Tìm kiếm trang web

Cách vô hiệu hóa bộ đệm máy in trên bộ điều khiển miền

Nhiều tổ chức cài đặt và chia sẻ máy in trên Windows Server. Chẳng có vấn đề gì với việc đấy cả. Đó là một cách tiếp cận tuyệt vời để bảo trì và phân phối máy in. Vấn đề duy nhất là bạn không nên cài đặt máy in trên Domain Controllers vì lý do bảo mật. Trong bài viết này, bạn sẽ tìm hiểu cách tắt Bộ đệm máy in trên Bộ điều khiển miền.

Dịch vụ bộ đệm máy in là gì?

Print Spooler là một dịch vụ phần mềm quản lý quá trình in ấn. Bộ đệm chấp nhận lệnh in từ máy tính và đảm bảo rằng tài nguyên máy in luôn sẵn sàng. Bộ đệm cũng lên lịch thứ tự các lệnh in được gửi đến hàng đợi in để in. Trong những ngày đầu của máy tính cá nhân, người dùng phải đợi cho đến khi các tập tin được in trước khi thực hiện các hành động khác. Nhờ bộ đệm in hiện đại, việc in ấn giờ đây có tác động tối thiểu đến năng suất tổng thể của người dùng.

Rủi ro đối với dịch vụ Print Spooler trên Domain Controllers

Mặc dù dường như vô hại nhưng bất kỳ người dùng được xác thực nào cũng có thể kết nối từ xa với dịch vụ bộ đệm máy in của bộ điều khiển miền và yêu cầu cập nhật về các lệnh in mới. Ngoài ra, người dùng có thể yêu cầu bộ điều khiển miền gửi thông báo đến hệ thống với quyền ủy quyền không bị giới hạn. Những hành động này sẽ kiểm tra kết nối và hiển thị thông tin xác thực tài khoản máy tính của bộ điều khiển miền (Bộ đệm máy in thuộc sở hữu của HỆ THỐNG).

Do khả năng bị lộ, bộ điều khiển miền và hệ thống quản trị Active Directory cần phải tắt dịch vụ Bộ đệm máy in. Cách được khuyến nghị để thực hiện việc này là sử dụng Đối tượng chính sách nhóm (GPO).

Lưu ý: Nên tắt Bộ đệm máy in trên tất cả các bộ điều khiển miền.

Lưu ý: Việc tắt dịch vụ Bộ đệm máy in trên Bộ điều khiển miền có nghĩa là người dùng không thể in trên các máy in được cài đặt trên Bộ điều khiển miền. Bạn nên sử dụng máy chủ in chuyên dụng hoặc cài đặt máy in trên máy chủ khác.

Báo cáo kiểm tra bảo mật Active Directory

Đây là giao diện khi chúng tôi chạy báo cáo Kiểm tra bảo mật Active Directory trong khi Bộ đệm máy in được bật trên Bộ điều khiển miền.

Chỉ báo bảo mật hiển thị:

Trong thời gian từ tháng 6 đến tháng 7 năm 2021, chúng tôi đã tìm thấy một số lỗ hổng nghiêm trọng trong dịch vụ Bộ đệm máy in của Windows. Điều này ảnh hưởng trực tiếp đến Bộ đệm máy in trên bộ điều khiển miền, cho phép thực thi mã từ xa:

  • CVE-2021-1675

  • CVE-2021-34527

Trong ví dụ của chúng tôi, hai Bộ điều khiển miền đã bật Bộ đệm máy in.

Sau khi vô hiệu hóa dịch vụ Bộ đệm máy in bằng một trong các phương pháp bên dưới, chúng tôi chạy lại Đánh giá bảo mật Active Directory và kết quả trông như thế này.

Mọi thứ trông có vẻ tốt.

Cách tắt dịch vụ Print Spooler trên Domain Controller

Có nhiều phương pháp khác nhau để tắt dịch vụ Print Spooler. Thực hiện theo phương pháp phù hợp nhất với tổ chức của bạn. Tuy nhiên, phương pháp đầu tiên, GPO, là phương pháp được khuyên dùng.

Phương pháp 1. Đối tượng chính sách nhóm (GPO)

Để tắt Bộ đệm máy in bằng GPO, hãy làm theo các bước sau:

  1. Đăng nhập vào Bộ điều khiển miền

  2. Mở Quản lý chính sách nhóm

  1. Nhấp chuột phải vào OU của bộ điều khiển miền

  2. Chọn Tạo GPO trong miền này và Liên kết nó tại đây…

  1. Đặt tên cho GPO là DisablePrintSpoolerService và nhấp vào OK

  1. Nhấp chuột phải vào GPO và nhấp vào Chỉnh sửa

  1. Điều hướng đến Cấu hình máy tính > Cài đặt Windows > Cài đặt bảo mật > Dịch vụ hệ thống

  2. Nhấp đúp vào Bộ đệm máy in

  1. Chọn Xác định cài đặt chính sách này

  2. Chọn Đã tắt

  3. Nhấp vào OK

  1. Bắt đầu Dấu nhắc lệnh trên Bộ điều khiển miền

  2. Chạy lệnh dưới đây để áp dụng các thay đổi ngay lập tức

gpupdate /force

Phương pháp 2. Trình quản lý dịch vụ

Để tắt dịch vụ Bộ đệm máy in bằng Trình quản lý dịch vụ, hãy làm theo các bước sau:

  1. Đăng nhập vào Bộ điều khiển miền

  2. Mở Trình quản lý dịch vụ Windows

  1. Nhấp chuột phải vào dịch vụ Bộ đệm máy in

  2. Nhấp vào Thuộc tính

  1. Thay đổi kiểu khởi động thành Đã tắt

  2. Nhấp vào Dừng trong trạng thái dịch vụ

  3. Nhấp vào OK

Phương pháp 3. PowerShell

Để tắt dịch vụ Bộ đệm máy in bằng PowerShell, hãy làm theo các bước sau:

  1. Đăng nhập vào Bộ điều khiển miền

  2. Khởi động Windows PowerShell

  3. Chạy tập lệnh bên dưới

# Stop the Print Spooler service
Stop-Service -Name Spooler

# Disable the Print Spooler service
Set-Service -Name Spooler -StartupType Disabled

Nếu bạn muốn tắt nó trên tất cả các Bộ điều khiển miền, hãy chạy tập lệnh bên dưới.

# Retrieve all domain controllers in current domain
$DCs = Get-ADDomainController -Filter * | Select-Object -ExpandProperty HostName

# Loop through each domain controller
foreach ($DC in $DCs) {
    # Connect to remote domain controller
    $Session = New-PSSession -ComputerName $DC

    # Stop Print Spooler service
    Invoke-Command -Session $Session -ScriptBlock { Stop-Service -Name Spooler }

    # Disable Print Spooler service
    Invoke-Command -Session $Session -ScriptBlock { Set-Service -Name Spooler -StartupType Disabled }

    # Close remote session
    Remove-PSSession -Session $Session
}

Đó là nó!

Đọc thêm: Đổi tên tài khoản quản trị viên bằng Chính sách nhóm »

Phần kết luận

Bạn đã tìm hiểu cách tắt dịch vụ Bộ đệm máy in trên Bộ điều khiển miền. Điều quan trọng là phải thực hiện việc này trên tất cả các Bộ điều khiển miền. Nếu máy in được cài đặt và chia sẻ trên Domain Controller, trước tiên hãy di chuyển chúng sang máy chủ khác. Sau đó, gỡ bỏ máy in và tắt Bộ đệm máy in. Sau khi bạn tắt Bộ đệm máy in, người dùng sẽ không thể in được nữa.

bạn có thích bài viết này? Bạn cũng có thể thích Quản lý Microsoft Office bằng Chính sách nhóm. Đừng quên theo dõi chúng tôi và chia sẻ bài viết này.

Bài viết liên quan