Как установить драйвер с правами администратора
Обновлено: 06.07.2024
Windows обновлений, выпущенных 10 августа 2021 г. и более поздних версий, для установки драйверов по умолчанию потребуются права администратора. Мы внося это изменение в поведение по умолчанию для устранения рисков на всех Windows, включая устройства, которые не используют функции Point и Print или Print. Дополнительные сведения см. в пунктах Изменение поведения по умолчанию и CVE-2021–34481.
По умолчанию пользователи без прав администратора больше не могут делать следующее с помощью точки и печати:
Установка новых принтеров с помощью драйверов на удаленном компьютере или сервере
Обновление существующих драйверов принтера с помощью драйверов с удаленного компьютера или сервера
Примечание Если вы не используете Point и Print, это изменение не защитит вас от изменений и будет по умолчанию защищено после установки обновлений, выпущенных 10 августа 2021 г. или более поздней версии.
Важно Перед установкой обновлений, выпущенных 14 сентября 2021 г., клиентам печати в вашей среде необходимо установить обновление от 12 января 2021 г. или более поздней версии. Дополнительные сведения см. в вопросе "Вопросы и ответы" кв. 2 ниже.
Изменение поведения при установке драйвера по умолчанию с помощью ключа реестра
Это поведение по умолчанию можно изменить с помощью параметра реестра, приведенного в таблице ниже. Однако будьте осторожны при использовании нуля (0), так как это делает устройства уязвимыми. Если в вашей среде необходимо использовать значение реестра 0, мы рекомендуем использовать его временно во время настройки среды, чтобы позволить устройствам Windows использовать значение 1 (1).
Расположение реестра
Данные о значениях
Поведение по умолчанию: Если задайте для этого значения значение 1 или ключ не определен или нет ,потребуется права администратора для установки любого драйвера принтера при использовании Point и Print. Этот ключ реестра переопределит все параметры групповой политики Point и Print Restrictions и гарантирует, что только администраторы смогут устанавливать драйверы принтера с печатного сервера с помощью point и Print.
Установка значения 0 позволяет не администраторам устанавливать подписанные и неподписаные драйверы на сервер печати, но не переопределять параметры групповой политики Point и Print. Следовательно, параметры групповой политики Point и Print Restrictions могут переопределять этот параметр реестра, чтобы запретить администраторам устанавливать с печатного сервера подписанные и неподписаные драйверы печати. Некоторые администраторы могут установить значение 0, чтобы разрешить не администраторам устанавливать и обновлять драйверы после добавления дополнительных ограничений, включая добавление параметра политики, ограничивающего возможность установки драйверов.
Важно Сочетания последствий, эквивалентных установке ограниченияDriverInstallationToAdministrators равным 1, не существует.
Примечание Для обновлений, выпущенных 6 июля 2021 г. и более поздних версий, по умолчанию задано значение 0 (отключено) до установки обновлений, выпущенных 10 августа 2021 г. или более поздней версии. Обновления, выпущенные 10 августа 2021 г. или более поздние версии, по умолчанию имеют значение 1 (включено).
Требования к перезапуску
При создании или изменении этого значения реестра перезапуск не требуется.
Примечание Windows обновления не будут устанавливать или изменять реестр. Вы можете настроить реестр до или после установки обновлений, выпущенных 10 августа 2021 г. или более поздней версии.
Автоматизация добавления значения реестра RestrictDriverInstallationToAdministrators
Чтобы автоматизировать добавление значения реестра RestrictDriverInstallationToAdministrators, выполните следующие действия:
Открытие окна команднойcmd.exe с повышенными разрешениями.
Введите следующую команду и нажмите ввод:
reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f
Set RestrictDriverInstallationToAdministrators using Group Policy
После установки обновлений, выпущенных 12 октября 2021 г. или более поздней версии, вы также можете настроить ограничителиDriverInstallationToAdministrators с помощью групповой политики, выполнив следующие инструкции:
Откройте редактор групповой политики и перейдите в меню Конфигурация компьютера>административных шаблонов>Принтеры.
Установите для параметра Ограничения при установке драйвера печати параметр Администраторы на "Включено". При этом для реестра RestrictDriverInstallationToAdministrators будет установлено значение 1.
Установка драйверов печати при вмении нового параметра по умолчанию
Если для ограниченияDriverInstallationToAdministrators задавается неопределенный или 1 (в зависимости от среды), для установки принтеров необходимо использовать один из следующих способов:
При запросе учетных данных при попытке установки драйвера принтера вводить имя пользователя и пароль администратора.
Включив необходимые драйверы принтера в изображение ОС.
Используйте Microsoft System Center, Microsoft Endpoint Configuration Manager или эквивалентное средство для удаленной установки драйверов принтера.
Чтобы установить драйверы принтера, временно задайте для ограниченияDriverInstallationToAdministrators 0.
Примечание Если вам не удается установить драйверы принтера даже с учетом прав администратора, необходимо отключить групповую политику "Использовать только точку упаковки" и "Печать".
Рекомендуемые параметры и частичные снижения последствий для среды, в которой нельзя использовать поведение по умолчанию
Следующие ограничения помогают защитить все среды, но особенно если необходимо установить для ограниченияDriverInstallationToAdministrators 0. Эти меры не полностью уявляют уязвимости в CVE-2021–34481.
Важно Сочетания последствий, эквивалентных установке ограниченияDriverInstallationToAdministrators равным 1, не существует.
Убедитесь, что для RpcAuthnLevelPrivacyEnabled установлено 1 или не определено
Убедитесь, что для RpcAuthnLevelPrivacyEnabled установлено 1 или не определено, как описано в описании изменения привязки принтера RPC для CVE-2021–1678 (KB4599464).
Проверка включения подсказок безопасности для point и print
Убедитесь, что для point и Print включены запросы безопасности, как описано в KB5005010:ограничение установки новых драйверов принтера после применения обновлений от 6 июля 2021 г.
Разрешить пользователям подключаться только к определенным серверам печати, которые вы доверяете
Эта политика "Ограниченияна печать" применяется к принтерам Point и Print с использованием непакетного драйвера на сервере.
С помощью следующих действий:
Откройте консоль управления групповыми политиками (GPMC).
В дереве консоли GPMC перейдите к домену или подразделению, в котором хранится учетная запись пользователя, для которой вы хотите изменить параметры безопасности драйвера принтера.
Щелкните правой кнопкой мыши соответствующий домен или ОО и выберите создать GPOв этом домене и связать его здесь .Введите имя нового объекта групповой политики и нажмите кнопку ОК.
Щелкните созданную GPO правой кнопкой мыши и выберите изменить.
В окне редактора управления групповыми политиками щелкните Конфигурациякомпьютера , выберите Политики ,щелкните Административные шаблоныи выберите Принтеры.
Щелкните правой кнопкой мыши пункт Ограничения на печатьи выберите изменить .
В диалоговом оке Ограничения на печать и точках нажмите кнопку Включено.
Если этот пункт еще не выбран, выберите пункт Пользователи могут напечатать данные на этих серверах.
Введите полное имя сервера. Имена разделяют их с помощью 10-;).
Примечание После установки обновлений, выпущенных 21 сентября 2021 г. или более поздней версии, вы можете настроить групповую политику точкой или точкой (.) IP-адреса с делегами взаимозаменяемы с полноценными именами хостов.
В окне При установке драйверов для нового подключения выберите Показывать предупреждение и Запрос с повышенными уровнями.
В окне При обновлении драйверов для существующего подключения выберите Показывать предупреждение и запрос с повышенными уровнями.
Разрешить пользователям подключаться только к определенным точкам пакета и серверам печати, которые вы доверяете
Эта политика "Точкапакета" и "Печать — утвержденные серверы" ограничивают поведение клиента только разрешением подключений Point и Print только для определенных серверов, которые используют драйверы с пакетом.
С помощью следующих действий:
На контроллере домена выберите Начните, выберите Администрирование Средства, а затем выберите Управление групповой политикой. Кроме того, можно нажать кнопку Начните,выбрать выполнить, ввести GPMC.MSCи нажать ввод.
Раз развернуть лес, а затем — домены.
Под своим доменом выберите ОО, в котором вы хотите создать эту политику.
Щелкните его правой кнопкой мыши, выберите создать GPO в этом домене и привяжете его сюда.
Придай имя GPO, а затем выберите ОК.
Щелкните правой кнопкой мыши созданный объект групповой политики и выберите Изменить, чтобы открыть редактор управления групповыми политиками.
В редакторе управления групповыми политиками разложите следующие папки:
Конфигурация компьютера
Административные шаблоны
Локальные компьютерные системы
В включить точку упаковки и печать — утвержденные серверы и выберите кнопку Показать.
Введите полное имя сервера. Имена разделяют их с помощью 10-;).
Примечание После установки обновлений, выпущенных 21 сентября 2021 г. или более поздней версии, вы можете настроить групповую политику точкой или точкой (.) IP-адреса с делегами взаимозаменяемы с полноценными именами хостов.
Вопросы и ответы
Вопрос1. При каждой попытке печати я получаю запрос "Доверяете ли вы этому принтеру", и для продолжения работы с этим принтером требуются учетные данные администратора. Это ожидаемое?
A1. Запрос на каждое задание печати не ожидается. Большинство сред или устройств, в которых эта проблема устранена, будут устранены с помощью обновлений, выпущенных 12 октября 2021 г. или более поздней версии. В этих обновлениях решается проблема, связанная с печатью серверов и клиентов печати, которые не находится в одном часовом поясе.
Если после установки обновлений, выпущенных 12 октября 2021 г. или более поздней версии, эта проблема по-прежнему не у вас, обратитесь к производителю принтера за обновленными драйверами. Эта проблема также может возникать, если драйвер печати в клиенте печати и на сервере печати используют то же имя файла, но на сервере есть более новая версия файла драйвера. Когда клиент печати подключается к серверу печати, он находит более новый файл драйвера и получает запрос на обновление драйверов в клиенте печати. Однако файл в пакете, который предлагается для установки, не включает более новую версию файла драйвера.
Сравниваемые файлы — это драйверы в папке "Spool", обычно в папке C:\Windows\System32\spool\drivers\x64\3 в клиенте печати и на печатном сервере. Пакет драйвера, предлагаемый для установки, обычно находится в C:\Windows\System32\spool\drivers\x64\PCC на сервере печати. После того как файлы в папке \3 сравниваются между устройствами, если они не совпадают, пакет в PCC устанавливается. Если файлы в папке \3 на сервере печати не имеют того же драйвера принтера, что и PCC, клиент печати сравнивает файлы и находит несоответствия при каждой печати.
Чтобы устранить эту проблему, убедитесь, что используете последние драйверы для всех ваших устройств печати. По возможности используйте ту же версию драйвера печати в клиенте печати и на сервере печати. Если обновление драйверов в вашей среде не решает проблему, обратитесь в службу поддержки изготовителя принтера (OEM).
Вопрос 2. Установлены обновления, выпущенные 14 сентября 2021 г., и некоторые Windows не могут печатать на сетевых принтерах. Требуется ли заказ на установку обновлений на почтовых клиентах и почтовых серверах?
A2. Перед установкой обновлений, выпущенных 14 сентября 2021 г. или более поздней версии, на почтовых серверах должны быть установлены обновления, выпущенные 12 января 2021 г. или более поздней версии. Windows устройства не будут печататься, если на них не установлено обновление, выпущенное 12 января 2021 г. или более поздней версии.
Примечание Вам не нужно устанавливать более ранние обновления и вы можете установить любое обновление после 12 января 2021 г. на клиентах печати. Мы рекомендуем установить последнее накопительное обновление как на клиентах, так и на серверах.
По-умолчанию рядовые пользователи системы/домена не имеют прав для установки драйверов устройств на своих компьютерах. Это подход рационален с точки зрения обеспечения безопасности и стабильности работы ПК, но неудобен с точки зрения администрирования, ведь для установки любого нового драйвера в системе пользователю необходимо прибегать к помощи администратора или службы технической поддержки, которые обладают правами администратора на ПК пользователя.
В этой статье мы покажем, как разрешить обычным пользователям домена устанавливать драйвера в системе без прав администратора. Основное преимущество предлагаемого подхода – администратор домена сам формирует список доверенных драйверов, которые пользователи могут устанавливать в системе, тем самым риск установки «вредного» драйвера минимизирован.
Чтобы разрешить рядовым пользователям домена самим устанавливать драйвера устройств (без появления окна повышения привилегий UAC), нужно чтобы рабочая среда пользователей соответствовала следующим условиям:
- Устанавливаемый драйвер должен находиться в хранилище драйверов (Driver Store)
- Устанавливаемый класс драйвера должен быть разрешен для установки обычными пользователями
- Драйвер должен быть подписан валидной цифровой подписью доверенного издателя
А теперь по порядку:
Получение каталога с драйвером устройства
Чтобы получить актуальную версию драйвера для конкретного устройства – лучше всего найти и скачать последнюю версию драйвера на сайте производителя. Скачанный архив с драйвером нужно распаковать в отдельный каталог.
НО! Не все драйвера предоставляются в формате, удобном для распространения. Допустим, некий драйвер устанавливается проприетарным инсталляционным пакетом. Каким же образом извлечь из системы каталог с файлами установленного драйвера?
После установки все файлы драйвера хранятся централизованно, в каталоге C:\Windows\System32\DriverStore\FileRepository\. Чтобы найти каталог с недавно установленным драйвером, просто отсортируйте содержимое этого каталог по дате создания/модификации. Вуаля! Осталось скопировать каталог с драйвером в сетевой каталог, который будет указан на клиентах в качестве сетевого Driver Store (об этом чуть ниже).
Централизованное хранилище драйверов
Понятие Driver Store или хранилища драйверов (подробнее о нем мы говорили в этой статье) впервые появилось в Windows Vista и представляет собой доверенную защищённую область компьютера, содержащую набор драйверов, которые разрешены для установки. Таким образом, пользователь может установить в системе только драйвер, который уже имеется в хранилище драйверов. Так при установке нового драйвера администратором, сначала он копируется и регистрируется в хранилище драйверов и только потом устанавливается в системе (файлы драйвера копируются из хранилища в системное расположение).
Путь к хранилищу драйверов Windows задается в реестре параметром DevicePath (HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion). По умолчанию хранилище драйверов находится в каталоге C:\Windows\inf (%SystemRoot%\Inf)
- Action: Update
- Hive: HKEY_LOCAL_MACHINE
- Key Path: Software\Microsoft\Windows\CurrentVersion
- Value Name: DevicePath
- Value Type: REG_SZ
- Value Data: %SystemRoot%\inf;\\fs1\share\inf
В качестве дополнительного доверенного каталога хранилища драйверов мы указали сетевую папку \\fs1\share\inf (не забудьте, что учетная запись компьютера должна обладать правами на чтение из этой папки). В качестве источника драйвером можно указать сразу несколько сетевых каталогов, например указав в качестве значения переменной: %SystemRoot%\inf;\\fs1\share\Printers;\\fs2\Drivers\USB;\\fs3\Drivers\VGA
Список классов драйверов, разрешенных для установки
Чтобы определить код класса устройства, откройте каталог с файлами драйвером устройства. Откройте его inf файл и найдите строку с параметром ClassGUID. Код класса устройства в нашем примере выглядит так: .
Чтобы разрешить данный класс устройств для самостоятельной установки пользователями, откройте действующую (или создайте новую) групповых политику и в ветке Computer Configuration -> Administrative Templates -> System -> Driver Installation найдите политику Allow installation of devices using drivers that match these device setup classes. Включите ее и в качестве значения укажите скопированный ранее код класса устройства.
Цифровая подпись драйвера
Чтобы пользователь мог самостоятельно установить драйвер, он в обязательном порядке должны быть подписан, а сертификат издателя цифровой подписи должен находится в списке доверенных. Большинство драйверов крупных вендоров подписаны цифровыми подписями Microsoft и являются доверенными.
Но в этом правиле есть исключения. Чтобы получить сертификат издателя такого драйвера, установите его в системе с правами администратора. Во время установки драйвера появится предупреждения. Установите флажок «Always trust software from …» и нажмите Install. После установки драйвера откройте оснастку управления сертификатами (certmgr.msc), найдите сертификат издателя в разделе Trusted Published-> Certificates. Щелкните ПКМ по сертификату нужного издателя и экспортируйте его в файл.
Далее этот сертификат с помощью групповой политики нужно распространить на всех компьютерах, на которых нужно разрешить установку этого драйвера пользователями. Для этого просто импортируйте сохраненный сертификат в раздел GPO Computer Configuration -> Windows Settings -> Security Settings -> Public Key Polices -> Trusted Publishers.
Совет. В том случае, если требуется установить драйвер, цифровая подпись которого отсутствует, можно попробовать самостоятельно подписать его самоподписанным сертификатом. Подробно процесс описан в этой статье.Итак, если вы все сделали правильно, пользователи вашего домена могут самостоятельно (без прав администратора) устанавливать драйвера предопределенных устройств.
Давайте узнаем, как обычному пользователю установить драйвера, если у него нет административных прав. Мы не будем рассматривать варианты взлома админской учетки. А пройдемся по более культурным методам.
Что такое драйвера?
Драйвера — это программы, работающие на уровне ядра системы. То есть, они имеют полный доступ к компьютеру, а точнее к какому-либо устройству. Естественно, права на установку таких программ нельзя доверять первому встречному. Именно поэтому, установить драйвера могут только администраторы компьютера. Но бегать каждый раз устанавливать соединение для web-камеры или телефона, тоже не дело — у администратора и своих забот хватает. Попробуем решить эту дилемму.
Методы установки драйверов пользователями без административных прав
Ниже будут озвучены несколько методов, благодаря которым пользователи без административных прав смогут установить драйвера.
Добавление драйвера в хранилище драйверов
Давайте вспомним, то что PnP-устройства устанавливаются автоматически! Это объясняется тем, что драйвера для таких устройств уже хранятся в хранилище драйверов. А это означает, что данные драйвера уже проверены и что их установка не повлечет за собой нежелательных последствий. Поэтому, при установке PnP-устройства происходит копирование файлов драйвера из хранилища в системное расположение. А на деле мы видим то, что мы подцепили нужный драйвер автоматически и устройство готово к работе. На это прав хватит у всех. То есть пользователь может установить принтер, если в хранилище драйверов будет нужный драйвер.
Данной теории должно быть достаточно, чтобы предложить вариант установки драйвера устройства обычным пользователем. Нужно добавить нужные драйвера в хранилище драйверов на компьютере! Для того чтобы разместить нужный драйвер в хранилище драйверов, необходимо в командной строке выполнить следующее:
Естественно, путь и название inf-файла будет таким, каким нужно для Вас.
Но устройство установиться от учетки простого пользователя только в случае наличия подписи у драйвера. Даже если Вы добавили не подписанный драйвер в хранилище, для его инициализации нужны будут административные права. Для решения таких проблем, можно создать сертификаты для данных драйверов. Но они будут действовать только внутри организации. Создание сертификатов — дело серверных машин, поэтому рассматривать это пока что мы не будем.
Указываем папки с дозволенными драйверами
Если открыть Редактор реестра(Выполнить и ввести regedit) и прошествовать по пути hkey_local_machine\software\microsoft\windows\current version, Вы найдете там параметр Device Path, в котором по умолчанию стоит значение %SystemRoot%\inf. Данный параметр указывает место, где происходит поиск драйвера для только что присоединенного устройства. Через точку запятую Вы можете добавить еще какие-либо пути для поиска драйвера. Ну если конечно у Вас лежат где-нибудь на компьютере драйвера, хотя более серьезным шагом было бы указание сетевой папки с драйверами. Используя данный способ Вы добавите еще несколько мест, откуда технология PnP сможет вытащить драйвера, а это значит, что обычные пользователи смогут установить драйвера для устройства.
Дать доступ для установки некоторых драйверов
И последний вариант — разрешить пользователям устанавливать драйвера для заданных классов устройств. Суть в том, чтобы разрешить пользователям устанавливать драйвера для своих телефонов, фотокамер, web-камер и для другой разной мелочной периферии. Но при этом не открывать им доступ для работы с драйверами ядра либо видеокарты, ведь неумелые действия с драйверами, например, видеокарты, могут привести к довольно неприятным ошибкам. Что же нужно для этого сделать?
Откройте Диспетчер устройств, раскройте класс нужного устройства, выберите любое устройство и откройте его Свойства. Перейдите во вкладку Сведения и выберите из списка пункт GUID класса устройства. В поле Значения появиться GUID, правый клик по GUID и Скопировать. После чего, в меню Выполнить набираем gpedit.msc и жмем ОК. Откроется Редактор локальной групповой политики. Тут последовательно выбираем: Политика «Локальный компьютер»-> Конфигурация компьютера ->Административные шаблоны -> Система-> Установка драйвера и открываем параметр Разрешить пользователям, не являющимся администраторами, устанавливать драйверы для этих классов установки устройств. Первым делом активируем эту функцию: переключаем на Включить. Потом, ниже находим кнопку Показать и в поле Значение вставляем скопированный нами GUID-код. И таким же образом разрешаем установку всех классов устройств, которые посчитаете необходимыми. Чтобы все изменения были внесены в систему, необходимо перезагрузить компьютер, либо обновить политику компьютера. После этого пользователи без административных прав смогут устанавливать драйвера не выбранных классов оборудования.
Последний, третий вариант установки самый эффективный. Обычно, такие разрешения будут выдаваться для настройки телефонов, фотоаппаратов и прочей мелкой ерунды, которые в основном автоматически схватывают нужные драйвера. И тут главное не мешать этому. И при этом закрыть доступ к установке более важных драйверов.
Вот таким вот образом можно наделить юзеров правами, а с себя скинуть лишнюю работу.
Для установки некоторого программного обеспечения требуется наличие прав администратора. Кроме этого и сам администратор может ставить ограничение на установку различного софта. В случае когда требуется выполнить инсталляцию, а разрешения на нее нет, предлагаем воспользоваться несколькими простыми методами, описанными ниже.
Устанавливаем программу без прав администратора
В сети интернет присутствует множество различного ПО, позволяющего обходить защиту и выполнять инсталляцию программы под видом обычного пользователя. Мы не рекомендуем их использовать особенно на рабочих компьютерах, так как это может нести за собой серьезные последствия. Мы же представим безопасные способы установки. Давайте рассмотрим их подробнее.
Способ 1: Выдача прав на папку с программой
Чаще всего права администратора софту требуются в том случае, когда будут проводиться действия с файлами в своей папке, например, на системном разделе жесткого диска. Владелец может предоставить полные права другим юзерам на определенные папки, что позволит выполнять дальнейшую установку под логином обычного пользователя. Делается это следующим образом:
- Войдите в систему через учетную запись администратора. Подробнее о том, как это сделать в Виндовс 7 читайте в нашей статье по ссылке ниже.
Теперь во время установки программы вам потребуется указать папку, к которой предоставили полный доступ, и весь процесс должен пройти успешно.
Способ 2: Запуск программы с учетной записи обычного пользователя
В тех случаях когда нет возможности попросить администратора предоставить права доступа, рекомендуем воспользоваться встроенным в Windows решением. С помощью утилиты через командную строку осуществляются все действия. От вас требуется только следовать инструкции:
-
Откройте «Выполнить» нажатием горячей клавиши Win + R. Введите в строку поиска cmd и нажмите «ОК»
runas /user:User_Name\administrator Program_Name.exe
Способ 3: Использование портативной версии программы
Некоторое ПО имеет портативную версию, не требующую установки. Вам будет достаточно скачать ее с официального сайта разработчика и запустить. Выполнить это можно очень просто:
- Перейдите на официальный сайт необходимой программы и откройте страницу загрузки.
- Начните загрузку файла с подписью «Portable».
Вы можете перекинуть файл софта на любое съемное устройство хранения информации и запускать его на разных компьютерах без прав администратора.
Сегодня мы рассмотрели несколько простых способов как установить и использовать различные программы без прав администратора. Все они не сложные, но требуют выполнения определенных действий. Мы же рекомендуем для установки софта просто войти в систему с учетной записи администратора, если это доступно. Подробнее об этом читайте в нашей статье по ссылке ниже.
Отблагодарите автора, поделитесь статьей в социальных сетях.
Читайте также: