CUPS 印刷サーバーの設定および使用

手順

1. cups パッケージをインストールします。

   # dnf install cups

2. CUPS をプリントサーバーとして設定する場合は、/etc/cups/cupsd.conf ファイルを編集し、次の変更を加えます。

   1. CUPS をリモートで設定する場合、またはこのホストをプリントサーバーとして使用する場合は、CUPS がリッスンする IP アドレスとポートを設定します。

      Listen 192.0.2.1:631
      Listen [2001:db8:1::1]:631

      デフォルトでは、CUPS は localhost インターフェイス (127.0.0.1 および ::1) でのみリッスンします。IPv6 アドレスは角括弧で囲んで指定します。

      重要

      信頼できないネットワーク (インターネットなど) からのアクセスを許可するインターフェイスをリッスンするように CUPS を設定しないでください。

   2. <Location/> ディレクティブで IP 範囲を許可することで、サービスにアクセスできる IP 範囲を設定します。

      <Location />
        Allow from 192.0.2.0/24
        Allow from [2001:db8:1::1]/32
        Order allow,deny
      </Location>

   3. <Location /admin> ディレクティブで、CUPS 管理サービスにアクセスできる IP アドレスと範囲を設定します。

      <Location /admin>
        Allow from 192.0.2.15/32
        Allow from [2001:db8:1::22]/128
        Order allow,deny
      </Location>

      この設定では、IP アドレス 192.0.2.15 および 2001:db8:1::22 を持つホストのみが管理サービスにアクセスできます。

   4. オプション: Web インターフェイスで設定ファイルとログファイルへのアクセスを許可する IP アドレスと範囲を設定します。

      <Location /admin/conf>
        Allow from 192.0.2.15/32
        Allow from [2001:db8:1::22]/128
        ...
      </Location>
      
      <Location /admin/log>
        Allow from 192.0.2.15/32
        Allow from [2001:db8:1::22]/128
        ...
      </Location>

3. firewalld サービスを実行し、CUPS へのリモートアクセスを設定する場合は、firewalld で CUPS ポートを開きます。

   # firewall-cmd --permanent --add-port=631/tcp
   # firewall-cmd --reload

   複数のインターフェイスを持つホストで CUPS を実行する場合は、必要なネットワークにアクセスを制限することを検討してください。

4. cups サービスを有効にして起動します。

   # systemctl enable --now cups

手順

1. /etc/cups/cups-files.conf ファイルを編集し、次の設定を追加して自己署名証明書の自動作成を無効にします。

   CreateSelfSignedCerts no

2. 自己署名証明書と秘密鍵を削除します。

   # rm /etc/cups/ssl/<hostname>.crt /etc/cups/ssl/<hostname>.key

3. オプション: サーバーの FQDN を表示します。

   # hostname -f

   server.example.com

4. 秘密鍵とサーバー証明書を /etc/cups/ssl/ ディレクトリーに保存します。次に例を示します。

   # mv /root/server.key /etc/cups/ssl/server.example.com.key
   # mv /root/server.crt /etc/cups/ssl/server.example.com.crt

   重要

   CUPS では、秘密鍵に <fqdn>.key、サーバー証明書ファイルに <fqdn>.crt という名前を付ける必要があります。エイリアスを使用する場合は、ファイルに <alias>.key および <alias>.crt という名前を付ける必要があります。

5. root ユーザーのみがこのファイルを読み取ることができるように、秘密鍵にセキュアなパーミッションを設定します。

   # chown root:root /etc/cups/ssl/server.example.com.key
   # chmod 600 /etc/cups/ssl/server.example.com.key

   証明書は、セキュアな接続を確立する前のクライアントとサーバー間の通信の要素であるため、どのクライアントも認証なしで証明書を取得できます。したがって、サーバー証明書ファイルに厳密なパーミッションを設定する必要はありません。

6. SELinux コンテキストを復元します。

   # restorecon -Rv /etc/cups/ssl/

7. オプション: 証明書の CN フィールドと SAN フィールドを表示します。

   # openssl x509 -text -in /etc/cups/ssl/server.example.com.crt

   Certificate:
     Data:
       ...
       Subject: CN = server.example.com
       ...
       X509v3 extensions:
         ...
         X509v3 Subject Alternative Name:
           DNS:server.example.com
     ...

8. サーバー証明書の CN または SAN フィールドにサーバーの FQDN とは異なるエイリアスが含まれている場合は、ServerAlias パラメーターを /etc/cups/cupsd.conf ファイルに追加します。

   ServerAlias alternative_name.example.com

   この場合、以降の手順で FQDN の代わりに代替名を使用します。

9. デフォルトでは、CUPS は、Web インターフェイスの /admin ページで管理タスクを実行する場合など、タスクで認証が必要な場合にのみ暗号化接続を強制します。

   CUPS サーバー全体の暗号化を強制するには、/etc/cups/cupsd.conf ファイル内のすべての <Location> ディレクティブに Encryption Required を追加します。次に例を示します。

   <Location />
     ...
     Encryption Required
   </Location>

10. CUPS を再起動します。

    # systemctl restart cups

検証

1. ブラウザーを使用して、https://<hostname>:631/admin/ にアクセスします。アクセスするには、ブラウザーが CA 証明書を信頼している必要があります。接続が成功すれば、CUPS で TLS 暗号化が正しく設定されています。
2. サーバー全体の暗号化を必須とするように設定した場合は、http://<hostname>:631/ にアクセスします。この場合、CUPS は Upgrade Required というエラーを返します。

手順

1. CUPS 管理者用のグループを作成します。

   # groupadd cups-admins

2. Web インターフェイスでサービスを管理する必要があるユーザーを、cups-admins グループに追加します。

   # usermod -a -G cups-admins <username>

3. /etc/cups/cups-files.conf ファイルの SystemGroup パラメーターの値を更新し、cups-admin グループを追加します。

   SystemGroup sys root wheel cups-admins

   cups-admin グループのみに管理アクセス権を与える必要がある場合は、パラメーターから他のグループ名を削除します。

4. CUPS を再起動します。

   # systemctl restart cups

検証

1. ブラウザーを使用して、https://<hostname_or_ip_address>:631/admin/ にアクセスします。

   注記

   ユーザーは HTTPS プロトコルを使用する場合のみ、Web UI の管理領域にアクセスできます。

2. 管理タスクの実行を開始します。たとえば、Add printer をクリックします。

3. Web インターフェイスで、ユーザー名とパスワードの入力を求められます。続行するには、cups-admins グループのメンバーであるユーザーの認証情報を使用して認証します。

   認証が成功すると、このユーザーは管理タスクを実行できます。

手順

1. ブラウザーを使用して、https://<hostname>:631/admin/ にアクセスします。

   Web インターフェイスには HTTPS プロトコルを使用して接続する必要があります。使用しないと、セキュリティー上の理由から、CUPS が後のステップで認証できなくなります。

2. Add printer をクリックします。
3. ユーザーがまだ認証されていない場合、CUPS は管理ユーザーの認証情報の入力を求めます。許可されたユーザーのユーザー名とパスワードを入力します。
4. ドライバーレス印刷を使用せず、追加するプリンターが自動的に検出された場合は、それを選択し、Continue をクリックします。

5. プリンターが検出されなかった場合は、以下を実行します。

   1. プリンターがサポートするプロトコルを選択します。

      

      プリンターがドライバーレス印刷をサポートしており、この機能を使用する場合は、ipp または ipps プロトコルを選択します。

   2. Continue をクリックします。

   3. プリンターまたはリモートプリントサーバー上のキューへの URL を入力します。

      
   4. Continue をクリックします。

6. 名前を入力し、必要に応じて説明と場所を入力します。CUPS をプリントサーバーとして使用し、他のクライアントが CUPS を介してこのプリンターで印刷できるようにする場合は、Share this printer も選択します。

   
7. Make リストからプリンターの製造元を選択します。プリンターの製造元がリストにない場合は、Generic を選択するか、プリンターの PPD ファイルをアップロードします。
8. Continue をクリックします。

9. プリンターのモデルを選択します。

   • プリンターがドライバーレス印刷をサポートしている場合は、IPP Everywhere を選択します。なお、以前にプリンター固有のドライバーをローカルにインストールしていた場合は、リストに <printer_name> - IPP Everywhere などのエントリーも含まれている可能性があります。
   • プリンターがドライバーレス印刷をサポートしていない場合は、モデルを選択するか、プリンターの PPD ファイルをアップロードします。
   
10. Add Printer をクリックします。

11. Set printer options ページの設定とタブは、ドライバーとプリンターがサポートする機能によって異なります。このページを使用して、用紙サイズなどのデフォルトのオプションを設定します。

    
12. Set default options をクリックします。

検証

1. Web インターフェイスで Printers タブを開きます。
2. プリンターの名前をクリックします。
3. Maintenance リストで、Print test page を選択します。

検証

1. 使用可能なプリンターを表示します。

   # lpstat -p

   printer Demo-printer is idle. enabled since Fri 23 Jun 2023 09:36:40 AM CEST

2. テストページを印刷します。

   # lp -d Demo-printer /usr/share/cups/data/default-testpage.pdf

手順

1. ブラウザーを使用して、https://<hostname>:631/printers/ にアクセスします。

   Web インターフェイスには HTTPS プロトコルを使用して接続する必要があります。使用しないと、セキュリティー上の理由から、CUPS が後のステップで認証できなくなります。

2. 設定するプリンターの名前をクリックします。
3. メンテナンスタスクを実行するか管理タスクを実行するかに応じて、リストから必要なアクションを選択します。
4. ユーザーがまだ認証されていない場合、CUPS は管理ユーザーの認証情報の入力を求めます。許可されたユーザーのユーザー名とパスワードを入力します。
5. タスクを実行します。

手順

1. samba-krb5-printing、samba-client、および krb5-workstation パッケージをインストールします。

   # dnf install samba-krb5-printing samba-client krb5-workstation

2. 必要に応じて、ドメイン管理者として認証を行い、Windows プリントサーバーで共有されるプリンターの一覧を表示します。

   # smbclient -L <windows_print_server> -U administrator@<AD_KERBEROS_REALM> --use-kerberos=required

   	Sharename       Type      Comment
   	---------       ----      -------
   	Example         Printer   Example

3. 必要に応じて、CUPS モデルのリストを表示して、プリンターの PPD 名を指定します。

   lpinfo -m

   samsung.ppd Samsung M267x 287x Series PXL

   次のステップでプリンターを追加する場合は、PPD ファイルの名前が必要です。

4. CUPS にプリンターを追加します。

   # lpadmin -p "<printer_name>" -v smb://<windows_print_server>/<printer_share_name> -m samsung.ppd -o auth-info-required=negotiate -E

   このコマンドでは次のオプションを使用します。

   • -p <printer_name> は、CUPS にプリンターの名前を設定します。
   • -v <URI_to_Windows_printer> は、Windows プリンターに URI を設定します。smb://<host_name>/<printer_share_name> の形式を使用します。
   • -m <PPD_file> は、プリンターが使用する PPD ファイルを設定します。
   • -o auth-info-required=negotiate は、印刷ジョブをリモートサーバーに転送する際に CUPS が Kerberos 認証を使用するように設定します。
   • -E はプリンターを有効にします。CUPS はそのプリンターのジョブを受け付けます。

検証

1. AD ドメインユーザーとして RHEL ホストにログインします。

2. AD ドメインユーザーとして認証します。

   # kinit <domain_user_name>@<AD_KERBEROS_REALM>

3. ローカルの CUPS プリントサーバーに追加したプリンターにファイルを出力します。

   # lp -d <printer_name> <file>

手順

1. /etc/cups/cups-browsed.conf ファイルを編集し、次の変更を加えます。

   1. ポーリングするリモート CUPS サーバーごとに BrowsePoll パラメーターを追加します。

      BrowsePoll remote_cups_server.example.com
      BrowsePoll 192.0.2.100:1631

      リモート CUPS サーバーが 631 とは異なるポートでリッスンする場合は、ホスト名または IP アドレスに :_<port>_ を追加します。

   2. オプション: フィルターを設定して、ローカル CUPS サービスに表示されるプリンターを制限します。たとえば、名前に sales_ が含まれるキューをフィルタリングするには、次のパラメーターを追加します。

      BrowseFilter name sales_

      さまざまなフィールド名でフィルタリングしたり、フィルターを無効にしたり、正確な値を照合したりできます。詳細は、システムの cups-browsed.conf(5) man ページのパラメーターの説明と例を参照してください。

   3. オプション: ポーリング間隔とタイムアウトを変更して、参照サイクルの数を制限します。

      BrowseInterval 1200
      BrowseTimeout 6000

      プリンターが参照リストから消えるのを避けるために、BrowseInterval と BrowseTimeout の両方を同じ比率で増やしてください。つまり、BrowseInterval の値を 5 以上の整数で乗算し、その計算結果の値を BrowseTimeout に使用します。

      デフォルトでは、cups-browsed は 60 秒ごとにリモートサーバーをポーリングし、タイムアウトは 300 秒です。ただし、キューの数が多いプリントサーバーでこれらのデフォルト値を使用すると、大量のリソースが消費される可能性があります。

2. cups-browsed サービスを有効にして起動します。

   # systemctl enable --now cups-browsed

手順

1. /etc/cups/cups-files.conf ファイルを編集し、AccessLog、ErrorLog、および PageLog パラメーターを、これらのログファイルを保存するパスに設定します。

   AccessLog /var/log/cups/access_log
   ErrorLog /var/log/cups/error_log
   PageLog /var/log/cups/page_log

2. /var/log/cups/ 以外のディレクトリーにログを保存するように CUPS を設定する場合は、このディレクトリーに cupsd_log_t SELinux コンテキストを設定します。たとえば、次のように設定します。

   # semanage fcontext -a -t cupsd_log_t "/var/log/printing(/.*)?"
   # restorecon -Rv /var/log/printing/

3. cups サービスを再起動します。

   # systemctl restart cups

検証

1. ログファイルを表示します。

   # cat /var/log/cups/access_log
   # cat /var/log/cups/error_log
   # cat /var/log/cups/page_log

2. /var/log/cups/ 以外のディレクトリーにログを保存するように CUPS を設定した場合は、ログディレクトリーの SELinux コンテキストが cupsd_log_t であることを確認します。

   # ls -ldZ /var/log/printing/

   drwxr-xr-x. 2 lp sys unconfined_u:object_r:cupsd_log_t:s0 6 Jun 20 15:55 /var/log/printing/

手順

1. 2 台以上のサーバーに CUPS をセットアップします。

   1. CUPS をインストールして設定します。
   2. TLS 暗号化を有効にします。

   3. lpadmin ユーティリティー または Web インターフェイス を使用して、すべての CUPS インスタンスに印刷キューを追加します。Web インターフェイスを使用する場合は、プリンターを追加するときに Share this printer オプションを選択してください。lpadmin ユーティリティーでは、この設定がデフォルトで有効になります。

      重要

      高可用性シナリオでは、1 台のプリントサーバー上の各キューには、他のサーバー上に完全に同じ名前のキューが必要です。lpstat -e コマンドを使用すると、各サーバーのキュー名を表示できます。

      オプション: 各サーバーのキューを、異なるプリンターを参照するように設定できます。

2. 印刷クライアントの場合は以下を行います。

   1. /etc/cups/cups-browsed.conf ファイルを編集し、各 CUPS 印刷サーバーの BrowsePoll ディレクティブを追加します。

      BrowsePoll print_server_1.example.com:631
      BrowsePoll print_server_2.example.com:631

   2. cups サービスと cups-browsed サービスの両方を有効にして起動します。

      # systemctl enable --now cups cups-browsed

手順

1. ブラウザーを使用して、http://<hostname_or_ip_address>:631/help/ にアクセスします。
2. Online Help Documents のエントリーを展開し、参照するドキュメントを選択します。