By Brock McKenna on 10月 8, 2026
プリンタードライバーは攻撃の大きな対象になっています。Microsoftによると、過去3年間にMicrosoftセキュリティレスポンスセンターに報告された事案の9%が印刷関連のバグに起因しており、Microsoftの分析では、Windows Protected Printモード (WPP) が調査対象となった印刷関連脆弱性の半数以上を緩和できた可能性があるとされています。ドライバーに依存しない、より安全な印刷アーキテクチャへの移行は理にかなっています。
では、これがAzure Virtual Desktop (AVD)、Citrix、またはRemote Desktop Services (RDS) を運用する組織にとって、どんな意味を持つのでしょうか？
仮想デスクトップ環境は、リモートセッションと物理プリンターを接続するために長年にわたりさまざまな手法を使ってきました。セッションホストにメーカー固有のドライバーを必要とするものもあれば、プリンターのリダイレクト、ユニバーサル印刷技術、クラウドサービスを使うものもあります。WPPはこれらすべてに同じように影響するわけではないため、変更を加える前に依存関係を理解しておくことが重要です。
なぜ Windows Protected Print は仮想デスクトップで課題になるのか？
VDIの印刷で根本的に難しいのは、アプリケーションはリモートセッション内で動作する一方、プリンターは別の場所にあることが多い点です。従来の印刷アーキテクチャは、この問題に対していくつかの異なる方法で対処してきました。
プリンターのリダイレクトは、ローカル接続のプリンターをセッション内で利用可能にします。たとえばMicrosoftのRemote Desktop Easy Printは、セッションホストにメーカー固有のドライバーを入れる必要をなくします。ただし、リダイレクトされたプリンター名にセッション固有の接尾辞が付く場合があり、固定のプリンター名を期待するアプリケーションで問題になることがあります。
ユニバーサル印刷技術（例：Citrix Universal Print DriverやWindows Easy Print）は、セッションホスト上で個別のメーカー製ドライバーを必要とする頻度を減らします。構成によっては、帯域幅の消費や特定のプリンター機能との互換性といった別の考慮点が発生します。
ネットワークへの直接印刷は、セッションホストがネットワークプリンターに直接ジョブを送信する方法です。うまく機能しますが、メーカー製ドライバーやセッションホストとプリンター間の確実な接続が必要になる場合があります。
これらのアーキテクチャの詳しい解説は、How Printing Works in AVD, Citrix and RDS - And Why It Often Breaks をご覧ください。
重要なのは、すべてのVDI印刷方式がセッションホスト上でサードパーティ製ドライバーを必要とするわけではないという点です。WPPとの互換性は、関与するコンポーネント次第で変わります。
WPPはセッションホストに何を変えるのか？
Windows 11 24H2で導入され、Windows Server 2025でサポートされるWindows Protected Printモードは、印刷をMicrosoft組み込みのIPPベースのアーキテクチャに限定します。WPPが有効な場合、サードパーティ製のプリンタードライバーは使用できません。
VDI管理者にとって、これにより考慮すべき点が3つ生じます。
ゴールデンイメージ内の既存ドライバー。AVD、Citrix、またはRDSのイメージにメーカー固有のプリンタードライバーが含まれている場合、WPPはそれらのドライバーを使用できないようにします。WPPを有効にすると、サードパーティ製ドライバーに依存する既存のインストール済みプリンターも削除されます。
プリンターのリダイレクト。リダイレクトされたすべてのプリンターがセッションホスト上でメーカー製ドライバーを必要とするわけではありません。ただし、管理者は自社のリダイレクト構成や印刷コンポーネントがWPP有効時に正常に動作するかを確認する必要があります。
旧式および特殊なプリンター。旧来のメーカー製ドライバーに依存するデバイスは、従来のWindowsのプリンターインストール手法では利用できなくなる可能性があります。ラベルプリンターや旧型の複合機などの特殊機器は特に注意が必要です。代替の印刷アーキテクチャによっては、こうした機器の一部を引き続き利用できる場合があります。
現時点でWPPは必須ではなく、Microsoftもいつデフォルトにするかは発表していません。ただし、旧来のプリンタードライバーからの移行は既に進行中です。
- 2026年1月15日：Microsoftは、Windows 11およびWindows Server 2025以降で、Windows Updateを通じた新しいサードパーティ製プリンタードライバーの公開受付を原則として停止しました。例外は個別に検討されます。
- 2026年7月1日：Windowsは、プリンタードライバー選択時に内蔵のIPPクラスドライバーを優先するようになりました。
- 2027年7月1日：Microsoftは、Windows Updateを通じたサードパーティ製プリンタードライバーのセキュリティ以外の更新の受付を停止します。
既存のサードパーティ製プリンタードライバーは引き続きWindows Updateからインストール可能で、メーカーは別途インストールパッケージでドライバーを提供し続けることができます。Microsoftのロードマップは、2027年7月に旧来のプリンタードライバーが突然動作しなくなることを意味するものではありません。
とはいえ、VDIのゴールデンイメージを管理している組織は、メーカー固有のドライバーにいつまで依存するかを検討すべきです。Microsoftの公式ロードマップは、その方向性を明確に示しています。
WPPを有効にする前に：VDI互換性チェックリスト
AVD、Citrix、またはRDS環境全体でWPPを有効にする前に、ITチームは印刷に関する依存関係がどこにあるかを把握しておくべきです。
まずはドライバーを確認してください。メーカー固有のドライバーはゴールデンイメージにインストールされていますか、それともセッションホストに動的に追加されていますか、あるいはエンドポイントでのみ使われていますか？WPPは有効にしたWindowsシステムに影響するため、この区別は重要です。
次に、どの印刷方法やアプリケーションがそれらのドライバーに依存しているかを特定します。特に、特殊なプリンター、メーカー固有の機能、固定のプリンター名を使用するように設定されたアプリケーションに注意してください。
最後に、本番環境のイメージを変更する前に、代表的なセッションホストでWPPをテストしてください。プリンターの可用性、アプリケーションの互換性、主要な業務フローを確認します。Microsoftは、WPPを有効にするとサードパーティ製ドライバーを使用するプリンターが削除され、その後WPPを無効にしてもそれらのプリンター構成は自動的には復元されないと明言しています。
目的は、必ずしも既存の印刷インフラをすぐに置き換えることではありません。互換性の問題が発生する前に、依存関係を特定することが重要です。
クラウド印刷：プリンタードライバーをVDIセッションから移行する
WPPの影響を軽減する一つの方法は、プリンター固有のレンダリングを仮想デスクトップの外部に移行することです。
ezeepでは、印刷ジョブはクラウドでレンダリングされます。これはセッションホストにインストールされたメーカー固有のレンダリングドライバーを通して行うのではなく、処理されたジョブは導入形態に応じてezeep Hubまたは適切なソフトウェア Connector を介してプリンターに配信されます。
これにより、ゴールデンイメージ内でメーカー固有のドライバーを維持する必要性が低減し、ezeepで管理される印刷において従来のRDPやICAのプリンターリダイレクトに頼る必要がなくなります。
ezeepはWindows Protected Printモードにも対応しています。 According to the official ezeep documentation, the ezeep Print App for Windows (May 2026 or later) creates native IPP print queues using Microsoft's built-in IPP class driver. プリンター固有のレンダリングはクラウドで行われるため、WPPを無効にすることなくezeepで管理されるプリンターを使用できます。
このアプローチにより、対象デバイスがサポートされ、適切なezeep構成で接続されている場合は、旧式の非Mopria対応プリンターも引き続き利用できます。
VDI環境における具体的なメリットは以下の通りです。
- ezeepで管理される対応プリンターの場合、セッションホストにメーカー固有のレンダリングドライバーは不要です。
- ゴールデンイメージにおけるプリンタードライバーの保守作業や潜在的な互換性競合を軽減します。
- 従来のクライアント側プリンターのリダイレクトに依存しない印刷。
- プリンターの一元管理と割り当て。
管理者は、本番ホストでWPPを有効にする前に、アプリケーションの互換性とマルチセッションでの挙動を確認する必要があります。
VDI印刷の隠れた問題：固定プリンター名
プリンター構成を変更する前に、次の問いを確認してください：環境内でどのアプリケーションが特定のプリンター名に依存していますか？
基幹業務アプリケーション、特にERPは名前付きの印刷キューに出力するよう設定されていることが多いです。プール型のマルチセッション環境では、リダイレクトされたプリンター名にセッション固有の接尾辞が付くことがあり、アプリケーションが想定するプリンターを見つけられない場合があります。
ezeep Print App for Servicesは、ERPを含むWindowsアプリケーションからの自動印刷をサポートします。従来のセッション固有のプリンターリダイレクトを回避する印刷構成の一部として利用できます。固定のキュー名を必要とするアプリケーションは、選択した構成で必ずテストしてください。
移行前に、どのアプリケーションが固定のプリンター名に依存しているか、そしてその依存関係をどのように維持するかを特定してください。「複数のアプリケーションが該当するが、どれが該当するか誰も確信が持てない」という状況であれば、それ自体が移行順序に影響を与える重要な発見です。
Windows Protected Printに向けたVDI環境の準備
Windows Protected Printは既存のすべてのVDI印刷構成を置き換える必要があるわけではありません。しかし、Microsoftがレガシーなサードパーティ製プリントドライバーから移行を進めているため、自社環境がどのコンポーネントに依存しているかを把握することが重要です。
複雑なゴールデンイメージやプリンター構成を維持している組織にとって、Cloud renderingは、より安全なWindows印刷アーキテクチャに備えつつ、それらの依存関係を減らす手段となります。
