Podsumowanie
Aktualizacje systemu Windows wydane 10 sierpnia 2021 r. i nowsze domyślnie będą wymagać uprawnień administracyjnych do zainstalowania sterowników. Wprowadziliśmy tę zmianę domyślnego zachowania, aby wyeliminować ryzyko na wszystkich urządzeniach z systemem Windows, w tym na urządzeniach, które nie używają funkcji Wskaż i drukuj ani drukowania. Aby uzyskać więcej informacji, zobacz Zmiana domyślnego zachowania wskazywania i drukowania oraz CVE-2021-34481.
Domyślnie użytkownicy niebędący administratorami nie będą już mogli wykonywać następujących czynności za pomocą funkcji Wskaż i drukuj bez podniesienia uprawnień do uprawnień administratora:
- Instalowanie nowych drukarek przy użyciu sterowników na zdalnym komputerze lub serwerze
- Aktualizacja istniejących sterowników drukarki przy użyciu sterowników ze zdalnego komputera lub serwera
Wskazówka Jeśli nie korzystasz z funkcji Wskaż i drukuj, ta zmiana nie powinna Cię dotyczyć i będzie domyślnie chroniona po zainstalowaniu aktualizacji wydanych 10 sierpnia 2021 r. lub nowszych.
Ważne Klienci drukowania w Twoim środowisku muszą mieć aktualizację wydaną 12 stycznia 2021 r. lub nowszą przed zainstalowaniem aktualizacji wydanej 14 września 2021 r. Aby uzyskać więcej informacji, zobacz sekcję 2 w sekcji "Często zadawane pytania" poniżej.
Modyfikowanie domyślnego zachowania instalacji sterownika przy użyciu klucza rejestru
To domyślne zachowanie można zmodyfikować przy użyciu klucza rejestru z poniższej tabeli. Należy jednak zachować szczególną ostrożność podczas używania wartości zero (0), ponieważ w ten sposób urządzenia mogą być narażone na ataki. Jeśli musisz użyć wartości rejestru 0 w swoim środowisku, zalecamy użycie jej tymczasowo do czasu dostosowania środowiska, aby umożliwić urządzeniom z systemem Windows używanie wartości jednego (1).
| Lokalizacja rejestru | HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint |
|---|---|
| DWord name (Nazwa DWord) | RestrictDriverInstallationToAdministrators |
| Dane wartości |
Zachowanie domyślne: Ustawienie tej wartości na 1 lub jeśli klucz nie jest zdefiniowany lub nie istnieje, będzie wymagać uprawnień administratora do zainstalowania dowolnego sterownika drukarki podczas korzystania z funkcji Wskaż i drukuj. Ten klucz rejestru zastąpi wszystkie ustawienia zasady grupy ograniczeń trybu Wskaż i drukuj oraz zapewni, że tylko administratorzy będą mogli instalować sterowniki drukarek z serwera wydruku za pomocą funkcji Wskaż i drukuj. Ustawienie wartości 0 umożliwia użytkownikom niebędącym administratorami instalowanie podpisanych i niepodpisanych sterowników na serwerze wydruku, ale nie zastępuje ustawień zasady grupy Wskaż i drukuj. W związku z tym ustawienia zasady grupy Ograniczenia trybu Wskaż i drukuj mogą zastąpić to ustawienie klucza rejestru, aby uniemożliwić użytkownikom niebędącym administratorami instalowanie podpisanych i niepodpisanych sterowników drukarek z serwera wydruku. Niektórzy administratorzy mogą ustawić wartość na 0, aby zezwolić użytkownikom niebędącym administratorami na instalowanie i aktualizowanie sterowników po dodaniu dodatkowych ograniczeń, w tym dodaniu ustawienia zasad, które ogranicza, skąd można instalować sterowniki. Ważne Nie ma kombinacji środków zaradczych, która byłaby równoważna ustawieniu parametru RestrictDriverInstallationToAdministrators na wartość 1. Uwaga: Aktualizacje wydane 6 lipca 2021 r. lub później mają wartość domyślną 0 (wyłączone) do momentu zainstalowania aktualizacji wydanych 10 sierpnia 2021 r. lub nowszych. Aktualizacje wydane 10 sierpnia 2021 r. lub nowsze mają domyślnie wartość 1 (włączone). |
| Wymagania dotyczące ponownego uruchamiania | Podczas tworzenia lub modyfikowania tej wartości rejestru nie jest wymagane ponowne uruchomienie. |
Wskazówka Aktualizacje systemu Windows nie ustawią ani nie zmienią klucza rejestru. Klucz rejestru można ustawić przed lub po zainstalowaniu aktualizacji wydanych 10 sierpnia 2021 r. lub później.
Automatyzowanie dodawania wartości rejestru RestrictDriverInstallationToAdministrators
Aby zautomatyzować dodawanie wartości rejestru RestrictDriverInstallationToAdministrators, wykonaj następujące czynności:
- Otwórz okno wiersza polecenia (cmd.exe) z podwyższonym poziomem uprawnień.
- Wpisz następujące polecenie, a następnie naciśnij klawisz Enter:
reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f
Set RestrictDriverInstallationToAdministrators using zasady grupy
Po zainstalowaniu aktualizacji wydanych 12 października 2021 lub nowszych możesz również ustawić RestrictDriverInstallationToAdministrators przy użyciu zasady grupy, korzystając z następujących instrukcji:
- Otwórz narzędzie edytora zasad grupy i przejdź do pozycji Konfiguracja> komputeraSzablony>administracyjne Drukarki.
- W ustawieniu Ogranicz instalację sterownika drukarki dla administratorów wybierz wartość "Włączone". Spowoduje to ustawienie wartości rejestru RestrictDriverInstallationToAdministrators na 1.
Instalowanie sterowników drukarek, gdy nowe ustawienie domyślne jest wymuszane
Jeśli ustawisz parametr RestrictDriverInstallationToAdministrators jako niezdefiniowany lub na wartość 1, w zależności od środowiska użytkownicy będą musieli zainstalować drukarki przy użyciu jednej z następujących metod:
- Po wyświetleniu monitu o poświadczenia podczas próby zainstalowania sterownika drukarki podaj nazwę użytkownika i hasło administratora.
- Uwzględnij niezbędne sterowniki drukarki w obrazie systemu operacyjnego.
- Aby zainstalować sterowniki drukarki, należy tymczasowo ustawić wartość RestrictDriverInstallationToAdministrators na 0.
Wskazówka Jeśli nie można zainstalować sterowników drukarki, nawet z uprawnieniami administratora, należy wyłączyć zasady grupy Wskaż i drukuj tylko za pomocą pakietu.
Zalecane ustawienia i częściowe środki zaradcze dla środowisk, w których nie można stosować domyślnego zachowania
Poniższe środki zaradcze mogą pomóc zabezpieczyć wszystkie środowiska, ale szczególnie wtedy, gdy musisz ustawić parametr RestrictDriverInstallationToAdministrators na wartość 0. Te środki zaradcze nie rozwiązują całkowicie luk w zabezpieczeniach luki CVE-2021-34481.
Ważne Nie ma kombinacji środków zaradczych, która byłaby równoważna ustawieniu parametru RestrictDriverInstallationToAdministrators na wartość 1.
Sprawdź, czy parametr RpcAuthnLevelPrivacyEnabled ma ustawioną wartość 1 lub czy nie został zdefiniowany
Sprawdź, czy parametr RpcAuthnLevelPrivacyEnabled ma ustawioną wartość 1 lub nie został zdefiniowany zgodnie z opisem w artykule Zarządzanie wdrażaniem zmian powiązania RPC drukarki dla CVE-2021-1678 (KB4599464).
Sprawdzanie, czy są włączone polecenia zabezpieczeń dla funkcji Wskaż i drukuj
Sprawdź, czy Polecenia zabezpieczeń są włączone dla funkcji Wskaż i drukuj, zgodnie z opisem w KB5005010: Ograniczanie instalacji nowych sterowników drukarek po zastosowaniu aktualizacji z 6 lipca 2021 r.
Zezwalaj użytkownikom na łączenie się tylko z określonymi serwerami wydruku, którym ufasz
Ta zasada, Ograniczenia trybu Wskaż i drukuj, dotyczy drukarek typu Wskaż i drukuj, które korzystają na serwerze ze ze sterownikami bez obsługi pakietów.
Wykonaj następujące czynności:
- Otwórz zasady grupy (GPMC, GPMC).
- W drzewie konsoli Konsoli konsoli Konsoli konsoli Konsola zarządzania zasadami grupy przechodzi do domeny lub jednostki organizacyjnej przechowującej konta użytkowników, dla których chcesz zmodyfikować ustawienia zabezpieczeń sterownika drukarki.
- Kliknij prawym przyciskiem myszy odpowiednią domenę lub jednostkę organizacyjną, kliknij pozycję Utwórz obiekt zasad grupy w tej domenie i połącz go tutaj. Wpisz nazwę nowego obiektu zasady grupy, a następnie kliknij przycisk OK.
- Kliknij prawym przyciskiem myszy utworzony obiekt zasad grupy, a następnie kliknij polecenie Edytuj.
- W oknie Edytor zarządzania zasady grupy kliknij pozycję Konfiguracja komputera, kliknij pozycję Zasady, kliknij pozycję Szablony administracyjne, a następnie kliknij pozycję Drukarki.
- Kliknij prawym przyciskiem myszy pozycję Wskaż i drukuj ograniczenia, a następnie kliknij polecenie Edytuj.
- W oknie dialogowym Ograniczenia trybu Wskaż i drukuj kliknij pozycję Włączone.
- Zaznacz pole wyboru Użytkownicy mogą wskazywać i drukować na tych serwerach tylko wtedy, gdy nie zostało jeszcze zaznaczone.
- Wprowadź w pełni kwalifikowane nazwy serwerów. Oddziel nazwy średnikami (;).
Wskazówka Po zainstalowaniu aktualizacji wydanych 21 września 2021 r. lub nowszych możesz skonfigurować te zasady grupy z adresami IP rozdzielanymi kropkami lub kropkami (.) zamiennie z w pełni kwalifikowanymi nazwami hostów. - W polu Podczas instalowania sterowników dla nowego połączenia wybierz pozycję Pokaż ostrzeżenie i monit z podwyższonym poziomem uprawnień.
- W polu Podczas aktualizowania sterowników dla istniejącego połączenia wybierz opcję Pokaż ostrzeżenie i monit z podwyższonym poziomem uprawnień.
- Kliknij przycisk OK.
Zezwalaj użytkownikom na łączenie się tylko z określonymi serwerami usługi Wskaż i drukuj, którym ufasz
Ta zasada, Wskaż i drukuj pakiety — zatwierdzone serwery, ograniczy zachowanie klienta, zezwalając na połączenia typu Wskaż i drukuj tylko ze zdefiniowanymi serwerami, które używają sterowników obsługujących pakiety.
Wykonaj następujące czynności:
Na kontrolerze domeny wybierz pozycję Start, wybierz pozycję Narzędzia administracyjne, a następnie wybierz pozycję Zarządzanie zasady grupy. Możesz też wybrać przycisk Start, wybrać polecenie Uruchom, wpisać polecenie GPMC.MSC, a następnie nacisnąć klawisz Enter.
Rozwiń las, a następnie rozwiń domeny.
W obszarze swojej domeny wybierz jednostkę organizacyjną, w której chcesz utworzyć te zasady.
Kliknij prawym przyciskiem myszy jednostkę organizacyjną, a następnie wybierz pozycję Utwórz obiekt zasad grupy w tej domenie i połącz ją tutaj.
Nadaj nazwę obiektowi zasad grupy, a następnie wybierz przycisk OK.
Kliknij prawym przyciskiem myszy nowo utworzony obiekt zasady grupy, a następnie wybierz polecenie Edytuj, aby otworzyć edytor zarządzania zasady grupy.
W edytorze zarządzania zasady grupy rozwiń następujące foldery:
- Konfiguracja komputera
- Zasady
- Szablony administracyjne
- Lokalne zasady dotyczące komputerów
- Drukarki
Włącz opcję Wskaż i drukuj — zatwierdzone serwery i wybierz przycisk Pokaż....
Wprowadź w pełni kwalifikowane nazwy serwerów. Oddziel nazwy średnikami (;).
Wskazówka Po zainstalowaniu aktualizacji wydanych 21 września 2021 r. lub nowszych możesz skonfigurować te zasady grupy z adresami IP rozdzielanymi kropkami lub kropkami (.) zamiennie z w pełni kwalifikowanymi nazwami hostów.
Często zadawane pytania
P1: Za każdym razem, gdy próbuję drukować, pojawia się monit "Czy ufasz tej drukarce?", a kontynuowanie wymaga poświadczeń administratora. Czy jest to oczekiwane?
O1: Monity wyświetlane w przypadku każdego zadania drukowania nie są oczekiwane. Większość środowisk lub urządzeń, w przypadku których występuje ten problem, zostanie rozwiązana przez zainstalowanie aktualizacji wydanych 12 października 2021 r. lub nowszych. Te aktualizacje rozwiązują problem związany z tym, że serwery wydruku i klienci druku nie znajdują się w tej samej strefie czasowej.
Jeśli ten problem nadal występuje po zainstalowaniu aktualizacji wydanych 12 października 2021 r. lub nowszych, może być konieczne skontaktowanie się z producentem drukarki w celu uzyskania zaktualizowanych sterowników. Ten problem może również wystąpić, gdy sterownik druku w kliencie druku i serwerze wydruku używają tej samej nazwy pliku, ale serwer ma nowszą wersję pliku sterownika. Gdy klient drukowania łączy się z serwerem wydruku, znajduje nowszy plik sterownika i jest monitowany o zaktualizowanie sterowników na kliencie druku. Jednak plik w pakiecie oferowanym do instalacji nie zawiera nowszej wersji pliku sterownika.
Porównywane pliki to sterowniki w folderze buforu, zwykle w folderze C:\Windows\System32\spool\drivers\x64\3 zarówno w kliencie druku, jak i na serwerze wydruku. Pakiet sterowników oferowany do instalacji zwykle znajduje się w folderze C:\Windows\System32\spool\drivers\x64\PCC na serwerze wydruku. Jeśli pliki w folderze \3 nie są zgodne ze sobą, pakiet PCC jest instalowany. Jeśli pliki w folderze \3 serwera wydruku nie pochodzą z tego samego sterownika drukarki, który PCC oferuje klientowi, klient drukowania porówna pliki i znajdzie niezgodność za każdym razem, gdy drukuje.
Aby ograniczyć ten problem, upewnij się, że używasz najnowszych sterowników dla wszystkich urządzeń drukujących. Tam, gdzie jest to możliwe, używaj tej samej wersji sterownika drukarki w kliencie druku i serwerze wydruku. Jeśli aktualizacja sterowników w Twoim środowisku nie rozwiąże problemu, skontaktuj się z pomocą techniczną producenta drukarki (OEM).
P2: Mam zainstalowane aktualizacje wydane 14 września 2021 r., a niektóre urządzenia z systemem Windows nie mogą drukować na drukarkach sieciowych. Czy istnieje kolejność, w której należy zainstalować aktualizacje w klientach i serwerach wydruku?
O2: Przed zainstalowaniem aktualizacji wydanych 14 września 2021 r. lub nowszych na serwerach wydruku, klienci druku muszą mieć zainstalowane aktualizacje wydane 12 stycznia 2021 r. lub nowsze. Urządzenia z systemem Windows nie będą drukować, jeśli nie mają zainstalowanej aktualizacji wydanej 12 stycznia 2021 r. lub nowszej.
Wskazówka Nie trzeba instalować wcześniejszych aktualizacji, a po 12 stycznia 2021 r. w klientach drukowania można zainstalować dowolną aktualizację. Zalecamy zainstalowanie najnowszej aktualizacji zbiorczej zarówno na klientach, jak i na serwerach.