Printer security

[hikedaya]

Казалось бы, ситуация с принтерами уже давно отлажена. Ну иногда переезжают они, но какого-то прям ада в этом уже нет. Скрипты работают на полную мощность, снимая изрядную часть нагрузки с сотрудников по отслеживанию и актуализации данных на инфраструктурных серверах. Но идилия не вечна.

Повадились сотрудники печатать на чужих принтерах. Как именно - я не понимаю, учитывая, что сами они принтеры не подключают (я даже не в курсе, знают ли они, как это вообще делается), все выполняется автоматом через политики. И высокому начальству это стало не по нраву.

В общем, спустили задачу. Из всех принтеров в настройках безопасности нужно убрать запись Everyone - Allow Print, а вместо нее подставить группу, в которую входят сотрудники, имеющие право на этом принтере печатать. Группы эти уже давно есть, хоть что-то не придется в авральном порядке создавать.

То есть имеем ситуацию: есть принтер prn-hp1235. В недрах AD есть группа с таким же именем, в ней сидит кучка пользователей, которым этот принтер через политики и подключается. Порядок действий:
- Открыть настройки безопасности принтера,
- вынести оттуда запись с группой Everyone,
- добавить группу prn-hp1235, отметив галкой разрешение Allow Print и только его,
- закрыть настройки принтера.

И так, порядка 600 штук. Весело, правда? Вот и я думаю, что весело. Начнем ковыряться.

В свойствах принтера есть такой параметр как PermissionSDDL. Собственно, это и есть запись того, кто и что может делать с объектом, просто записано это в формате SDDL - не самая удобная вещь для понимания. Выглядит она вот так:

G:SYD:(A;;LCSWSDRCWDWO;;;S-1-5-21-1744112008-4183948088-2644058884-500)(A;OIIO;RPWPSDRCWDWO;;;S-1-5-21-1744112008-4183948088-2644058884-500)(
A;OIIO;GA;;;CO)(A;OIIO;GA;;;AC)(A;;SWRC;;;WD)(A;CIIO;GX;;;WD)(A;;SWRC;;;AC)(A;CIIO;GX;;;AC)(A;;LCSWDTSDRCWDWO;;;BA)(A;OICIIO;GA;;;BA)

Да-да, именно так. И вот эту строку (а это именно одна строка) надо как-то распарсить, изменить, измененное утрамбовать обратно в такую же строку и поменять свойства принтера.

Отправной точкой в исследованиях стала вот эта статья, за которую автору огромное спасибо. Для разбора SDDL-строки она использует объект класса Security.AccessControl.CommonSecurityDescriptor - туда заносится SDDL, там формируется нормальный список объектов и их прав, там же меняется состав этих объектов, а затем при промощи метода GetSDDLForm() формируется новая строка SDDL, которая и заносится в свойства принтера.

В теории все просто. На практике... На практике получаем, что на выходе в разрешениях принтера теряются сущности CREATOR OWNER и APPLICATION PACKAGES. И если с пакетами еще куда ни шло, то потеря CREATOR OWNER может привести к невозможности печати (в сети есть упоминания таких случаев). Что же делать? Искать, на каком этапе теряется информация об этих объектах. Выяснилось, что исчезают они как раз в момент парсинга SDDL в объект CommonSecurityDescriptor. Не умеет он, видимо, с ними работать (хотя почему?).

Пришлось искать замену. И она нашлась в лице System.Security.AccessControl.RawSecurityDescriptor. Конечно, работать с Raw немного муторнее, чем с Common (формирование записи с группой сотрудников с нуля доставило), но результат получился тот, что и заказывали.

Итак, исходная информация:
- имя принт-сервера: ps1
- маска имен принтеров: либо prn*, либо mfd* (multifunctional device)
- SID группы Everyone: S-1-1-0 (константа, не меняется нигде и никогда)

Поехали

$PrintServer = "ps1"

$Printers = Get-printer -ComputerName $PrintServer | where {$_.name -like "prn*" -or $_.name -like "mfd*"}

foreach ($Printer in $Printers) {
    $SDDL = get-printer -ComputerName $PrintServer -name $Printer.Name -Full | select -ExpandProperty PermissionSDDL
    $SD   = New-object -TypeName System.Security.AccessControl.RawSecurityDescriptor($SDDL)

    #remove Everyone group from ACL
    $ACEs = $sd.DiscretionaryAcl | where {$_.SecurityIdentifier -eq "S-1-1-0"}

    foreach ($ACE in $ACEs) {
        $SD.DiscretionaryAcl.RemoveAce([array]::Indexof($SD.DiscretionaryAcl,$ACE))
    }

    #add printer group to ACl
    $groupName = $Printer.Name
    $group = $Null
    $group = Get-ADGroup -filter {SAMAccountName -eq $groupName}

    if ($Group) {
        $NewACE = New-Object -TypeName System.Security.AccessControl.CommonAce(
            [System.Security.AccessControl.AceFlags]::None,
            [System.Security.AccessControl.AceQualifier]::AccessAllowed,
            131080,
            $Group.sid,
            $false,
            [byte]::0
        )

        $sd.DiscretionaryAcl.InsertAce($sd.DiscretionaryAcl.count,$NewACE)

        set-printer -ComputerName $PrintServer -Name $Printer.Name -PermissionSDDL $sd.getsddlform("All") -Verbose
    }
    else {
        Write-Warning "Can't find group $GroupName, will skip printer $($Printer.Name)"
    }
}

Пожалуй, за всю мою практику еще не приходилось настолько плотно работать с DACL. Хорошо, что хотя бы SACL тут не участвовал