Данная статья применима к:
- Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.7)
- Astra Linux Special Edition РУСБ.10152-02 (очередное обновление 4.7)
- Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6)
(с установленным обновлением БЮЛЛЕТЕНЬ № 20200722SE16 - оперативное обновление 6) - Astra Linux Special Edition РУСБ.10015-16 исп. 1
- Astra Linux Special Edition РУСБ.10015-16 исп. 2
- Astra Linux Special Edition РУСБ.10265-01 (очередное обновление 8.1)
- Astra Linux Common Edition 2.12
Раздел "Ограничение отображения сетевых принтеров в LibreOffice" применим только к Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) с установленным обновлением БЮЛЛЕТЕНЬ № 20210611SE16 (оперативное обновление 7).
Раздел "Ограничение видимости заданий (Astra Linux Special Edition 1.6.9 и Astra Linux Common Edition 2.12.43)" применим только к Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) с установленным обновлением БЮЛЛЕТЕНЬ № 20211008SE16 (оперативное обновление 9) и к Astra Linux Common Edition 2.12.43.
Включение удаленного использования сервера печати
Для включения удаленного использования сервера печати:
От имени администратора (в Astra Linux Special Edition с включенным МКЦ - администратора с высоким уровнем целостности) через механизм sudo выполнить команду:
sudo cupsctl --remote-admin --share-printers --remote-any ServerAlias=*В конфигурационном файле /etc/cups/cupsd.conf удалить строку:
Port 631
и строку Listen привести к виду:
Listen 0.0.0.0:631
При первичных настройка значение параметра DefaultAuthType должно быть Basic;
Проверить корректность конфигурационных файлов:
sudo cupsd -tПерезапустить сервер печати CUPS командой:
sudo systemctl restart cupsПроверить состояние сервиса печати CUPS командой:
sudo systemctl status cups
Добавление принтера через web-интерфейс CUPS
Пользователь, от имени которого будут выполняться действия по настройке принтеров, должен быть добавлен в группу lpadmin.
Для добавления принтера открыть web-браузер и ввести адрес:
Нажать кнопку "Добавить принтер", на запрос аутентификации ввести имя и пароль пользователя, входящего в группу lpadmin.
Далее будет представлен список устройств для выбора. Фактическое имя принтера отображается рядом с меткой ( например, USB-принтеры напротив USB Printer #1). Принтеру можно присваивать любое имя, аналогично для пунктов 'Расположение' и 'Описание'. После выбора соответствующего драйвера настройки будут окончены.
При установке USB-принтер должен отображаться в списке устройств на странице Добавить принтер.
Убедитесь в правильности настроек, нажав на кнопку Print Test Page (Печать тестовой страницы) в выпадающем меню Maintenance (Обслуживание). Если принтер не печатает, но вы уверены в правильности всех настроек, попытайтесь сменить драйвер принтера на другой.
Печать файла из командной строки
Печать файла из командной строки можно выполнить командой:
Добавление сетевого принтера из командной строки
Добавление сетевого принтера из командной строки можно выполнить командой:
Ограничение отображения сетевых принтеров в LibreOffice
Раздел "Ограничение отображения сетевых принтеров в LibreOffice" применим только к Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) с установленным обновлением БЮЛЛЕТЕНЬ № 20210611SE16 (очередное обновление 7)
По умолчанию при выборе устройства печати в LibreOffice (Файл - Печать - Принтер) в списке устройств отображаются все обнаруженные сетевые принтеры. Для того, чтобы в списке доступных устройств отображались только принтеры, добавленные через менеджер печати Fly, нужно добавить в файл /etc/cups/client.conf строчку:
DiscoveredOnly Yes
после чего перезапустить службу cups:
Копирование настроек принтеров
Для централизованного управления можно копировать файлы /etc/cups/printers.conf и /etc/cups/ppd/* с компьютера с настроенным принтером на удаленный компьютер при помощи scp:
scp /etc/cups/ppd/* 10.10.10.10:/etc/cups/ppd/
Настройка печати на локальной машине
Пользователь, от которого будут выполняться действия по маркировке заданий, должен быть добавлен в группу lpmac (
groupadd -g 900 lpmac
если не создана).Это может быть один и тот же пользователь.
- Настроить удаленное использование сервера печати;
- Выполнить вход на сервере печати от имени учетной записи, входящей в группу lpadmin, и настроить принтеры (установить политику parsec и назначить максимальные допустимые уровни заданий). Настройка принтеров может быть выполнена с использованием утилиты fly-admin-printer (см. электронную справку);
На клиентских машинах создать файл /etc/cups/client.conf, в котором должен быть задан единственный параметр ServerName, определяющий имя сервера печати, например:
ServerName <имя_сервера_печати>
В Astra Linux Special Edition для печати документов с ненулевой классификационной меткой через графическую утилиту "Менеджер печати Fly" (fly-admin-printer) для принтера указать политику parsec и допустимые уровни конфиденциальности.
Настройка печати с аутентификацией через Kerberos
Для корректной работы команды cupsctl на сервере должна быть выполнена настройка клиента, т.е должен быть создан файл /etc/cups/client.conf, в котором должен быть задан единственный параметр ServerName, определяющий имя сервера печати:
ServerName <имя_сервера_печати>
Настройка печати с аутентификацией через Kerberos в домене FreeIPA
Описание стенда
- dc.domain.ipa – контроллер домена FreeIPA;
- printserver.domain.ipa (сервер cups может находиться и на контроллере домена FreeIPA, в таком случае далее printserver заменить на dc);
- client.domain.ipa – клиент FreeIPA
Настройки на контроллере домена
Настройки могут выполняться через графический интерфейс FreeIPA или через интерфейс командной строки (CLI) FreeIPA. Далее приведены примеры с использованием CLI.
Получить билет Kerberos администратора домена (только при работе с CLI. Для примера используется имя администратора admin):
kinit adminСоздать доменную группу print_admins:
ipa group-add print_admins
-------------------------------
Добавлена группа "print_admins"
-------------------------------
Имя группы: print_admins
ID группы: 848400014Добавить доменных пользователей, которые будут выполнять функции администратора печати, в доменную группу print-admins. Например:
Создать пользователя ipa_print_admin:
ipa user-add ipa_print_admin --first <имя> --last <фамилия>Добавить доменного пользователя ipa_print_admin в доменную группу print_admins:
ipa group-add-member --users=ipa_print_admin print_adminsДобавить доменного пользователя (для примера - ipa_print_admin) в локальную группу lpmac командой:
sudo gpasswd -a ipa_print_admin lpmac
На контроллере домена зарегистрировать службу печати ipp:
ipa service-add ipp/printserver.domain.ipa
Настройки на сервере печати
- Войти в сессию пользователя - администратора системы (на Astra Linux Special Edition с включенным МКЦ - администратора с высоким уровнем целостности);
Получить билет Kerberos администратора домена для суперпользователя:
sudo kinit adminПолучить таблицу ключей для зарегистрированной службы печати ipp/printserver.domain.ipa@DOMAIN.IPA и сохранить её в файле /root/ipp.keytab:
sudo ipa-getkeytab -p ipp/printserver.domain.ipa@DOMAIN.IPA -k /root/ipp.keytabДобавить ключи из файла /root/ipp.keytab в хранилище Kerberos /etc/krb5.keytab, для чего:
Выполнить команду:
sudo ktutil << EOF
rkt /root/ipp.keytab
wkt /etc/krb5.keytab
q
EOF
Убедиться, что ключи добавлены:
sudo klist -kte /etc/krb5.keytab
Настройка службы печати CUPS
В файле /etc/cups/cups-files.conf заменить строку:
SystemGroup lpadmin
на строку:
SystemGroup lpadmin print_admins
В значениях параметра должны быть перечислены группы пользователей, которым разрешено управление принтером. Например, туда можно временно добавить группу admins чтобы предоставить право управления локальным администраторам на время настройки системы.
Предполагается, что удаленный доступ к службе печати уже настроен как указано выше. Выполнить команды (если управление разрешено текущему пользователю):
sudo cupsctl DefaultPolicy=authenticated
sudo cupsctl ServerName=printserver.domain.ipa
sudo cupsctl MacEnable=On
sudo cupsctl DefaultAuthType=Negotiateили действуя от имени администратора прямо отредактировать конфигурационный файл /etc/cups/cupsd.conf, указав (добавив) нужные значения (знак "=" не используется, значения параметров указываются через пробел):
DefaultAuthType Negotiate DefaultPolicy authenticated ServerName printserver.domain.ipa
Проверить корректность конфигурационного файла:
sudo cupsd -tПерезапустить службу печати CUPS сервер командой:
sudo systemctl restart cups
Настройка печати с аутентификацией через Kerberos в домене ALD
Для выполнения действий по управлению принтерами и очередями печати необходимо:
Создать в ALD учетную запись группы администраторов печати:
sudo
ald-admin group-add print_adminsДля выполнения действий по маркировке заданий создать в ALD группу:
lpmac_ald (только для версии Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) и при использовании в домене ALD):
sudo ald-admin group-add lpmac_aldlpmac (для всех остальных версий ОС Astra Linux Special Edition):
sudo ald-admin group-add lpmac
В файле /etc/cups/cups-files.conf в значении параметра SystemGroup установить значение print_admins;
Создать в ALD учетную запись администратора печати и добавить ее в группу администраторов печати ALD, например выполнив команды:
sudo ald-admin user-add ald_print_admin
sudo ald-admin group-mod print_admins --add-users --user=ald_print_admin
- Добавить администратора печати в группу
lpmac_ald (только для версии ОС Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) и при использовании в домене ALD):
sudo ald-admin group-mod lpmac_ald --add-users --user=ald_print_adminlpmac (для всех остальных версий ОС Astra Linux Special Edition)
sudo ald-admin group-mod lpmac --add-users --user=ald_print_admin
Для обеспечения совместной работы сервера печати с ALD создать в БД ALD с помощью утилиты администрирования ALD принципала, соответствующего серверу печати. Принципал создается с автоматически сгенерированным случайным ключом:
sudo ald-admin service-add ipp/server.my_domainВвести созданного принципала в группу сервисов mac, используя следующую команду:
sudo ald-admin sgroup-svc-add ipp/server.my_domain --sgroup=mac
Создать файл ключа Kerberos для сервера печати с помощью утилиты администрирования ALD ald-client, используя следующую команду:
sudo ald-client update-svc-keytab ipp/server.my_domain
От имени учетной записи администратора с использованием механизма sudo выполнить следующие команды:
sudo cupsctl DefaultPolicy=default
sudo cupsctl ServerName=server.my_domain
sudo cupsctl MacEnable=On
sudo cupsctl DefaultAuthType=NegotiateПерезапустить сервер печати CUPS, выполнив команду:
sudo systemctl restart cups
Выполнить вход на сервере печати от имени учетной записи, входящей в группу ALD print_admins, и настроить принтеры (установить политику parsec и назначить максимальные допустимые уровни заданий). Настройка принтеров может быть выполнена с использованием утилиты fly-admin-printer (см. электронную справку).
На клиентских машинах должен быть создан файл /etc/cups/client.conf, в котором должен быть задан единственный параметр ServerName, определяющий имя сервера печати, например:ServerName computer.domain
Тестирование аутентификации Kerberos
В сессии администратора, не имеющего права управления службой cupsd:
Удалить все билеты Kerberos, полученные от имени sudo:
sudo kdestroy -AПопробовать выполнить команду изменения конфигурации (в команде можно использовать уже имеющиеся значения параметров, чтобы не вносить реальные изменения в настроенную конфигурацию), например:
sudo cupsctl DefaultPolicy=defaultитогом выполнения команды должен быть отказ в доступе:cupsctl: В доступе отказано
или (в зависимости от используемой ОС):
cupsctl: Запрещено
Получить билет Kerberos доменного администратора печати, например:
sudo kinit ipa_print_admin- Повторно выполнить команду изменения конфигурации, при наличии билета Kerberos доменного администратора печати команда должна быть выполнена без ошибок.
Ограничение видимости заданий (Astra Linux Special Edition 1.6.9 и Astra Linux Common Edition 2.12.43)
Начиная с:- Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) с установленным оперативным обновлением БЮЛЛЕТЕНЬ № 20211008SE16 (оперативное обновление 9);
- Astra Linux Common Edition 2.12.43.
в систему управления печатью добавлены следующие возможности:
- Возможность ограничения пользователем видимости заданий других пользователей: опция "Только текущего пользователя" в меню списка заданий. Опция включает отображений заданий только текущего пользователя. Все другие задания будут скрыты;
Возможность принудительного ограничения администратором видимости пользователями заданий других пользователей. Для включения этой возможности добавить в файл /etc/cups/cupsd.conf строку:
MyJobsAccessOnly On
и осуществить перезапуск сервиса печати CUPS. В результате включения этой опции пользователям будут разрешено видеть только свои задания.
Исключение - администраторы печати (пользователи, состоящие в группе lpadmin). Они видят все задания независимо от состояния данной опции.