ドメインコントローラーで印刷スプーラーを無効にする方法

多くの組織は、Windows Server にプリンターをインストールして共有しています。それは何の問題もありません。これは、プリンターを保守および配布するための優れたアプローチです。唯一の問題は、セキュリティ上の理由からドメインコントローラーにプリンターをインストールすべきではないことです。この記事では、ドメインコントローラーで印刷スプーラーを無効にする方法を説明します。

印刷スプーラーサービスとは何ですか?

Print Spooler は、印刷プロセスを管理するソフトウェアサービスです。スプーラはコンピュータから印刷ジョブを受け入れ、プリンタリソースが利用可能であることを確認します。スプーラは、印刷ジョブが印刷のために印刷キューに送信される順序もスケジュールします。パーソナルコンピューターの初期の頃、ユーザーはファイルが印刷されるまで待ってから、他の操作を実行する必要がありました。最新の印刷スプーラーのおかげで、印刷がユーザー全体の生産性に与える影響は最小限に抑えられています。

ドメインコントローラー上の印刷スプーラーサービスのリスク

一見無害に見えますが、認証されたユーザーはすべてドメインコントローラーの印刷スプーラーサービスにリモートで接続し、新しい印刷ジョブの更新を要求できます。また、ユーザーはドメインコントローラーに対して、制約のない委任を使用してシステムに通知を送信するように指示できます。これらのアクションは接続をテストし、ドメインコントローラーコンピューターアカウントの資格情報を公開します (印刷スプーラーは SYSTEM によって所有されます)。

漏洩の可能性があるため、ドメインコントローラーと Active Directory 管理システムでは印刷スプーラーサービスを無効にする必要があります。これを行うために推奨される方法は、グループポリシーオブジェクト (GPO) を使用することです。

注記：すべてのドメインコントローラーで印刷スプーラーを無効にすることをお勧めします。

注記：ドメインコントローラーで印刷スプーラーサービスを無効にすると、ユーザーはドメインコントローラーにインストールされているプリンターで印刷できなくなります。専用のプリントサーバーを使用するか、プリンターを別のサーバーにインストールする必要があります。

Active Directory セキュリティ監査レポート

ドメインコントローラーでプリンタースプーラーが有効になっているときに Active Directory セキュリティ監査レポートを実行すると、次のようになります。

セキュリティインジケーターは次のことを示します。

2021 年 6 月から 7 月にかけて、Windows 印刷スプーラーサービスでいくつかの重大な欠陥が見つかり、ドメインコントローラー上の印刷スプーラーに直接影響を及ぼし、リモートでコードが実行される可能性がありました。

この例では、2 つのドメインコントローラーで印刷スプーラーが有効になっています。

以下のいずれかの方法で印刷スプーラーサービスを無効にした後、Active Directory セキュリティ評価を再度実行すると、次のようになります。

すべてが良さそうです。

ドメインコントローラーで印刷スプーラーサービスを無効にする方法

印刷スプーラーサービスをオフにする方法はいくつかあります。組織に最も適切な方法に従ってください。ただし、最初の方法である GPO が推奨される方法です。

方法 1. グループポリシーオブジェクト (GPO)

GPO を使用して印刷スプーラーを無効にするには、次の手順に従います。

ドメインコントローラーにサインインする
開けるグループポリシー管理

を右クリックします。ドメインコントローラーOU
選択このドメインに GPO を作成し、ここにリンクします…

GPO に名前を付けますDisablePrintSpoolerServiceそしてクリックしてくださいわかりました

を右クリックします。GPOそしてクリックしてください編集

に移動しますコンピュータの構成 > Windows 設定 > セキュリティ設定 > システムサービス
ダブルクリックしてくださいプリントスプーラー

選択このポリシー設定を定義します
選択無効
クリックわかりました

始めるコマンドプロンプトドメインコントローラー上で
以下のコマンドを実行して変更をすぐに適用します

gpupdate /force

方法 2. サービスマネージャー

サービスマネージャーを使用して Print Spooler サービスを無効にするには、次の手順に従います。

ドメインコントローラーにサインインする
開けるWindows サービスマネージャー

右クリックして、プリントスプーラーサービス
をクリックしてくださいプロパティ

スタートアップの種類を次のように変更します。無効
クリック停止サービスステータスの下で
クリックわかりました

方法 3. PowerShell

PowerShell を使用してプリンタースプーラーサービスを無効にするには、次の手順に従います。

ドメインコントローラーにサインインする
始めるWindows PowerShell
を実行します。スクリプト下に

# Stop the Print Spooler service
Stop-Service -Name Spooler

# Disable the Print Spooler service
Set-Service -Name Spooler -StartupType Disabled

すべてのドメインコントローラーでこれを無効にする場合は、以下のスクリプトを実行します。

# Retrieve all domain controllers in current domain
$DCs = Get-ADDomainController -Filter * | Select-Object -ExpandProperty HostName

# Loop through each domain controller
foreach ($DC in $DCs) {
    # Connect to remote domain controller
    $Session = New-PSSession -ComputerName $DC

    # Stop Print Spooler service
    Invoke-Command -Session $Session -ScriptBlock { Stop-Service -Name Spooler }

    # Disable Print Spooler service
    Invoke-Command -Session $Session -ScriptBlock { Set-Service -Name Spooler -StartupType Disabled }

    # Close remote session
    Remove-PSSession -Session $Session
}

それでおしまい！

結論

ドメインコントローラーで印刷スプーラーサービスを無効にする方法を学習しました。すべてのドメインコントローラーでこれを行うことが重要です。プリンターがドメインコントローラーにインストールされ共有されている場合は、まずプリンターを別のサーバーに移動します。その後、プリンターを削除し、印刷スプーラーを無効にします。印刷スプーラーを無効にすると、ユーザーは印刷できなくなります。

この記事は楽しかったですか? 「グループポリシーを使用して Microsoft Office を管理する」も気に入っていただけるでしょう。ぜひフォローしてこの記事をシェアしてください。

さらに読む:Windows Server 2008 ドメインコントローラーでパスワードの有効期限を無効にする方法