Point-and-Print-Einschränkungen

Zweck

Registry-Schlüssel anzeigen (6)

• HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint\Restricted
• HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint\TrustedServers
• HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint\ServerList
• HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint\InForest
• HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint\NoWarningNoElevationOnInstall
• HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint\UpdatePromptSettings

Diese Computerrichtlinie steuert Point-and-Print-Verbindungen zu freigegebenen Netzwerkdruckern, die keinen paketfähigen Druckertreiber verwenden. Sie kann die zulässigen Druckserver einschränken und festlegen, welche Sicherheitsabfragen bei der erstmaligen Installation oder einer späteren Aktualisierung des Druckertreibers erscheinen.

Restricted, TrustedServers, InForest, NoWarningNoElevationOnInstall und UpdatePromptSettings sind Werte des Typs REG_DWORD. ServerList ist eine Zeichenfolge des Typs REG_SZ.

Restricted bestimmt den Richtlinienzustand. Der Wert 1 aktiviert die Einschränkungen; 0 deaktiviert sie. Bei aktivierter Richtlinie liefern die übrigen Werte die einzelnen Optionen:

• TrustedServers = 1 beschränkt Point-and-Print auf die in ServerList genannten Druckserver. ServerList enthält die zugelassenen vollqualifizierten Servernamen, getrennt durch Semikolons.
• InForest = 1 beschränkt Verbindungen auf Computer in der eigenen Active-Directory-Gesamtstruktur. Diese Option ist nur für Windows Server 2003 und Windows XP SP1 oder höhere Service Packs dieser Versionen relevant.
• NoWarningNoElevationOnInstall steuert die Sicherheitsabfrage beim Installieren eines Treibers für eine neue Verbindung. 0 zeigt eine Warnung und verlangt eine Rechteerhöhung; 1 unterdrückt beides.
• UpdatePromptSettings steuert die Abfrage beim Aktualisieren des Treibers einer vorhandenen Verbindung. 0 zeigt eine Warnung und verlangt eine Rechteerhöhung, 1 zeigt nur eine Warnung und 2 unterdrückt sowohl Warnung als auch Rechteerhöhung.

Die Serverliste allein stellt keinen Druckertreiber bereit. Wenn auf dem Client kein kompatibler Treiber vorhanden ist und der benötigte Treiber wegen der Richtlinie nicht von einem zulässigen Server bezogen werden kann, wird die Druckerverbindung nicht hergestellt.

Hinweise

Weitere Wirkungen

Die Richtlinie gilt unabhängig von den Einstellungen für „Point-and-Print mit Treiberpaketen“. Ein Client kann bei einer fehlgeschlagenen paketbasierten Verbindung versuchen, eine nicht paketbasierte Point-and-Print-Verbindung herzustellen. Diese Richtlinie erfasst die nicht paketbasierte Verbindung; Einschränkungen für paketfähige Treiber werden durch eigene Richtlinien gesteuert.

Nach Microsofts Richtlinienbeschreibung betrifft diese Einstellung Clients ohne die Rolle „Druckadministrator“ und domänengebundene Computer. Da es sich hier um die Variante unter „Computerkonfiguration“ handelt, gelten ihre Einstellungen computerweit.

Sicherheit

Druckertreiber werden mit weitreichenden Systemberechtigungen verarbeitet. Eine Einschränkung auf ausdrücklich benannte, administrativ kontrollierte Druckserver reduziert deshalb die Möglichkeit, Treiberkomponenten von beliebigen Servern zu beziehen. Die Aufnahme eines Servers in ServerList ist jedoch keine technische Prüfung seiner Vertrauenswürdigkeit oder der dort angebotenen Treiber.

Das Unterdrücken der Warnung oder der erforderlichen Rechteerhöhung erleichtert die unbeaufsichtigte Installation beziehungsweise Aktualisierung von Treibern. Microsoft stuft insbesondere Werte ungleich 0 für NoWarningNoElevationOnInstall oder UpdatePromptSettings auf Systemen mit den Sicherheitsupdates für CVE-2021-34527 als unsichere Konfiguration ein.

Seit den Windows-Updates vom 10. August 2021 benötigen Nichtadministratoren standardmäßig Administratorrechte, um über Point-and-Print einen Druckertreiber zu installieren oder zu aktualisieren. Dieses Verhalten wird durch den separaten Wert RestrictDriverInstallationToAdministrators bestimmt. Ist dieser Wert 1 oder nicht vorhanden, übersteuert er die Abfrageoptionen dieser Richtlinie. Die hier dokumentierten Werte gewähren daher auf aktuellen, entsprechend aktualisierten Systemen nicht automatisch eine treiberlose Installation ohne Administratorrechte.

Mögliche Nebenwirkungen

Eine beschränkte oder unvollständige ServerList kann neue Druckerverbindungen verhindern, wenn der erforderliche Treiber nicht bereits lokal vorhanden ist. Aktivierte Warnungs- und Rechteerhöhungsabfragen können außerdem dazu führen, dass Benutzer ohne administrative Anmeldeinformationen eine neue Verbindung oder eine notwendige Treiberaktualisierung nicht abschließen können.

Hinweise

Die Richtlinie deaktiviert Point-and-Print nicht grundsätzlich. Sie begrenzt die verwendbaren Server und beeinflusst die Sicherheitsabfragen für die Treiberinstallation und -aktualisierung.

InForest ist eine Kompatibilitätsoption für ältere Windows-Versionen und stellt auf aktuellen Windows-Clients keine zusätzliche Gesamtstrukturbeschränkung bereit.

Microsoft-Dokumentation

Microsoft Learn: Drucker-Richtlinien-CSP – PointAndPrintRestrictions

Microsoft Support: KB5005010 – Einschränken der Installation neuer Druckertreiber

Microsoft Support: KB5005652 – Verwalten des neuen Point-and-Print-Standardverhaltens

Siehe auch

• Eintrag in der Referenz