3.16. 在 Samba 打印服务器中为 Windows 客户端设置自动打印机驱动程序下载

流程

1. 例如，要对 printadmin 组赋予 SePrintOperatorPrivilege 特权：

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

   注意

   在域环境中，将 SePrintOperatorPrivilege 赋予域组。这可让您通过更新用户的组成员资格来集中管理特权。

2. 列出所有被赋予了 SePrintOperatorPrivilege 的用户和组：

   # net rpc rights list privileges SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter administrator's password:
   SePrintOperatorPrivilege:
     BUILTIN\Administrators
     DOMAIN\printadmin

流程

1. 在 /etc/samba/smb.conf 文件中添加 [print$] 部分：

   [print$]
           path = /var/lib/samba/drivers/
           read only = no
           write list = @printadmin
           force group = @printadmin
           create mask = 0664
           directory mask = 2775

   使用这些设置：

   • 只有 printadmin 组成员才能将打印机驱动程序上传到共享。
   • 新创建的文件和目录的组将被设为 printadmin。
   • 新文件的权限将被设置为 664。
   • 新目录的权限将被设置为 2775。

2. 要只为所有打印机上传 64 位驱动程序，请在 /etc/samba/smb.conf 文件的 [global] 部分包含此设置：

   spoolss: architecture = Windows x64

   如果没有这个设置，Windows 只显示您上传的至少 32 位版本的驱动程序。

3. 验证/etc/samba/smb.conf文件：

   # testparm

4. 重新载入 Samba 配置

   # smbcontrol all reload-config

5. 如果 printadmin 组不存在，就创建它：

   # groupadd printadmin

6. 将 SePrintOperatorPrivilege 特权赋予 printadmin 组。

   # net rpc rights grant "printadmin" SePrintOperatorPrivilege -U "DOMAIN\administrator"
   Enter DOMAIN\administrator's password:
   Successfully granted rights.

7. 如果您在enforcing模式下运行 SELinux，请在目录中设置samba_share_t上下文：

   # semanage fcontext -a -t samba_share_t "/var/lib/samba/drivers(/.*)?"
   
   # restorecon -Rv /var/lib/samba/drivers/

8. 对 /var/lib/samba/drivers/ 目录设置权限：

   • 如果使用 POSIX ACL，请设置：

     # chgrp -R "printadmin" /var/lib/samba/drivers/
     # chmod -R 2775 /var/lib/samba/drivers/

   • 如果使用 Windows ACL，请设置：

     主体	权限	适用于
     创建者所有者	全控制	只适用于子文件夹和文件
     通过身份验证的用户	读和执行、列出目录内容、读	这个文件夹、子文件夹和文件
     printadmin	全控制	这个文件夹、子文件夹和文件

     有关在 Windows 上设置 ACL 的详情，请查看 Windows 文档。

流程

1. 使用允许编辑组策略的帐户（如 AD 域 Administrator 用户）登录到 Windows 计算机。
2. 打开 组策略管理控制台。

3. 右键单击 AD 域并选择 创建此域中的 GPO，并链接到此处。

   
4. 为 GPO 输入一个名称，如 Legacy Printer Driver Policy ，并点击 OK。新的 GPO 将在域条目下显示。
5. 右键单击新创建的 GPO，然后选择 编辑 以打开 组策略管理编辑器。

6. 进入 Computer Configuration Policies Administrative Templates Printers。

   

7. 在窗口的右侧，双击 指向和打印限制 来编辑策略：

   1. 启用策略并设置以下选项：

      1. 选择 用户只能指向并打印到这些服务器，再将 Samba 打印服务器的完全限定域名(FQDN)输入到此选项旁边的字段。

      2. 在 安全提示 下的两个复选框中，选择 不显示警告 或 高程提示。

         
   2. 点击确定。

8. 双击 包指向和打印 - 已批准的服务器 来编辑策略：

   1. 启用策略并单击 显示 按钮。

   2. 输入 Samba 打印服务器的 FQDN。

      
   3. 单击 OK，关闭 显示内容 和策略的属性窗口。
9. 关闭 组策略管理编辑器。
10. 关闭 组策略管理控制台。