概要
2021 年 8 月 10 日以降にリリースされた Windows 更新プログラムでは、既定でドライバーをインストールするために管理者特権が必要になります。 ポイント アンド プリントまたは印刷機能を使用しないデバイスを含め、すべての Windows デバイスのリスクに対処するために、既定の動作でこの変更を行いました。 詳細については、「 ポイントアンドプリントの既定の動作の変更 」および 「CVE-2021-34481」を参照してください。
既定では、管理者以外のユーザーは、管理者への特権の昇格なしでポイント アンド プリントを使用して次の操作を実行できなくなります。
- リモート コンピューターまたはサーバーにドライバーを使用して新しいプリンターをインストールする
- リモート コンピューターまたはサーバーのドライバーを使用して既存のプリンター ドライバーを更新する
メモPoint and Print を使用していない場合は、この変更の影響を受けず、2021 年 8 月 10 日以降にリリースされた更新プログラムをインストールした後、既定で保護されます。
大事な 環境内の印刷クライアントは、2021 年 9 月 14 日に更新プログラムをインストールする前に、2021 年 1 月 12 日以降にリリースされた更新プログラムを持っている必要があります。 詳細については、以下の「よく寄せられる質問」の Q2 を参照してください。
レジストリ キーを使用してドライバーの既定のインストール動作を変更する
この既定の動作は、次の表のレジストリ キーを使用して変更できます。 ただし、ゼロ (0) の値を使用する場合は、デバイスが脆弱になるため、十分に注意してください。 ご使用の環境でレジストリ値 0 を使用する必要がある場合は、Windows デバイスで 1 (1) の値を使用できるように環境を調整しながら、一時的に使用することをお勧めします。
| レジストリの場所 | HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint |
|---|---|
| DWord 名 | RestrictDriverInstallationToAdministrators |
| 値のデータ |
既定の動作: この値を 1 に設定するか、 キーが定義されていない場合、または存在しない場合は、Point and Print を使用するときにプリンター ドライバーをインストールするための管理者特権が必要です。 このレジストリ キーは、すべてのポイントと印刷の制限グループ ポリシー設定をオーバーライドし、管理者のみがポイントと印刷を使用してプリント サーバーからプリンター ドライバーをインストールできるようにします。 値を 0 に設定すると、管理者以外のユーザーは署名済みドライバーと署名されていないドライバーをプリント サーバーにインストールできますが、[ポイント] と [印刷] グループ ポリシー設定はオーバーライドされません。 そのため、[ポイント アンド プリントの制限] のグループ ポリシー設定は、このレジストリ キー設定を上書きして、管理者以外のユーザーが署名済みおよび署名されていない印刷ドライバーをプリント サーバーからインストールできないようにすることができます。 一部の管理者は、ドライバーをインストールできる場所を制限するポリシー設定の追加など、追加の制限を追加した後に管理者以外がドライバーをインストールおよび更新できるように、値を 0 に設定する場合があります。 大事な RestrictDriverInstallationToAdministrators を 1 に設定するのと同じ軽減策の組み合わせはありません。 注 2021 年 7 月 6 日以降にリリースされたUpdates、2021 年 8 月 10 日以降にリリースされた更新プログラムのインストールまで、既定値は 0 (無効) です。 2021 年 8 月 10 日以降にリリースされたUpdatesの既定値は 1 (有効) です。 |
| 再起動の必要性 | このレジストリ値を作成または変更するときに再起動は必要ありません。 |
メモ Windows 更新プログラムは、レジストリ キーを設定または変更しません。 2021 年 8 月 10 日以降にリリースされた更新プログラムをインストールする前またはインストール後にレジストリ キーを設定できます。
RestrictDriverInstallationToAdministrators レジストリ値の追加を自動化する
RestrictDriverInstallationToAdministrators のレジストリ値の追加を自動化するには、次の手順に従います。
- 管理者特権でコマンド プロンプト ウィンドウ (cmd.exe) を開きます。
- 次のコマンドを入力して、Enter キーを押します。
reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint"/v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f
グループ ポリシーを使用して RestrictDriverInstallationToAdministrators を設定する
2021 年 10 月 12 日以降にリリースされた更新プログラムをインストールした後、次の手順に従って、グループ ポリシーを使用して RestrictDriverInstallationToAdministrators を設定することもできます。
- グループ ポリシー エディター ツールを開き 、[コンピューターの構成>管理用テンプレート>Printers] に移動します。
- [ 印刷ドライバーのインストールを管理者に制限する ] 設定を [有効] に設定します。 これにより、RestrictDriverInstallationToAdministrators のレジストリ値が 1 に設定されます。
新しい既定の設定が適用されたときに印刷ドライバーをインストールする
RestrictDriverInstallationToAdministrators を定義されていないか 1 に設定した場合、環境に応じて、ユーザーは次のいずれかの方法を使用してプリンターをインストールする必要があります。
- プリンター ドライバーのインストール時に資格情報の入力を求められたら、管理者のユーザー名とパスワードを入力します。
- OS イメージに必要なプリンター ドライバーを含めます。
- プリンター ドライバーをインストールするには、RestrictDriverInstallationToAdministrators を一時的に 0 に設定します。
メモ管理者特権でもプリンター ドライバーをインストールできない場合は、[パッケージ ポイントと印刷のみを使用する] グループ ポリシーを無効にする必要があります。
既定の動作を使用できない環境に推奨される設定と部分的な軽減策
次の軽減策は、すべての環境をセキュリティで保護するのに役立ちますが、特に RestrictDriverInstallationToAdministrators を 0 に設定する必要がある場合。 これらの軽減策は 、CVE-2021-34481 の脆弱性に完全には対処しません。
大事な RestrictDriverInstallationToAdministrators を 1 に設定するのと同じ軽減策の組み合わせはありません。
RpcAuthnLevelPrivacyEnabled が 1 に設定されているか、定義されていないことを確認します
RPCAuthnLevelPrivacyEnabled が 1 に設定されているか、 CVE-2021-1678 (KB4599464) のプリンター RPC バインド変更の展開の管理に関するページで説明されているように定義されていないことを確認します。
ポイントアンドプリントでセキュリティ プロンプトが有効になっていることを確認する
「KB5005010: 2021 年 7 月 6 日の更新プログラムを適用した後の新しいプリンター ドライバーのインストールを制限する」で説明されているように、ポイントと印刷のセキュリティ プロンプトが有効になっていることを確認します。
信頼できる特定のプリント サーバーにのみ接続することをユーザーに許可する
このポリシーである [ポイントと印刷の制限] は、サーバー上のパッケージ対応ではないドライバーを使用して、ポイントプリンターと印刷プリンターに適用されます。
次の手順を実行します。
- グループ ポリシー管理コンソール (gpmc.msc) を開きます。
- GPMC コンソール ツリーで、プリンター ドライバーのセキュリティ設定を変更するユーザー アカウントを格納するドメインまたは組織単位 (OU) に移動します。
- 適切なドメインまたは OU を右クリックし、[このドメインに GPO を作成する] をクリックし、ここにリンクします。 新しいグループ ポリシー オブジェクト (GPO) の名前を入力し[OK] をクリックします。
- 作成した GPO を右クリックし[編集] をクリックします。
- グループ ポリシー管理エディター ウィンドウで、[コンピューターの構成] をクリックします。 [ポリシー] をクリックし、[管理用テンプレート] をクリックし、[プリンター] をクリックします。
- [ポイントアンドプリントの制限]を右クリックし、[編集]をクリックします。
- [ ポイントと印刷の制限 ] ダイアログで、[ 有効] をクリックします。
- [ ユーザーは、これらのサーバーをポイントして印刷することのみ可能 ] チェック ボックスをオンにします (まだ選択されていない場合)。
- 完全修飾サーバー名を入力します。 各名前をセミコロン (;)で区切ります。
メモ 2021 年 9 月 21 日以降にリリースされた更新プログラムをインストールした後、ピリオドまたはドット (.) で区切られた IP アドレスを完全修飾ホスト名と同じ方法で構成できます。 - [新しい 接続のドライバーをインストールする場合 ] ボックスで、[警告と管理者特権のプロンプトを表示する]を選択します。
- [ 既存の接続のドライバーを更新する場合 ] ボックスで、[ 警告の表示] と [昇格されたプロンプト] を選択します。
- [OK] をクリックします。
信頼できる特定のポイントアンドプリント実装サーバーにのみ、接続することをユーザーに許可する
このポリシーである パッケージ ポイントと印刷 - 承認済みサーバーは、パッケージ対応ドライバーを使用する定義済みサーバーへのポイント接続と印刷接続のみを許可するようにクライアントの動作を制限します。
次の手順を実行します。
ドメイン コントローラーで、[スタート]を選択し、[管理ツール]を選択し、[グループ ポリシーの管理] を選択します。 または、[スタート] を選択し、[実行] を選択し、「GPMC.MSC」 と入力し、Enter キーを押します。
フォレストを展開し、ドメインを展開します。
ドメインで、このポリシーを作成する OU を選択します。
OU を右クリックし [このドメインに GPO を作成する] を選択し、ここにリンクします。
GPO に名前を付け、[OK]を選択します。
新しく作成した グループ ポリシー オブジェクトを右クリックし、[編集] を選択してグループ ポリシー管理エディターを開きます。
[グループ ポリシー管理エディター] で、次のフォルダーを展開します。
- コンピューターの構成
- ポリシー
- 管理用テンプレート
- ローカル コンピューター ポリシー
- Printers
[ポイント アンド プリントの実装 - 許可されたサーバー] を有効にし、[表示する...] ボタンを選択します。
完全修飾サーバー名を入力します。 各名前をセミコロン (;)で区切ります。
メモ 2021 年 9 月 21 日以降にリリースされた更新プログラムをインストールした後、ピリオドまたはドット (.) で区切られた IP アドレスを完全修飾ホスト名と同じ方法で構成できます。
よく寄せられる質問
Q1: 印刷しようとするたびに、「このプリンターを信頼しますか」というメッセージが表示され、管理者の資格情報を続行する必要があります。 これは想定されていますか?
A1: 印刷ジョブごとにプロンプトが表示されるわけではありません。 この問題が発生するほとんどの環境またはデバイスは、2021 年 10 月 12 日以降にリリースされた更新プログラムをインストールすることで解決されます。 これらの更新プログラムは、プリント サーバーと印刷クライアントが同じタイム ゾーンに存在しないことに関連する問題に対処します。
2021 年 10 月 12 日以降にリリースされた更新プログラムをインストールした後もこの問題が解決しない場合は、プリンターの製造元に連絡して、更新されたドライバーを確認する必要がある場合があります。 この問題は、プリント クライアント上の印刷ドライバーとプリント サーバーが同じファイル名を使用しているが、サーバーに新しいバージョンのドライバー ファイルがある場合にも発生する可能性があります。 プリント クライアントがプリント サーバーに接続すると、新しいドライバー ファイルが検索され、印刷クライアント上のドライバーを更新するように求められます。 ただし、インストール用に提供されるパッケージ内のファイルには、新しいドライバー ファイルのバージョンは含まれません。
比較されるファイルは、スプール フォルダー内のドライバーです。通常は、印刷クライアントとプリント サーバーの両方の C:\Windows\System32\spool\drivers\x64\3 です。 通常、インストール用に提供されるドライバー パッケージは、プリント サーバー上の C:\Windows\System32\spool\drivers\x64\PCC にあります。 \3 フォルダー内のファイルがデバイス間で比較された後、一致しない場合は、PCC のパッケージがインストールされます。 プリント サーバーの \3 フォルダー内のファイルが 、PCC がクライアントに提供するプリンター ドライバーと同じでない場合、印刷クライアントはファイルを比較し、印刷するたびに不一致を見つけます。
この問題を軽減するには、すべての印刷デバイスに最新のドライバーを使用していることを確認します。 可能であれば、プリント クライアントとプリント サーバーで同じバージョンのプリント ドライバーを使用します。 環境内のドライバーを更新しても問題が解決しない場合は、プリンターの製造元 (OEM) のサポートにお問い合わせください。
Q2: 2021 年 9 月 14 日にリリースされた更新プログラムをインストールしましたが、一部の Windows デバイスはネットワーク プリンターに印刷できません。 プリント クライアントとプリント サーバーに更新プログラムをインストールする必要がある注文はありますか?
A2: 2021 年 9 月 14 日以降にリリースされた更新プログラムをプリント サーバーにインストールする前に、印刷クライアントが 2021 年 1 月 12 日以降にリリースされた更新プログラムをインストールしている必要があります。 2021 年 1 月 12 日以降にリリースされた更新プログラムをインストールしていない場合、Windows デバイスは印刷されません。
メモ 以前の更新プログラムをインストールする必要はありません。また、2021 年 1 月 12 日以降は、印刷クライアントに更新プログラムをインストールできます。 クライアントとサーバーの両方に最新の累積的な更新プログラムをインストールすることをお勧めします。