เราพบปัญหาที่ไม่พึงประสงค์กับอัปเดตความปลอดภัยของ Microsoft ที่ออกในเดือนกรกฎาคม คือ KB3170455 ที่ออกวันที่ 12 กรกฎาคม 2016 หลังจากติดตั้งอัปเดตนี้ ปัญหาการเชื่อมต่อเครื่องพิมพ์เครือข่ายอาจเกิดขึ้นในโดเมน
ปัญหาเกิดขึ้นดังนี้: เมื่อพยายามติดตั้ง (เชื่อมต่อ) เครื่องพิมพ์จาก Print Server (รัน Windows Server 2008 R2) บนไคลเอนต์ในโดเมน (Windows 10, Windows 7) จะเกิดข้อผิดพลาดดังนี้:
A policy is in effect on your computer which prevents you from connecting to this print queue. Please contact your system administrator.
กับรุ่นเครื่องพิมพ์บางรุ่น จะมีคำเตือนอีกอย่างเมื่อพยายามเชื่อมต่อเครื่องพิมพ์เครือข่าย:
Do you trust this printer?Windows needs to download and install a software driver from \\PrintServer_Name computer to print to Printer_Name. Proceed only if you trust the \\PrintServer_Name and the network
เมื่อคลิก Install driver จะมีหน้าต่าง UAC ปรากฏขอให้ป้อนชื่อผู้ใช้และรหัสผ่านแอดมิน แม้ก่อนหน้านี้ผู้ใช้สามารถเชื่อมต่อเครื่องพิมพ์เหล่านี้ได้ง่ายๆ (มี Policy อนุญาตให้ผู้ใช้ทั่วไปติดตั้งไดรเวอร์พิมพ์โดยไม่ต้องมีสิทธิ์แอดมิน)
จากการเปรียบเทียบอัปเดตที่ติดตั้งบนคอมพิวเตอร์ที่มีปัญหา พบว่าปัญหาเกิดบนคอมพิวเตอร์ที่มีอัปเดต KB3170455 (MS16-087: Description of the security update for Windows print spooler components: July 12, 2016) ติดตั้งอยู่ จริงๆ แล้วหลังจากลบอัปเดตนี้ออก เครื่องพิมพ์ก็เชื่อมต่อได้ปกติ
wusa.exe /uninstall /kb:3170455 /quiet /norestart
แต่อัปเดตนี้ไม่ได้มีปัญหา เนื่องจากมันแก้ไขช่องโหว่สำคัญใน Windows print spooler อัปเดตนี้ยังแนะนำให้แสดงคำเตือนหากผู้ใช้พยายามติดตั้งไดรเวอร์พิมพ์ที่ไม่น่าเชื่อถือหรือไม่ได้เซ็น ใน Windows 10 อัปเดตนี้รวมอยู่ใน Cumulative update ที่ไม่สามารถถอนได้ ดังนั้นคุณไม่สามารถแก้ปัญหาได้โดยแค่ถอนอัปเดต
บทความ https://support.microsoft.com/en-us/kb/3170005 ระบุเกณฑ์ที่ไดรเวอร์พิมพ์ต้องตรงตามเพื่อติดตั้งบนไคลเอนต์ได้อย่างถูกต้อง:
- ไดรเวอร์ต้องน่าเชื่อถือ (เซ็นด้วยลายเซ็นดิจิทัลที่เชื่อถือได้)
- ไดรเวอร์ต้องเป็น Package-aware (Package-aware print drivers) ไดรเวอร์ v3 ที่ไม่ใช่ Package-aware จะไม่สามารถติดตั้งในโหมด Point and Print Restrictions ได้
ดังนั้น Microsoft แนะนำ:
- เปลี่ยนไดรเวอร์บน Print Servers เป็น Package-aware (Package-aware V3) คุณสามารถตรวจสอบได้ว่าไดรเวอร์เป็น Package-aware หรือไม่ ผ่าน Print Manager เปิดส่วน Drivers หากไดรเวอร์เป็น Package-aware จะมีสถานะ True ในคอลัมน์ Packaged
คุณเพียงต้องเปิดใช้งาน Policy Point and Print Restrictions (ใน Computer Configuration > Policies > Admin Templates > Printers และ User Configuration > Policies > Admin Templates > Control Panel > Printers) และติ๊กถูก Do not show warning or elevation prompt นอกจากนี้ ให้ระบุชื่อ FQDN ของ Print Servers ที่เชื่อถือได้ - หากไดรเวอร์เก่าและอัปเดตไม่ได้ แนะนำให้ติดตั้งไดรเวอร์ล่วงหน้าบน Client PCs ในกรณีนี้จะไม่มีปัญหากับการเชื่อมต่อเครื่องพิมพ์
