概要
2021 年 8 月 10 日以降にリリースされた Windows 更新プログラムでは、既定でドライバーをインストールするために管理者特権が必要になります。 ポイント アンド プリントまたは印刷機能を使用しないデバイスを含め、すべての Windows デバイスのリスクに対処するために、既定の動作でこの変更を行いました。 詳細については、「 ポイント アンド プリントの既定の動作の変更 」と CVE-2021-34481 を参照してください。
既定では、管理者以外のユーザーは、管理者への特権の昇格なしでポイント アンド プリントを使用して次の操作を実行できなくなります。
- リモート コンピューターまたはサーバーにドライバーを使用して新しいプリンターをインストールする
- リモート コンピューターまたはサーバーのドライバーを使用して既存のプリンター ドライバーを更新する
注釈ポイント アンド プリントを使用していない場合は、この変更の影響は受けず、2021 年 8 月 10 日以降にリリースされた更新プログラムをインストールすると既定で保護されます。
重要 環境内の印刷クライアントには、2021 年 1 月 12 日以降にリリースされた更新プログラムをインストールしてから、2021 年 9 月 14 日にリリースされた更新プログラムをインストールする必要があります。 詳細については、以下の「よく寄せられる質問」の Q2 を参照してください。
レジストリ キーを使用してドライバーの既定のインストール動作を変更する
この既定の動作は、次の表のレジストリ キーを使用して変更できます。 ただし、ゼロ (0) の値を使用する場合は、デバイスが脆弱になるため、十分に注意してください。 ご使用の環境でレジストリ値 0 を使用する必要がある場合は、Windows デバイスで 1 (1) の値を使用できるように環境を調整しながら、一時的に使用することをお勧めします。
| レジストリの場所 | HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint |
|---|---|
| DWord 名 | RestrictDriverInstallationToAdministrators |
| 値のデータ |
既定の動作: この値を 1 に設定する場合、または キーが定義されていないか存在しない場合は、ポイント アンド プリントを使用するときにプリンター ドライバーをインストールするための管理者特権が必要になります。 このレジストリ キーは、すべてのポイント アンド プリントの制限グループ ポリシー設定を上書きし、管理者のみがポイント アンド プリントを使用してプリント サーバーからプリンター ドライバーをインストールできるようにします。 値を 0 に設定すると、管理者以外が署名済みドライバーと署名されていないドライバーをプリント サーバーにインストールできますが、ポイント アンド プリントのグループ ポリシー設定は上書きされません。 そのため、[ポイント アンド プリントの制限] のグループ ポリシー設定は、このレジストリ キー設定を上書きして、管理者以外のユーザーが署名済みおよび署名されていない印刷ドライバーをプリント サーバーからインストールできないようにすることができます。 一部の管理者は、ドライバーをインストールできる場所を制限するポリシー設定を追加するなど、追加の制限を追加した後に管理者以外がドライバーをインストールして更新できるようにするために値を 0 に設定する場合があります。 重要 RestrictDriverInstallationToAdministrators を 1 に設定することと同等の軽減策の組み合わせはありません。 注: 2021 年 7 月 6 日以降にリリースされた Updates は、2021 年 8 月 10 日以降にリリースされた更新プログラムがインストールされるまで、既定値は 0 (無効) です。 2021 年 8 月 10 日以降にリリースされた Updates の既定値は 1 (有効) です。 |
| 再起動の必要性 | このレジストリ値を作成または変更するときに再起動は必要ありません。 |
注釈 Windows 更新プログラムでは、レジストリ キーは設定または変更されません。 2021 年 8 月 10 日以降にリリースされた更新プログラムをインストールする前またはインストール後にレジストリ キーを設定できます。
RestrictDriverInstallationToAdministrators レジストリ値の追加を自動化する
RestrictDriverInstallationToAdministrators のレジストリ値の追加を自動化するには、次の手順に従います。
- 管理者特権でコマンド プロンプト ウィンドウ (cmd.exe) を開きます。
- 次のコマンドを入力して、Enter キーを押します。
reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint"/v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f
グループ ポリシーを使用して RestrictDriverInstallationToAdministrators を設定する
2021 年 10 月 12 日以降にリリースされた更新プログラムをインストールした後、次の手順に従って、グループ ポリシーを使用して RestrictDriverInstallationToAdministrators を設定することもできます。
- グループ ポリシー エディター ツールを開き、[コンピューターの構成]>管理用テンプレート>プリンター に移動します。
- [印刷ドライバーのインストールを管理者に制限する] 設定を [有効] に設定します。 これにより、RestrictDriverInstallationToAdministrators のレジストリ値が 1 に設定されます。
新しい既定の設定が適用されたときに印刷ドライバーをインストールする
RestrictDriverInstallationToAdministrators を定義されていないか 1 に設定した場合、環境に応じて、ユーザーは次のいずれかの方法を使用してプリンターをインストールする必要があります。
- プリンター ドライバーのインストール時に資格情報の入力を求められたら、管理者のユーザー名とパスワードを入力します。
- OS イメージに必要なプリンター ドライバーを含めます。
- プリンター ドライバーをインストールするには、RestrictDriverInstallationToAdministrators を一時的に 0 に設定します。
注釈管理者特権でもプリンター ドライバーをインストールできない場合は、[ポイント アンド プリントの実装のみを使用] グループ ポリシー を無効にする必要があります。
既定の動作を使用できない環境の推奨設定と部分的な軽減策
次の軽減策は、すべての環境をセキュリティで保護するのに役立ちますが、特に RestrictDriverInstallationToAdministrators を 0 に設定する必要がある場合に役立ちます。 これらの軽減策は、 CVE-2021-34481 の脆弱性に完全には対処しません。
重要 RestrictDriverInstallationToAdministrators を 1 に設定することと同等の軽減策の組み合わせはありません。
RpcAuthnLevelPrivacyEnabled が 1 に設定されているか、定義されていないことを確認する
RpcAuthnLevelPrivacyEnabled が 1 に設定されているか、 CVE-2021-1678 に対するプリンター RPC バインド変更の展開の管理 (KB4599464) で説明されているように定義されていないことを確認します。
ポイント アンド プリントでセキュリティ プロンプトが有効になっていることを確認する
「KB5005010: 2021 年 7 月 6 日の更新プログラムを適用した後、新しいプリンター ドライバーのインストールを制限する」で説明されているように、ポイント アンド プリントに対してセキュリティ プロンプトが有効になっていることを確認します。
信頼できる特定のプリント サーバーにのみ接続することをユーザーに許可する
このポリシー ( ポイント アンド プリントの制限) は、サーバー上で実装を認識できないドライバーを使用するポイント アンド プリント プリンターに適用されます。
次の手順を実行します。
- グループ ポリシー管理コンソール (gpmc.msc) を開きます。
- GPMC コンソール ツリーで、プリンター ドライバーのセキュリティ設定を変更するユーザー アカウントを格納するドメインまたは組織単位 (OU) に移動します。
- 適切なドメインまたは OU を右クリックし、[このドメインに GPO を作成する] をクリックし、ここにリンクします。 新しいグループ ポリシー オブジェクト (GPO) の名前を入力し[OK] をクリックします。
- 作成した GPO を右クリックし[編集] をクリックします。
- グループ ポリシー管理エディター ウィンドウで、[コンピューターの構成] をクリックします。 [ポリシー] をクリックし、[管理用テンプレート] をクリックし、[プリンター] をクリックします。
- [ポイントアンドプリントの制限]を右クリックし、[編集]をクリックします。
- [ ポイント アンド プリントの制限 ] ダイアログで、[ 有効] をクリックします。
- [ ユーザーがポイント アンド プリントを行うことができるサーバー] チェック ボックスがまだ選択されていない場合はオンにします。
- 完全修飾サーバー名を入力します。 各名前をセミコロン (;)で区切ります。
注釈 2021 年 9 月 21 日以降にリリースされた更新プログラムをインストールした後、ピリオドまたはドット (.) で区切られた IP アドレスを使用して、このグループ ポリシーを完全修飾ホスト名と同じ意味で構成できます。 - [新しい 接続のドライバーをインストールする場合 ] ボックスで、[警告と管理者特権のプロンプトを表示する]を選択します。
- [既存の接続用にドライバーを更新する場合] ボックスで、[警告および管理者特権でのプロンプトを表示する] を選択します。
- [OK] をクリックします。
信頼できる特定のポイントアンドプリント実装サーバーにのみ、接続することをユーザーに許可する
このポリシー ( ポイント アンド プリントの実装 - 承認されたサーバー) は、実装を認識できるドライバーを使用する定義済みのサーバーへのポイント アンド プリント接続のみを許可するようにクライアントの動作を制限します。
次の手順を実行します。
ドメイン コントローラーで、[スタート]を選択し、[管理ツール]を選択し、[グループ ポリシーの管理] を選択します。 または、[スタート] を選択し、[実行] を選択し、「GPMC.MSC」 と入力し、Enter キーを押します。
フォレストを展開し、ドメインを展開します。
ドメインで、このポリシーを作成する OU を選択します。
OU を右クリックし [このドメインに GPO を作成する] を選択し、ここにリンクします。
GPO に名前を付け、[OK]を選択します。
新しく作成した グループ ポリシー オブジェクトを右クリックし、[編集] を選択してグループ ポリシー管理エディターを開きます。
[グループ ポリシー管理エディター] で、次のフォルダーを展開します。
- コンピューターの構成
- ポリシー
- 管理用テンプレート
- ローカル コンピューター ポリシー
- Printers
[ポイント アンド プリントの実装 - 許可されたサーバー] を有効にし、[表示する...] ボタンを選択します。
完全修飾サーバー名を入力します。 各名前をセミコロン (;)で区切ります。
注釈 2021 年 9 月 21 日以降にリリースされた更新プログラムをインストールした後、ピリオドまたはドット (.) で区切られた IP アドレスを使用して、このグループ ポリシーを完全修飾ホスト名と同じ意味で構成できます。
よく寄せられる質問
Q1: 印刷しようとするたびに、"このプリンターを信頼しますか" というプロンプトが表示され、続行するには管理者の資格情報が必要です。 これは想定されていますか?
A1: 印刷ジョブごとにプロンプトが表示されることは想定されていません。 この問題が発生する環境またはデバイスの大部分は、2021 年 10 月 12 日以降にリリースされた更新プログラムをインストールすることで解決されます。 これらの更新プログラムは、プリント サーバーとプリント クライアントが同じタイム ゾーンにないことに関連する問題に対処します。
2021 年 10 月 12 日以降にリリースされた更新プログラムをインストールした後もこの問題が解決しない場合は、プリンターの製造元に問い合わせてドライバーの更新を確認する必要がある場合があります。 この問題は、プリント クライアントとプリント サーバーのプリント ドライバーが同じファイル名を使用しているが、サーバーに新しいバージョンのドライバー ファイルがある場合にも発生する可能性があります。 プリント クライアントがプリント サーバーに接続すると、新しいドライバー ファイルが検出され、プリント クライアントのドライバーを更新するように求められます。 ただし、インストール用に提供されるパッケージ内のファイルには、新しいバージョンのドライバー ファイルは含まれていません。
比較するファイルは、スプール フォルダー内のドライバーであり、通常は、プリント クライアントとプリント サーバーの両方の C:\Windows\System32\spool\drivers\x64\3 にあります。 インストール用に提供されるドライバー パッケージは、通常、プリント サーバー上の C:\Windows\System32\spool\drivers\x64\PCC にあります。 \3 フォルダー内のファイルをデバイス間で比較した後、一致しない場合は、PCC 内のパッケージがインストールされます。 プリント サーバーの \ 3 フォルダー内のファイルが、 PCC がクライアントに提供したプリンター ドライバーと同じものではない場合、プリント クライアントはファイルを比較し、印刷するたびに不一致を検出します。
この問題を軽減するには、すべての印刷デバイスに最新のドライバーを使用していることを確認します。 可能であれば、プリント クライアントとプリント サーバーで同じバージョンのプリント ドライバーを使用します。 環境内のドライバーを更新しても問題が解決しない場合は、プリンターの製造元 (OEM) のサポートにお問い合わせください。
Q2: 2021 年 9 月 14 日にリリースされた更新プログラムをインストールしましたが、一部の Windows デバイスでネットワーク プリンターに印刷できません。 プリント クライアントとプリント サーバーに更新プログラムをインストールする必要がある注文はありますか?
A2: 2021 年 9 月 14 日以降にリリースされた更新プログラムをプリント サーバーにインストールする前に、プリント クライアントに 2021 年 1 月 12 日以降にリリースされた更新プログラムをインストールする必要があります。 Windows デバイスは、2021 年 1 月 12 日以降にリリースされた更新プログラムをインストールしていない場合、印刷しません。
注釈 以前の更新プログラムをインストールする必要はなく、印刷クライアントには 2021 年 1 月 12 日以降の更新プログラムをインストールできます。 クライアントとサーバーの両方に最新の累積的な更新プログラムをインストールすることをお勧めします。