Chúng tôi đã phát hiện một vấn đề khó chịu với một trong các bản cập nhật bảo mật Microsoft phát hành vào tháng 7. Chúng tôi nói về KB3170455 phát hành ngày 12 tháng 7, 2016. Sau khi cài đặt bản cập nhật này, vấn đề kết nối máy in mạng có thể xuất hiện trong domain.
Vấn đề biểu hiện như sau: khi cố gắng cài đặt (kết nối) máy in từ Print Server (chạy Windows Server 2008 R2) trên client domain (Windows 10, Windows 7), lỗi sau xuất hiện:
Kết nối với máy in
Một chính sách đang có hiệu lực trên máy tính của bạn ngăn bạn kết nối với hàng đợi in này. Vui lòng liên hệ quản trị viên hệ thống của bạn.
Với một số mẫu máy in, cảnh báo khác xuất hiện khi cố kết nối máy in mạng:
Bạn có tin cậy máy in này không?
Windows cần tải xuống và cài đặt driver phần mềm từ máy \\PrintServer_Name để in đến Printer_Name. Chỉ tiếp tục nếu bạn tin cậy \\PrintServer_Name và mạng
Khi nhấp Install driver (Cài driver), cửa sổ UAC xuất hiện yêu cầu nhập đăng nhập và mật khẩu quản trị. Mặc dù trước đó người dùng thường có thể dễ dàng kết nối máy in này (chính sách cho phép người dùng phổ thông cài driver in mà không cần đặc quyền admin).
Đã so sánh các bản cập nhật cài trên máy client có vấn đề, chúng tôi thấy vấn đề xuất hiện trên máy có cài KB3170455 (MS16-087: Mô tả bản cập nhật bảo mật cho thành phần Windows print spooler: 12 tháng 7, 2016). Thực tế, sau khi bản cập nhật này bị xóa, máy in kết nối đúng.
wusa.exe /uninstall /kb:3170455 /quiet /norestart
Lưu ý. Tất cả cách gỡ cài đặt bản cập nhật trong Windows đúng cách
Nhưng không có gì sai với bản cập nhật, vì nó sửa một lỗ hổng nghiêm trọng nhất định trong Windows print spooler. Bản cập nhật cũng gợi ý hiển thị cảnh báo nếu người dùng cố cài driver máy in không tin cậy hoặc không ký. Trong Windows 10, bản cập nhật này được tích hợp vào bản cập nhật tích lũy (cumulative update) không thể roll back. Vì vậy bạn không thể giải quyết vấn đề bằng cách đơn giản gỡ cài đặt bản cập nhật.
Bài viết https://support.microsoft.com/en-us/kb/3170005 chỉ tiêu chí driver máy in phải đáp ứng để được cài đúng trên client:
- Driver phải tin cậy (ký bằng chữ ký số tin cậy)
- Driver phải package-aware (Package-aware print drivers). Driver v3 không package-aware sẽ không thể cài trong chế độ Point and Print Restrictions
Vì vậy Microsoft khuyên:
- Thay thế driver trên Print Server bằng driver package-aware (Package-aware V3). Bạn có thể biết driver có package-aware không dùng Print Manager. Mở mục Drivers, nếu driver package-aware nó sẽ có trạng thái True trong cột Packaged.
- Nếu driver lỗi thời và không thể cập nhật, khuyên cài sẵn chúng trên client PC. Trong trường hợp này, không sẽ có vấn đề với kết nối máy in.
Bạn chỉ cần bật chính sách Point and Print Restrictions (trong Computer Configuration > Policies > Admin Templates > Printers và User Configuration > Policies > Admin Templates > Control Panel > Printers) và chọn Do not show warning or elevation prompt (Không hiển thị cảnh báo hoặc nhắc nâng quyền). Ngoài ra, chỉ định tên FQDN của Print Server tin cậy.
Lưu ý. Có một thủ thuật nhỏ cho máy in Canon, Sharp, Konica Minolta làm cho hệ thống nghĩ driver là package-aware. Để làm vậy, mở nhánh registry HKLM\System\CurrentControlSet\Control\Print\Enviroments\Windowsx64\Drivers\…\Driver name\ trên Print Server và thay đổi giá trị khóa PrinterDriverAttributes cho driver cụ thể bằng cách cộng 1 vào giá trị hiện tại. Trong trường hợp của tôi, giá trị thuộc tính là 5, và tôi đổi thành 6. Cũng phải làm tương tự cho thuộc tính driver trong HKLM\System\CurrentControlSet\Control\Print\Enviroments\Windowsx NT x86\Drivers…\Driver name\. Sau khởi động lại, máy in mạng Canon bắt đầu kết nối không có cảnh báo nào.