Impression sécurisée par carte avec PaperCut

Le probleme qu’on resout

Dans un environnement bureautique classique, un travail d’impression part immédiatement vers une imprimante partagée. Deux problèmes récurrents en découlent : les documents confidentiels restent au bac à la vue de tous (RH, finance, dossiers clients), et le gaspillage explose car des travaux imprimés par erreur ne sont jamais récupérés.

Les contournements évidents échouent. Créer une file par copieur oblige l’utilisateur à savoir où il se trouve physiquement et multiplie les pilotes. Le chiffrement du spool ne protège pas le papier une fois sorti. Et une simple restriction d’accès par mot de passe sur chaque imprimante est ingérable à l’échelle.

La release à la demande par carte répond précisément à ce besoin : rien ne s’imprime tant que l’utilisateur n’est pas physiquement devant un MFP et ne s’est pas authentifié. Le document est alors libéré sur place, immédiatement récupéré.

Comment ca marche

Le principe repose sur une file d’attente retenue (hold/release queue). Au lieu d’être envoyé directement au moteur d’impression du MFP, le travail est intercepté par le Print Provider PaperCut, mis en pause et stocké sur le serveur d’impression. PaperCut enregistre les métadonnées (propriétaire, nombre de pages, couleur/N&B, coût).

La fonction Find-Me Printing va plus loin : l’utilisateur imprime sur une file virtuelle globale unique (par exemple \\srv-print\SecurePull). Aucune sortie physique n’est choisie. À la libération, PaperCut redirige dynamiquement le travail vers le pilote de l’imprimante réelle devant laquelle l’utilisateur se trouve. Cela suppose des imprimantes de pilotes compatibles (ou une file avec driver générique/PCL/PostScript commun).

L’authentification sur le MFP utilise l’intégration embedded (logiciel PaperCut installé sur le panneau du copieur) ou un boîtier/terminal Release Station. Un lecteur de carte lit l’UID du badge, PaperCut le compare à la table d’association carte→compte, puis affiche la liste des travaux retenus de l’utilisateur. L’utilisateur sélectionne et libère.

Prerequis

• Serveur PaperCut MF opérationnel (Application Server), version récente supportée ; base de données externe (SQL Server/PostgreSQL) recommandée en production.
• Serveur d’impression Windows avec rôle « Serveur d’impression » et le Print Provider PaperCut installé.
• Comptes utilisateurs synchronisés depuis Active Directory / Azure AD (source de synchronisation configurée dans PaperCut).
• MFP compatibles avec l’intégration embedded PaperCut (licence embedded par appareil) et un lecteur de carte supporté (RFID 13,56 MHz MIFARE/DESFire ou 125 kHz selon le parc).
• Droits : administrateur local sur le serveur d’impression, compte admin PaperCut, et un compte de service pour la synchronisation d’annuaire (lecture seule sur AD).
• Flux réseau : ports PaperCut (par défaut TCP 9191 HTTP, 9192 HTTPS admin, 9193 device) ouverts entre MFP, serveur d’impression et Application Server.

Procedure

1. Créer la file virtuelle globale. Sur le serveur d’impression, créez une imprimante partagée dédiée (ex. SecurePull) pointant vers un port local ou un pilote générique, et partagez-la.
2. Activer la rétention. Dans la console PaperCut : Printers → SecurePull → Hold/Release Queue → cocher « Enable hold/release queue », mode « User release ».
3. Configurer Find-Me. Sur la file virtuelle : Advanced → This is a virtual queue (jobs will be forwarded to a real printer). Définissez les imprimantes cibles et la correspondance de pilotes.
4. Déployer la file aux postes. Via GPO (Déploiement d’imprimantes) ou script, connectez les postes à \\srv-print\SecurePull uniquement.
5. Intégrer les MFP. Installez le logiciel embedded PaperCut sur chaque copieur et enregistrez-le auprès de l’Application Server ; activez l’option de release des travaux retenus.
6. Configurer l’authentification carte. Dans Options → User/Group Sync et Advanced Config, activez l’association de carte à la première présentation (self-association via PIN).
7. Tester le cycle complet : impression → rétention → badge → libération.

Le script

Script PowerShell idempotent pour créer la file virtuelle sécurisée sur le serveur d’impression et la publier. Valeurs génériques à adapter.

# Requiert : PowerShell en tant qu'administrateur local sur le serveur d'impression
# Module PrintManagement (RSAT / rôle Serveur d'impression)

# --- Parametres (valeurs generiques) ---
$QueueName   = "SecurePull"
$PortName    = "PaperCutVirtualPort"
$PortAddress = "127.0.0.1"          # file virtuelle locale, pas de peripherique reel
$DriverName  = "PaperCut Global PostScript"  # pilote generique commun au parc
$ShareName   = "SecurePull"
$Comment     = "File virtuelle - release a la demande PaperCut"

# --- Verification du pilote (doit etre deja installe) ---
if (-not (Get-PrinterDriver -Name $DriverName -ErrorAction SilentlyContinue)) {
    Write-Error "Pilote '$DriverName' introuvable. Installez-le avant d'executer ce script."
    exit 1
}

# --- Creation du port (idempotent) ---
if (-not (Get-PrinterPort -Name $PortName -ErrorAction SilentlyContinue)) {
    Add-PrinterPort -Name $PortName -PrinterHostAddress $PortAddress
    Write-Host "Port '$PortName' cree."
} else {
    Write-Host "Port '$PortName' deja present."
}

# --- Creation de la file (idempotent) ---
if (-not (Get-Printer -Name $QueueName -ErrorAction SilentlyContinue)) {
    Add-Printer -Name $QueueName -DriverName $DriverName -PortName $PortName -Comment $Comment
    Write-Host "Imprimante '$QueueName' creee."
} else {
    Write-Host "Imprimante '$QueueName' deja presente."
}

# --- Partage et publication ---
Set-Printer -Name $QueueName -Shared $true -ShareName $ShareName -Published $true
Write-Host "File '$QueueName' partagee sous '\\$env:COMPUTERNAME\$ShareName'."

# --- Rappel : activer la hold/release queue dans la console PaperCut ---
Write-Host "Etape manuelle : activer Hold/Release + Find-Me dans l'admin PaperCut."

Appel de l’API Web Services PaperCut (XML-RPC) pour verifier/activer la rétention par programmation. Protégez le authToken comme un secret.

# Appel API PaperCut (XML-RPC via HTTP) - exemple PowerShell
# Le token d'authentification est defini dans server.properties (auth.webservices.auth-token)

$Server  = "https://papercut.exemple.test:9192/rpc/api/xmlrpc"
$Token   = $env:PAPERCUT_API_TOKEN   # ne jamais coder en dur : variable d'environnement
$Printer = "srv-print\SecurePull"

$body = @"
<?xml version="1.0"?>
<methodCall>
  <methodName>api.setPrinterProperty</methodName>
  <params>
    <param><value><string>$Token</string></value></param>
    <param><value><string>$Printer</string></value></param>
    <param><value><string>hold-release-queue-enabled</string></value></param>
    <param><value><string>true</string></value></param>
  </params>
</methodCall>
"@

Invoke-RestMethod -Uri $Server -Method Post -Body $body -ContentType "text/xml"

Déploiement de la file aux postes via script de connexion (alternative à la GPO) :

# A executer en contexte utilisateur (script d'ouverture de session)
$SharedQueue = "\\srv-print\SecurePull"
# Retire d'anciennes connexions directes aux copieurs si besoin (optionnel)
Get-Printer | Where-Object { $_.Name -like "\\srv-print\MFP-*" } |
    ForEach-Object { Remove-Printer -Name $_.Name -ErrorAction SilentlyContinue }
# Ajoute la file securisee
Add-Printer -ConnectionName $SharedQueue
# Definit comme imprimante par defaut
(New-Object -ComObject WScript.Network).SetDefaultPrinter($SharedQueue)

Validation

• Côté file : Get-Printer -Name SecurePull | Format-List Name,Shared,Published,DriverName doit afficher Shared: True et Published: True.
• Côté PaperCut : dans l’onglet Jobs Pending Release, un travail test envoyé sur SecurePull doit apparaître avec le bon propriétaire, le nombre de pages et le coût.
• Côté MFP : présenter la carte au lecteur → l’écran affiche la liste des travaux retenus de l’utilisateur. La libération imprime la page et la retire de la file.
• Find-Me : envoyer un travail unique, le libérer sur deux copieurs différents lors de deux tests, et vérifier que la sortie se fait bien sur l’appareil choisi.
• Journalisation : Logs → Application Log montre l’authentification carte et l’événement de release sans erreur.

Plan de retour (rollback)

1. Désactiver la rétention sans supprimer la file : dans PaperCut, décocher « Enable hold/release queue » — les travaux repartent en impression directe immédiate.
2. Revenir aux files directes : re-déployer par GPO/script les connexions directes aux copieurs et retirer SecurePull.
3. Suppression complète de la file test :

Remove-Printer -Name "SecurePull" -ErrorAction SilentlyContinue
Remove-PrinterPort -Name "PaperCutVirtualPort" -ErrorAction SilentlyContinue

Conservez une sauvegarde de la configuration PaperCut (export de la base + server.properties) avant toute modification pour restauration rapide.

Depannage

Securite, changement et bonnes pratiques

• Secrets : ne codez jamais le auth-token de l’API ni les identifiants de service dans les scripts. Utilisez des variables d’environnement ou un coffre (Credential Manager / gestionnaire de secrets). Restreignez auth.webservices.allowed-addresses aux IP de confiance.
• Moindre privilège : le compte de synchronisation AD doit être en lecture seule. Les droits d’administration PaperCut suivent le besoin opérationnel ; privilégiez des rôles délégués plutôt qu’un admin global.
• Cartes : préférez les technologies MIFARE DESFire (chiffrées) aux cartes 125 kHz clonables. Hachez/ne stockez que l’UID nécessaire.
• Chiffrement : activez HTTPS sur l’admin (9192) et le device (9193) ; les travaux retenus sont stockés sur le serveur d’impression — chiffrez le volume (BitLocker).
• Cadrage ITIL : le déploiement initial est un changement normal soumis au CAB (impact sur tous les utilisateurs d’impression). Planifiez une fenêtre de maintenance, documentez le plan de retour et menez un pilote sur un site restreint avant généralisation. Les ajustements ultérieurs (délai de rétention, ajout d’un MFP) relèvent du changement standard pré-approuvé une fois la procédure éprouvée.
• Problèmes : rattachez les incidents récurrents (cartes non lues, pilotes incompatibles) à la gestion des problèmes pour traiter la cause racine.

A retenir

La release à la demande par carte transforme l’impression partagée en flux sécurisé, traçable et sobre : rien ne sort du MFP sans présence physique et authentification. La combinaison file virtuelle Find-Me + hold/release + authentification RFID élimine les documents oubliés et le gaspillage tout en apportant une comptabilité fine par utilisateur et département.

Avant la mise en production : validez le cycle complet sur un pilote, verrouillez les secrets d’API, et passez le changement au CAB avec un plan de retour testé. Documentez votre matrice de correspondance de pilotes — c’est elle qui conditionne le bon fonctionnement de Find-Me à l’échelle.