KB3170455適用後にプリンタドライバをインストールできない問題と解決策

KB3170455適用後にネットワークプリンタへ接続できない問題

2016年7月12日にリリースされたMicrosoftのセキュリティ更新プログラム KB3170455(MS16-087)には、ドメイン環境で不都合な問題が発生することが判明しました。この更新プログラムを適用した後、ドメインクライアントからネットワークプリンタへの接続時にエラーが発生する場合があります。

発生する症状

具体的には、Windows Server 2008 R2で稼働するプリントサーバー上のプリンタを、ドメインクライアント(Windows 10、Windows 7)に接続しようとすると、次のようなエラーが表示されます。

プリンターへの接続
「コンピューターにポリシーが設定されているため、この印刷キューに接続できません。システム管理者に問い合わせてください。」

また、プリンタの機種によっては、ネットワークプリンタ接続時に別の警告が表示されることもあります。

このプリンターを信頼しますか?
「Windowsで Printer_Name に印刷するには、\\PrintServer_Name コンピューターからソフトウェアドライバーをダウンロードしてインストールする必要があります。\\PrintServer_Name とネットワークを信頼できる場合のみ続行してください。」

ドライバーのインストールをクリックすると、管理者のユーザー名とパスワードの入力を求めるUAC(ユーザーアカウント制御)画面が表示されます。しかし、以前は一般ユーザーでも管理者権限なしでプリンタドライバーをインストールできるポリシーにより、これらのプリンタへ問題なく接続できていました。

原因はKB3170455

問題のコンピューターにインストール済みの更新プログラムを比較したところ、KB3170455(MS16-087: Windows Print Spoolerコンポーネント向けセキュリティ更新プログラム、2016年7月12日)が適用されているマシンでのみ問題が発生していることが特定できました。実際、この更新プログラムを削除すると、プリンタは正常に接続できるようになります。

wusa.exe /uninstall /kb:3170455 /quiet /norestart

注: Windowsで更新プログラムを正しくアンインストールする各種方法については、関連記事も併せてご参照ください。

更新プログラムを削除するだけでは根本的な解決にならない

ただし、この更新プログラム自体に不具合があるわけではありません。Windows Print Spoolerの重大な脆弱性を修正するものであり、加えて、信頼されていない、または署名されていないプリンタドライバーをユーザーがインストールしようとした際に警告を表示する機能も導入されています。特にWindows 10では、この更新プログラムは累積更新プログラムに統合されているためロールバックできず、単にアンインストールするだけで問題を解決することはできません。

Microsoftのサポート記事(KB3170005)には、クライアントにプリンタドライバーを正しくインストールするために満たすべき基準が示されています。

1. ドライバーが信頼されていること(信頼されたデジタル署名で署名されていること)
2. ドライバーがパッケージ対応(Package-aware)であること。パッケージ非対応のv3プリンタドライバーは、「Point and Print Restrictions」モードではインストールできません

Microsoft推奨の対処方法

1. プリントサーバー上のドライバーをパッケージ対応版(Package-aware V3)に置き換える。ドライバーがパッケージ対応かどうかは、印刷の管理(Print Management)で確認できます。「ドライバー」セクションを開き、パッケージ対応のドライバーであれば「パッケージ」列が「True」と表示されます。 そのうえで、「Point and Print Restrictions」ポリシーを有効にし([コンピューターの構成] > [ポリシー] > [管理用テンプレート] > [プリンター]、および [ユーザーの構成] > [ポリシー] > [管理用テンプレート] > [コントロールパネル] > [プリンター])、「警告を表示しない、または昇格の確認をしない」にチェックを入れます。さらに、信頼できるプリントサーバーのFQDN名を指定してください。
2. ドライバーが古く更新できない場合は、クライアントPCにあらかじめドライバーを事前インストールしておくことをお勧めします。この場合、プリンタ接続時の問題は発生しません。

レジストリを利用した回避策(Canon・Sharp・Konica Minolta)

注: Canon、Sharp、Konica Minolta製プリンタには、システムにドライバーをパッケージ対応として認識させるテクニックがあります。プリントサーバーのレジストリで HKLM\System\CurrentControlSet\Control\Print\Enviroments\Windowsx64\Drivers\…\Driver name\ ブランチを開き、該当ドライバーの PrinterDriverAttributes の値に1を加算して変更します。筆者の環境では属性値が5だったため6に変更しました。同様に、HKLM\System\CurrentControlSet\Control\Print\Enviroments\Windowsx NT x86\Drivers…\Driver name\ 側のドライバー属性も同じように変更します。再起動後、Canonのネットワークプリンタは警告なしで接続できるようになります。