Cómo deshabilitar la cola de impresión en el controlador de dominio

Muchas organizaciones instalan y comparten impresoras en Windows Server. No hay nada malo en eso. Es una excelente manera de mantener y distribuir impresoras. El único problema es que no debes instalar impresoras en los controladores de dominio por razones de seguridad. En este artículo, aprenderá cómo desactivar la cola de impresión en un controlador de dominio.

¿Qué es un servicio de cola de impresión?

Print Spooler es un servicio de software que gestiona los procesos de impresión. La cola de impresión acepta trabajos de impresión desde computadoras y garantiza que los recursos de la impresora estén disponibles. La cola de impresión también programa el orden en que se envían los trabajos de impresión a la cola de impresión para su impresión. En los primeros días de las computadoras personales, los usuarios tenían que esperar hasta que se imprimieran los archivos antes de realizar otras acciones. Gracias a las modernas colas de impresión, la impresión ahora tiene un impacto mínimo en la productividad general del usuario.

El riesgo del servicio Print Spooler en los controladores de dominio

Aunque parezca inofensivo, cualquier usuario autenticado puede conectarse de forma remota al servicio de cola de impresión de un controlador de dominio y solicitar una actualización sobre nuevos trabajos de impresión. Además, los usuarios pueden indicarle al controlador de dominio que envíe la notificación al sistema con delegación sin restricciones. Estas acciones prueban la conexión y exponen la credencial de la cuenta de la computadora del controlador de dominio (la cola de impresión es propiedad del SISTEMA).

Debido a la posibilidad de exposición, los controladores de dominio y los sistemas de administración de Active Directory deben tener el servicio de cola de impresión deshabilitado. La forma recomendada de hacerlo es utilizar un objeto de política de grupo (GPO).

Nota:Se recomienda deshabilitar la cola de impresión en todos los controladores de dominio.

Nota:Deshabilitar el servicio Print Spooler en el controlador de dominio significa que los usuarios no pueden imprimir en las impresoras instaladas en los controladores de dominio. Debe utilizar un servidor de impresión dedicado o instalar la impresora en otro servidor.

Informe de auditoría de seguridad de Active Directory

Así es como se ve cuando ejecutamos un informe de auditoría de seguridad de Active Directory mientras el administrador de trabajos de impresión está habilitado en el controlador de dominio.

El indicador de seguridad muestra:

Durante junio-julio de 2021, se encontraron varias fallas críticas en los servicios de Print Spooler de Windows que afectan directamente a Print Spoolers en los controladores de dominio, lo que permite la ejecución remota de código:

• CVE-2021-1675
• CVE-2021-34527

En nuestro ejemplo, dos controladores de dominio tienen habilitada la cola de impresión.

Después de deshabilitar el servicio Print Spooler con uno de los métodos siguientes, ejecutamos nuevamente la Evaluación de seguridad de Active Directory y así es como se ve.

Todo se ve bien.

Existen diferentes métodos para desactivar el servicio Print Spooler. Siga el método que sea más relevante para su organización. Sin embargo, el primer método, el GPO, es el método recomendado.

Método 1. Objeto de política de grupo (GPO)

Para deshabilitar la cola de impresión usando GPO, siga estos pasos:

1. Iniciar sesión en el controlador de dominio
2. AbiertoGestión de políticas de grupo

3. Haga clic derecho en elUnidad organizativa de controladores de dominio
4. SeleccionarCree un GPO en este dominio y vincúlelo aquí...

5. Nombra el GPODeshabilitar el servicio PrintSpoolery haga clicDE ACUERDO

6. Haga clic derecho en elGPOy haga clicEditar

7. Navegar aConfiguración de la computadora> Configuración de Windows> Configuración de seguridad> Servicios del sistema
8. Haga doble clic enCola de impresión

9. SeleccionarDefinir esta configuración de política
10. SeleccionarDesactivado
11. Hacer clicDE ACUERDO

12. ComenzarSímbolo del sistemaen el controlador de dominio
13. Ejecute el siguiente comando para aplicar los cambios inmediatamente

gpupdate /force

Método 2. Administrador de servicios

Para deshabilitar el servicio Print Spooler usando el Administrador de servicios, siga estos pasos:

1. Iniciar sesión en el controlador de dominio
2. AbiertoAdministrador de servicios de Windows

3. Haga clic derecho enCola de impresiónservicio
4. Hacer clic enPropiedades

5. Cambie el tipo de inicio aDesactivado
6. Hacer clicDetenerbajo el estado del servicio
7. Hacer clicDE ACUERDO

Método 3. PowerShell

Para deshabilitar el servicio de cola de impresión mediante PowerShell, siga estos pasos:

1. Iniciar sesión en el controlador de dominio
2. ComenzarWindowsPowerShell
3. Ejecute elguionabajo

# Stop the Print Spooler service
Stop-Service -Name Spooler

# Disable the Print Spooler service
Set-Service -Name Spooler -StartupType Disabled

Si desea desactivarlo en todos los controladores de dominio, ejecute el siguiente script.

# Retrieve all domain controllers in current domain
$DCs = Get-ADDomainController -Filter * | Select-Object -ExpandProperty HostName

# Loop through each domain controller
foreach ($DC in $DCs) {
    # Connect to remote domain controller
    $Session = New-PSSession -ComputerName $DC

    # Stop Print Spooler service
    Invoke-Command -Session $Session -ScriptBlock { Stop-Service -Name Spooler }

    # Disable Print Spooler service
    Invoke-Command -Session $Session -ScriptBlock { Set-Service -Name Spooler -StartupType Disabled }

    # Close remote session
    Remove-PSSession -Session $Session
}

¡Eso es todo!

Conclusión

Aprendió a deshabilitar el servicio Print Spooler en un controlador de dominio. Es fundamental hacer esto en todos los controladores de dominio. Si hay impresoras instaladas y compartidas en el controlador de dominio, muévalas primero a otro servidor. Después de eso, retire las impresoras y desactive la cola de impresión. Una vez que deshabilita la cola de impresión, el usuario ya no podrá imprimir.

¿Disfrutaste este artículo? También te puede interesar Administrar Microsoft Office con política de grupo. No olvides seguirnos y compartir este artículo.

Más lectura:Cómo deshabilitar la caducidad de la contraseña en el controlador de dominio de Windows Server 2008