package Point and Print - Approved servers -käytäntö rajoittaa asiakkaan toimintaa niin, että se sallii osoittamalla tulostamisen yhteydet vain määritettyihin palvelimiin, jotka käyttävät pakettia ymmärtäviä ohjaimia.
Toimi seuraavasti:
Valitse toimialueen ohjauskoneessa Aloitus, valitse Valvontatyökalut ja valitse sitten Ryhmäkäytäntöjen hallinta. Vaihtoehtoisesti voit valita Käynnistä, valita Suorita, kirjoittaa GPMC.MSC ja painaa sitten Enter-näppäintä.
Laajenna toimialuepuuryhmä ja laajenna sitten toimialueet.
Valitse toimialueesi alla OU, johon haluat luoda tämän käytännön.
Napsauta OU:ta hiiren kakkospainikkeella ja valitse sitten Create a GPO in this domain (Luo ryhmäkäytäntöobjekti tälle toimialueelle) ja linkitä se tähän.
Anna ryhmäkäytäntöobjektille nimi ja valitse sitten OK.
Napsauta juuri luotua ryhmäkäytäntö-objektia hiiren kakkospainikkeella ja avaa sitten ryhmäkäytännön hallinnan editori valitsemalla Muokkaa.
Laajenna ryhmäkäytäntöjen hallinnan editorissa seuraavat kansiot:
- Tietokoneen määritykset
- Käytännöt
- Hallintamallit
- Paikalliset tietokonekäytännöt
- Tulostimet
Ota käyttöön Package Point and Print – Approved servers ja valitse Näytä... -painike.
Kirjoita täydelliset palvelinnimet. Erota nimet toisistaan puolipisteellä (;).
Huomautus Kun olet asentanut 21. syyskuuta 2021 tai sen jälkeen julkaistut päivitykset, voit määrittää tämän ryhmäkäytännön pisteellä tai pisteellä (.) erotelluilla IP-osoitteilla synonyymeina täydellisten isäntänimien kanssa.
Usein kysytyt kysymykset
Kysymys 1: Aina kun yritän tulostaa, saan kehotteen, jossa kysytään: "Luotatko tähän tulostimeen?", ja jatkaminen edellyttää järjestelmänvalvojan tunnistetietoja. Onko tämä odotettua?
Vastaus 1: Kehotetta jokaista tulostustyötä varten ei odoteta. Suurin osa ympäristöistä tai laitteista, joissa tämä ongelma ilmenee, ratkaistaan asentamalla päivitykset, jotka on julkaistu 12. lokakuuta 2021 tai sen jälkeen. Nämä päivitykset korjaavat ongelman, joka liittyy siihen, että tulostuspalvelimet ja tulostusasiakkaat eivät ole samalla aikavyöhykkeellä.
Jos ongelma jatkuu 12. lokakuuta 2021 tai sitä uudempien päivitysten asentamisen jälkeen, sinun on ehkä otettava yhteyttä tulostimen valmistajaan ohjainpäivitystä varten. Tämä ongelma saattaa ilmetä myös silloin, kun tulostusohjelman ja tulostuspalvelimen tulostinohjain käyttää samaa tiedostonimeä, mutta palvelimella on ohjaintiedoston uudempi versio. Kun tulostusohjelma muodostaa yhteyden tulostuspalvelimeen, se löytää uudemman ohjaintiedoston ja saa kehotteen päivittää tulostinohjelman ohjaimet. Sen asennettavaksi tarjotussa paketissa oleva tiedosto ei kuitenkaan sisällä uudempaa ohjaintiedostoversiota.
Vertailtavat tiedostot ovat taustatulostuskansion ohjaimia, jotka ovat yleensä kansiossa C:\Windows\System32\spool\drivers\x64\3 sekä tulostussovelluksessa että tulostuspalvelimessa. Asennettavaksi tarjottu ohjainkokonaisuus on yleensä tulostuspalvelimen sijainnissa C:\Windows\System32\spool\drivers\x64\PCC . Kun \3-kansion tiedostoja on verrattu laitteiden välillä, eivätkä ne täsmää, PCC-paketti asennetaan. Jos tulostuspalvelimen kansiossa \3 olevat tiedostot eivät ole samasta tulostinohjaimesta, jonka PCC tarjoaa asiakkaalle, tulostussovellus vertaa tiedostoja ja havaitsee ristiriidan jokaisella tulostuskerralla.
Voit lieventää tätä ongelmaa varmistamalla, että käytät uusimpia ohjaimia kaikille tulostuslaitteillesi. Käytä mahdollisuuksien mukaan tulostinohjaimen samaa versiota tulostusasiakkaassa ja -palvelimessa. Jos ohjainten päivittäminen ympäristössäsi ei ratkaise ongelmaa, ota yhteyttä tulostimen valmistajan tukeen.
Q2: Asensin päivitykset, jotka julkaistiin 14. syyskuuta 2021, ja jotkin Windows-laitteet eivät pysty tulostamaan verkkotulostimilla. Onko tilauksessa, joka minun täytyy asentaa päivityksiä tulostusasiakkaisiin ja tulostuspalvelimiin?
A2: Ennen kuin asennat 14. syyskuuta 2021 tai myöhemmin tulostuspalvelimiin julkaistuja päivityksiä, tulostinasiakasohjelmissa on oltava asennettuna päivitykset, jotka on julkaistu 12.1.2021 tai myöhemmin. Windows-laitteet eivät tulostu, jos niihin ei ole asennettu päivitystä, joka on julkaistu 12.1.2021 tai myöhemmin.
Huomautus Sinun ei tarvitse asentaa aiempia päivityksiä, ja voit asentaa minkä tahansa päivityksen tulostusohjelmaan 12. tammikuuta 2021 jälkeen. Suosittelemme, että asennat uusimman kumulatiivisen päivityksen sekä asiakasohjelmiin että palvelimiin.