Beschränkt die Installation von Druckertreibern auf Administratoren
Der `REG_DWORD`-Wert steuert, ob Benutzer ohne Administratorrechte über Point-and-Print Druckertreiber installieren oder aktualisieren dürfen.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint\RestrictDriverInstallationToAdministrators
Der REG_DWORD-Wert steuert, ob Benutzer ohne Administratorrechte über Point-and-Print Druckertreiber installieren oder aktualisieren dürfen.
Bei 1 sind Administratorrechte erforderlich, wenn Point-and-Print einen Druckertreiber von einem Remotecomputer oder Druckserver auf dem lokalen Computer installieren muss. Auf Windows-Systemen mit Updates vom 10. August 2021 oder neuer gilt dieses geschützte Verhalten auch dann, wenn der Wert nicht vorhanden ist.
Bei 0 hebt der Wert diese generelle Beschränkung auf. Benutzer ohne Administratorrechte können dann grundsätzlich auch signierte oder nicht signierte Druckertreiber installieren und aktualisieren, die über Point-and-Print bereitgestellt werden. Andere Richtlinien für Point-and-Print können solche Installationen weiterhin einschränken oder verhindern.
Hinweise
Weitere Wirkungen
Der Wert 1 hat Vorrang vor den Einstellungen der Richtlinie „Point-and-Print-Einschränkungen“, soweit diese Benutzern ohne Administratorrechte eine Treiberinstallation ermöglichen würden.
Der Wert 0 setzt andere Point-and-Print-Richtlinien dagegen nicht außer Kraft. Einschränkungen auf bestimmte Druckserver sowie Vorgaben für Sicherheits- und Rechteerweiterungsaufforderungen können deshalb weiterhin wirksam sein.
Sicherheit
Die Installation eines Druckertreibers ist ein sicherheitskritischer Vorgang. Bei 0 kann ein Benutzer ohne Administratorrechte unter Umständen einen signierten oder nicht signierten Treiber von einem Druckserver installieren. Ein bösartiger oder kompromittierter Druckserver könnte dies zur Bereitstellung eines manipulierten Treibers ausnutzen.
Microsoft führte das standardmäßige Erfordernis von Administratorrechten im Zusammenhang mit CVE-2021-34481 ein. Nach Angaben von Microsoft bietet keine Kombination zusätzlicher Point-and-Print-Einschränkungen denselben Schutz wie RestrictDriverInstallationToAdministrators = 1.
Mögliche Nebenwirkungen
Wenn für eine neue Druckerverbindung ein Treiber installiert oder ein vorhandener Treiber aktualisiert werden muss, können Benutzer ohne Administratorrechte zur Eingabe administrativer Anmeldeinformationen aufgefordert werden. Ohne eine solche Rechteerweiterung kann die Druckerverbindung nicht vollständig eingerichtet oder der benötigte Treiber nicht aktualisiert werden.
Dies kann insbesondere die automatische Bereitstellung freigegebener Drucker beeinträchtigen, wenn der erforderliche Treiber noch nicht auf dem Client vorhanden ist.
Hinweise
Der Wert gilt computerweit. Für das Erstellen oder Ändern des Werts ist kein Neustart erforderlich.
Windows-Updates vom 10. August 2021 oder neuer verwenden standardmäßig das Verhalten von 1, legen den Registry-Wert jedoch nicht selbst an und ändern einen vorhandenen Wert nicht.
Microsoft-Dokumentation
Microsoft Learn: Drucker-Richtlinien-CSP – RestrictDriverInstallationToAdministrators