1.16. Configuration du téléchargement automatique des pilotes d'imprimante pour les clients Windows sur les serveurs d'impression Samba

Procédure

1. Par exemple, pour accorder le privilège SePrintOperatorPrivilege au groupe printadmin:

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   Note

   Dans un environnement de domaine, accordez SePrintOperatorPrivilege à un groupe de domaine. Cela vous permet de gérer le privilège de manière centralisée en mettant à jour l'appartenance d'un utilisateur à un groupe.

2. Pour dresser la liste de tous les utilisateurs et groupes auxquels SePrintOperatorPrivilege a été accordé :

   # net rpc rights list privileges SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SePrintOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\printadmin

Procédure

1. Ajouter la section [print$] au fichier /etc/samba/smb.conf:

   [print$]
           path = /var/lib/samba/drivers/
           read only = no
           write list = @printadmin
           force group = @printadmin
           create mask = 0664
           directory mask = 2775

   En utilisant ces paramètres :

   • Seuls les membres du groupe printadmin peuvent télécharger des pilotes d'imprimante sur le partage.
   • Le groupe de fichiers et de répertoires nouvellement créés sera défini sur printadmin.
   • Les permissions des nouveaux fichiers seront fixées à 664.
   • Les permissions des nouveaux répertoires seront fixées à 2775.

2. Pour télécharger uniquement des pilotes 64 bits pour toutes les imprimantes, incluez ce paramètre dans la section [global] du fichier /etc/samba/smb.conf:

   spoolss : architecture = Windows x64

   Sans ce paramètre, Windows n'affiche que les pilotes pour lesquels vous avez téléchargé au moins la version 32 bits.

3. Vérifiez le fichier /etc/samba/smb.conf:

   # testparm

4. Recharger la configuration de Samba

   # smbcontrol all reload-config

5. Créer le groupe printadmin s'il n'existe pas :

   # groupadd printadmin

6. Accorder le privilège SePrintOperatorPrivilege au groupe printadmin.

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

7. Si vous utilisez SELinux en mode enforcing, définissez le contexte samba_share_t pour le répertoire :

   # semanage fcontext -a -t samba_share_t "/var/lib/samba/drivers(/.)?" # *restorecon -Rv /var/lib/samba/drivers/

8. Définissez les droits d'accès au répertoire /var/lib/samba/drivers/:

   • Si vous utilisez des ACL POSIX, définissez :

     # chgrp -R "printadmin" /var/lib/samba/drivers/
     # chmod -R 2775 /var/lib/samba/drivers/

   • Si vous utilisez les ACL de Windows, définissez :

     Principal	Accès	Postuler
     CREATOR OWNER	Contrôle total	Sous-dossiers et fichiers uniquement
     Authenticated Users	Lire & exécuter, Lister le contenu du dossier, Lire	Ce dossier, ces sous-dossiers et ces fichiers
     printadmin	Contrôle total	Ce dossier, ces sous-dossiers et ces fichiers

     Pour plus de détails sur la définition des ACL sous Windows, voir la documentation Windows.

Procédure

1. Connectez-vous à un ordinateur Windows à l'aide d'un compte autorisé à modifier les stratégies de groupe, tel que l'utilisateur du domaine AD Administrator.
2. Ouvrez le site Group Policy Management Console.

3. Cliquez avec le bouton droit de la souris sur votre domaine AD et sélectionnez Create a GPO in this domain, and Link it here.

   
4. Entrez un nom pour le GPO, par exemple Legacy Printer Driver Policy et cliquez sur OK. La nouvelle GPO sera affichée sous l'entrée du domaine.
5. Cliquez avec le bouton droit de la souris sur la GPO nouvellement créée et sélectionnez Edit pour ouvrir la fenêtre Group Policy Management Editor.

6. Naviguer vers Configuration de l'ordinateur Politiques Modèles administratifs Imprimantes.

   

7. Dans la partie droite de la fenêtre, double-cliquez sur Point and Print Restriction pour modifier la politique :

   1. Activez la politique et définissez les options suivantes :

      1. Sélectionnez Users can only point and print to these servers et entrez le nom de domaine complet (FQDN) du serveur d'impression Samba dans le champ situé à côté de cette option.

      2. Dans les deux cases à cocher sous Security Prompts, sélectionnez Do not show warning or elevation prompt.

         
   2. Click OK.

8. Double-cliquez sur Package Point and Print - Approved servers pour modifier la politique :

   1. Activez la politique et cliquez sur le bouton Show.

   2. Entrez le FQDN du serveur d'impression Samba.

      
   3. Fermez la fenêtre Show Contents et la fenêtre des propriétés de la politique en cliquant sur OK.
9. Fermer le site Group Policy Management Editor.
10. Fermer le site Group Policy Management Console.