Comment activer la protection de redirection du spouleur d'impression à l'aide de Microsoft Intune

Commencez par vous connecter au centre d'administration Microsoft Intune et naviguez vers la section des profils de configuration où vous créerez une nouvelle stratégie.

Ouvrez votre navigateur web et accédez à https://endpoint.microsoft.com. Connectez-vous avec vos identifiants d'administrateur disposant des autorisations Intune.

Une fois connecté, suivez ce chemin de navigation :

1. Cliquez sur Appareils dans le volet de navigation de gauche
2. Sélectionnez Profils de configuration
3. Cliquez sur le bouton Créer un profil

Dans l'assistant de création de profil, configurez les paramètres de base :

• Plateforme : Sélectionnez "Windows 10 et versions ultérieures"
• Type de profil : Choisissez "Catalogue de paramètres"
• Cliquez sur Créer

Vérification : Vous devriez maintenant voir l'assistant "Créer un profil" avec "Catalogue de paramètres" sélectionné et prêt pour l'étape de configuration suivante.

Configurez le nom du profil, la description et les métadonnées de base qui vous aideront à identifier et gérer cette politique dans votre environnement Intune.

Dans l'onglet Basique de l'assistant de création de profil, entrez les informations suivantes :

Nom : CIS 4.7.2 - Garde de Redirection du Spouleur d'Impression
Description : Activer la Garde de Redirection du Spouleur d'Impression (CIS Niveau 1 Benchmark 4.7.2) - Empêche les attaques de redirection de fichiers dans le processus de spouleur et réduit la surface d'attaque

Cette convention de nommage suit les normes de benchmark CIS et identifie clairement le contrôle de sécurité mis en œuvre. La description fournit un contexte pour d'autres administrateurs qui pourraient examiner cette politique plus tard.

Cliquez sur Suivant pour passer à la section des paramètres de configuration.

Vérification : Confirmez que le nom et la description de votre profil sont correctement enregistrés avant de passer à l'étape suivante. Le profil devrait apparaître dans vos brouillons avec le nom spécifié.

Vous allez maintenant ajouter le paramètre spécifique de garde de redirection du spouleur d'impression à partir du catalogue complet des paramètres de Microsoft.

Dans l'onglet Paramètres de configuration, cliquez sur le bouton Ajouter des paramètres. Cela ouvre le sélecteur de paramètres où vous pouvez rechercher des politiques spécifiques.

Dans la boîte de recherche, tapez Redirection Guard et appuyez sur Entrée. Vous devriez voir apparaître le paramètre suivant :

Catégorie : Imprimantes
Nom du paramètre : Configurer la garde de redirection : Options de garde de redirection
Chemin : ./Device/Vendor/MSFT/Policy/Config/Printers/ConfigureRedirectionGuardRedirectionGuardOptions

Sélectionnez ce paramètre en cochant la case à côté, puis cliquez sur Ajouter. Le paramètre apparaîtra maintenant dans votre liste de configuration.

Configurez la valeur du paramètre :

• Configurer la garde de redirection : Options de garde de redirection : Réglez sur Activé : Garde de redirection activée
• Cela correspond à la valeur entière 1 dans le registre sous-jacent

Vérification : Confirmez que le paramètre apparaît dans votre liste de configuration avec la valeur correcte sélectionnée. Le chemin de la politique devrait afficher le chemin complet du CSP comme indiqué ci-dessus.

Define which devices and users will receive this Print Spooler Redirection Guard policy through strategic group assignments.

Click Next to reach the Assignments tab. Here you'll specify which devices should receive this security policy.

For enterprise-wide deployment, configure assignments as follows:

1. Click Add group under "Included groups"
2. Select All devices or create a specific device group like "Windows 11 Enterprise Devices"
3. Choose Assignment type: Required (this ensures the policy is enforced)

For phased deployment approach:

Phase 1: Pilot Group (10-50 devices)
Phase 2: Department Groups (IT, Security teams)
Phase 3: All Enterprise Devices

If you need to exclude specific devices (like print servers or legacy systems), use the "Excluded groups" section:

1. Click Add group under "Excluded groups"
2. Select groups containing devices that should not receive this policy

Configure applicability rules to ensure the policy only applies to compatible Windows versions that support Print Spooler Redirection Guard.

Click Next to access the Applicability Rules tab. This step is crucial because the Redirection Guard feature requires specific Windows versions.

Create a new applicability rule:

1. Click Add rule
2. Configure the rule parameters:

Rule: Device
Property: OS version
Operator: Greater than or equal to
Value: 10.0.22621 (Windows 11 22H2)

For organizations with mixed Windows 10/11 environments, add an additional rule:

Rule: Device
Property: OS version
Operator: Greater than or equal to
Value: 10.0.19044 (Windows 10 22H2)

Use OR logic between these rules to support both operating systems.

The rule ensures that only devices running Windows 11 22H2+ or Windows 10 22H2+ will receive this policy, preventing errors on older systems that don't support the CSP.

Complete the policy creation process by reviewing all settings and deploying the Print Spooler Redirection Guard configuration to your target devices.

Click Next to reach the Review + create tab. This final step allows you to verify all configuration details before deployment.

Review the following key elements:

• Profile name: CIS 4.7.2 - Print Spooler Redirection Guard
• Settings: Configure Redirection Guard = Enabled
• Assignments: Verify correct device groups
• Applicability: Windows version rules are properly set

Once you've confirmed all settings are correct, click Create to deploy the policy.

The policy will now begin deploying to assigned devices. Initial deployment typically takes 15-30 minutes, but can take up to 8 hours for all devices to receive and apply the policy.

Suivez la progression du déploiement et vérifiez que les appareils reçoivent et appliquent avec succès la politique de garde de redirection du spouleur d'impression.

Naviguez vers votre politique nouvellement créée dans le centre d'administration Intune :

1. Allez à Appareils → Profils de configuration
2. Cliquez sur votre politique "CIS 4.7.2 - Garde de redirection du spouleur d'impression"
3. Examinez le tableau de bord Aperçu

L'aperçu fournit des métriques clés de déploiement :

Statut de l'appareil :
- Réussi : Appareils ayant appliqué la politique avec succès
- Erreur : Appareils ayant rencontré des erreurs
- Conflit : Appareils avec des politiques conflictuelles
- Non applicable : Appareils ne répondant pas aux règles d'applicabilité

Pour un dépannage détaillé, cliquez sur Statut de l'appareil pour voir les résultats individuels des appareils. Les indicateurs de statut courants incluent :

• Succès : Politique appliquée correctement
• En attente : L'appareil ne s'est pas encore enregistré (normal jusqu'à 8 heures)
• Erreur : Vérifiez les journaux de l'appareil ou les règles d'applicabilité

Vérification : Visez un taux de réussite de 95 % ou plus dans les 24 heures suivant le déploiement. Enquêtez sur toute erreur ou conflit persistant apparaissant dans le tableau de bord de statut.

Confirmez que la politique de garde de redirection du spouleur d'impression a été appliquée avec succès sur les appareils Windows individuels en utilisant des commandes de vérification PowerShell.

Connectez-vous à un appareil cible (via RDP, accès local ou PowerShell à distance) et ouvrez une session PowerShell avec élévation de privilèges. Exécutez les commandes suivantes pour vérifier l'application de la politique :

Vérifier la valeur du registre (État appliqué) :

Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device\Printers" -Name "ConfigureRedirectionGuardRedirectionGuardOptions" -ErrorAction SilentlyContinue

La sortie attendue devrait montrer :

ConfigureRedirectionGuardRedirectionGuardOptions : 1

Vérifier l'état de la politique effective :

Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers" -Name "RedirectionguardPolicy" -ErrorAction SilentlyContinue

Vérifier l'état du service du spouleur d'impression :

Get-Service -Name "Spooler" | Select-Object Name, Status, StartType

Vérifier les journaux d'événements pour l'activité de la garde de redirection :

Get-WinEvent -LogName "Microsoft-Windows-PrintService/Operational" -MaxEvents 10 | Where-Object {$_.Id -eq 316} | Select-Object TimeCreated, Id, LevelDisplayName, Message

Vérification : La valeur du registre doit être définie sur 1, et le service du spouleur d'impression doit fonctionner normalement. Aucune entrée immédiate dans le journal des événements n'est attendue à moins que des tentatives de redirection ne se produisent.

Effectuez des tests complets pour vous assurer que les opérations d'impression normales fonctionnent correctement tandis que les tentatives de redirection de fichiers malveillants sont correctement bloquées.

Tester les opérations d'impression normales :

1. Imprimer un document de test sur une imprimante réseau
2. Imprimer sur une imprimante USB locale
3. Tester l'aperçu avant impression et les opérations de file d'attente d'impression
4. Vérifier la fonctionnalité d'impression PDF et de l'écrivain de documents XPS

Tester l'impression à distance (si applicable) :

# Vérifier l'état de la redirection d'imprimante RDP
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" -Name "fDisableCpm" -ErrorAction SilentlyContinue

Simuler un test de sécurité (utilisateurs avancés uniquement) :

Le Redirection Guard empêche spécifiquement les processus non administratifs de rediriger des fichiers via le spouleur d'impression. Ce test ne doit être effectué que dans des environnements de test isolés :

# Vérifier si les tentatives de redirection sont enregistrées
Get-WinEvent -LogName "Microsoft-Windows-PrintService/Operational" -FilterHashtable @{ID=316} -MaxEvents 5 | Format-Table TimeCreated, Message -Wrap

Documenter les résultats des tests :

• Impression normale : ✓ Fonctionnelle
• Imprimantes réseau : ✓ Accessibles
• Files d'attente d'impression : ✓ Fonctionnelles
• Contrôles de sécurité : ✓ Actifs (aucun événement de redirection)

Vérification : Toutes les fonctionnalités d'impression standard doivent fonctionner normalement. La présence de la valeur de registre confirme que le contrôle de sécurité est actif, même si aucun événement de blocage n'est enregistré initialement.