Déployer l’impression cloud avec Universal Print

Le probleme qu’on resout

Dans une PME, l’impression repose souvent sur un serveur d’impression Windows qui heberge les files d’attente et distribue les pilotes via des partages (\\serveur\imprimante). Ce modele fonctionne sur le reseau interne, mais devient fragile des qu’on sort du perimetre : les utilisateurs en teletravail doivent monter un VPN pour atteindre le serveur, les appareils mobiles (iOS, Android) et Mac sont mal supportes, et chaque nouveau poste exige l’installation d’un pilote specifique.

Les contournements evidents echouent : publier le serveur d’impression sur Internet expose un service sensible, multiplier les pilotes cree des conflits et des incidents de spooler, et les solutions tierces d’impression cloud ajoutent un cout et une dependance supplementaire. Universal Print, inclus dans les licences Microsoft 365 Business Premium, E3 et E5, elimine ces frictions en centralisant l’impression dans le cloud tout en conservant vos imprimantes physiques existantes.

Comment ca marche

Universal Print est un service d’impression heberge dans Microsoft 365. Deux scenarios existent : les imprimantes nativement compatibles Universal Print s’enregistrent directement, et les imprimantes classiques passent par un connecteur. Ce connecteur est un agent logiciel que l’on installe sur un serveur Windows disposant deja des pilotes et des files d’attente. Il etablit une connexion sortante en HTTPS (port 443) vers les points de terminaison *.print.microsoft.com : aucune ouverture de port entrant n’est requise.

Une fois une imprimante enregistree, on cree un partage (printer share) dans le portail, puis on assigne ce partage a un ou plusieurs groupes de securite Entra ID. Les utilisateurs membres voient automatiquement l’imprimante apparaitre dans leur liste, qu’ils soient au bureau, a la maison ou sur mobile. Le travail d’impression transite par le cloud, revient au connecteur, qui le remet a l’imprimante physique via la file d’attente locale.

L’interet operationnel est double : la gestion se fait par appartenance a un groupe (facile a auditer et a automatiser), et le client n’a plus besoin que du pilote universel fourni par le systeme d’exploitation. Les techniques d’administration restent familieres (PowerShell, Microsoft Graph, Intune), mais le point de controle se deplace vers le portail cloud.

Prerequis

Sur le serveur d’impression (celui qui hebergera le connecteur) :

• Windows Server 2016 ou superieur, service Spouleur d’impression (Spooler) en cours d’execution.
• .NET Framework 4.7.2 ou superieur installe.
• Au moins 20 Go d’espace libre sur le disque systeme (prevoir un nettoyage prealable si necessaire).
• Pare-feu autorisant le trafic HTTPS sortant (443) vers *.print.microsoft.com.

Sur le tenant Microsoft 365 :

• Licences Business Premium, E3 ou E5 couvrant les utilisateurs cibles.
• Role Administrateur d’imprimante (Printer Administrator) attribue au compte qui realise l’installation et l’enregistrement.
• Groupes de securite Entra ID crees (ou a creer) pour les assignations.
• Module Microsoft.Graph PowerShell installe sur le poste d’administration.

Procedure

1. Preparer le serveur : verifier l’espace disque, le service de spouleur et la version .NET. Liberer de l’espace si besoin.
2. Telecharger et installer le connecteur depuis le lien officiel Microsoft (aka.ms/UniversalPrintConnector).
3. Enregistrer le connecteur dans le tenant via l’application « Universal Print connector » : connexion avec un compte Administrateur d’imprimante, nommage du connecteur et choix de la region la plus proche.
4. Enregistrer une imprimante pilote depuis la liste des imprimantes locales affichees par le connecteur.
5. Creer un partage dans le portail et lui donner un nom explicite ainsi qu’un emplacement.
6. Creer un groupe de securite Entra ID pour le pilote et y ajouter une poignee d’utilisateurs.
7. Assigner le partage au groupe dans la section Membres du partage.
8. Deployer cote client : manuellement via les Parametres Windows, ou de maniere centralisee via un profil de configuration Intune.
9. Tester bout en bout puis etendre par vagues, departement par departement.

Le script

Le bloc suivant automatise les etapes serveur (installation, verification du service) et les etapes tenant (creation du groupe via Microsoft Graph). Toutes les valeurs sont generiques : adaptez-les a votre contexte.

# === Universal Print - Deploiement pilote (valeurs d'exemple) ===
# A executer sur le serveur d'impression avec un compte administrateur local.

# --- 1. Prerequis serveur ---
$spooler = Get-Service -Name Spooler
if ($spooler.Status -ne 'Running') { Start-Service Spooler }

# Verifier l'espace disque systeme (seuil 20 Go)
$sys = Get-PSDrive -Name C
$freeGB = [math]::Round($sys.Free / 1GB, 1)
Write-Host "Espace libre C: $freeGB Go"
if ($freeGB -lt 20) { Write-Warning "Espace insuffisant : liberer avant l'installation." }

# --- 2. Telechargement et installation du connecteur ---
$installDir = "C:\Install"
New-Item -ItemType Directory -Path $installDir -Force | Out-Null
$msi = Join-Path $installDir "UPConnector.msi"
Invoke-WebRequest -Uri "https://aka.ms/UniversalPrintConnector" -OutFile $msi

# Installation silencieuse
Start-Process msiexec.exe -ArgumentList "/i `"$msi`" /qn" -Wait

# Verifier le service du connecteur
$svc = Get-Service -Name PrintConnectorSvc -ErrorAction SilentlyContinue
if ($svc -and $svc.Status -eq 'Running') {
    Write-Host "Connecteur installe et demarre."
} else {
    Write-Warning "Le service PrintConnectorSvc n'est pas en cours d'execution."
}

# NOTE : l'enregistrement du connecteur au tenant se fait via l'application
# graphique "Universal Print connector" (menu Demarrer) : connexion avec un
# compte Administrateur d'imprimante, choix du nom et de la region.

Creation du groupe de securite pilote et preparation des assignations via Microsoft Graph :

# === Creation du groupe Entra ID pour le pilote ===
# Prerequis : Install-Module Microsoft.Graph -Scope CurrentUser

Connect-MgGraph -Scopes "Group.ReadWrite.All","User.Read.All"

# Creer le groupe de securite
$groupe = New-MgGroup -DisplayName "G_UniversalPrint_Pilote" `
    -Description "Pilote Universal Print - utilisateurs de test" `
    -MailEnabled:$false -SecurityEnabled:$true `
    -MailNickname "GUPPilote"

Write-Host "Groupe cree : $($groupe.Id)"

# Ajouter des utilisateurs (remplacer par de vrais UPN)
$upns = @(
    "utilisateur1@exemple.test",
    "utilisateur2@exemple.test"
)
foreach ($upn in $upns) {
    $u = Get-MgUser -Filter "userPrincipalName eq '$upn'" -ErrorAction SilentlyContinue
    if ($u) {
        New-MgGroupMember -GroupId $groupe.Id -DirectoryObjectId $u.Id
        Write-Host "Ajoute : $upn"
    } else {
        Write-Warning "Utilisateur introuvable : $upn"
    }
}
# L'assignation du partage au groupe se fait dans le portail :
# Universal Print > Printer Shares > [partage] > Members.

Deploiement client via Intune (recommande) : creez un profil de configuration Modeles d’administration → Imprimantes → Configurer Universal Print, puis ciblez le groupe. Pour un ajout manuel de secours cote poste :

# Ajout manuel d'une imprimante Universal Print sur un poste Windows
# Remplacer l'URL par celle fournie dans le portail pour le partage.
Add-Printer -ConnectionName "https://exemple-print-share-url"
Get-Printer | Where-Object Name -like "*Pilote*"

Validation

Verifiez chaque couche avant d’etendre le deploiement :

• Connecteur : dans le portail, section Universal Print → Connectors, le connecteur doit afficher l’etat « Active ». Cote serveur, Get-Service PrintConnectorSvc doit retourner Running.
• Imprimante : dans Universal Print → Printers, l’imprimante enregistree apparait en statut « Active ».
• Assignation : l’imprimante doit apparaitre automatiquement dans les Parametres Windows des utilisateurs membres du groupe (comptez jusqu’a 15 minutes de propagation).
• Test bout en bout : imprimez un document depuis Word ou un PDF (Ctrl+P), confirmez la sortie physique. Repetez les scenarios critiques : poste sur le reseau interne, poste en teletravail sans VPN, iPhone via Outlook, Mac, et impression avec options (couleur, recto-verso).

Plan de retour (rollback)

Conservez imperativement les partages d’impression on-premises actifs pendant les six premiers mois de production. En cas de probleme majeur :

1. Dans le portail, Universal Print → Connectors, selectionnez le connecteur et cliquez sur Disable. Les imprimantes basculent en « Offline » cote cloud.
2. Les utilisateurs reutilisent les partages traditionnels (\\serveur\imprimante), qui doivent rester publies.
3. Pour un rollback cible, retirez simplement le groupe de la liste des membres du partage : les utilisateurs perdent l’imprimante cloud sans toucher au reste.
4. Documentez l’incident et le retour en arriere dans votre outil de gestion des incidents.

Depannage

Securite, changement et bonnes pratiques

Moindre privilege : n’attribuez le role Administrateur d’imprimante qu’au compte qui realise l’enregistrement ; pour l’exploitation quotidienne, le role Technicien d’imprimante suffit. N’utilisez pas de compte administrateur global pour ces operations. Ne stockez aucun secret en clair dans vos scripts ; appuyez-vous sur l’authentification interactive de Microsoft Graph ou sur un principal de service avec un certificat.

Flux reseau : seule une sortie HTTPS 443 vers *.print.microsoft.com est necessaire. N’exposez jamais le serveur d’impression en entree depuis Internet.

Audit et conformite : activez l’envoi des journaux Universal Print vers un espace de travail Log Analytics (Diagnostic settings). Vous pourrez alors tracer qui a imprime quoi, quand et sur quelle imprimante, ce qui facilite les audits internes et le respect des obligations de protection des renseignements personnels.

Alertes recommandees : connecteur en etat « Offline » depuis plus de 15 minutes, volume anormal de travaux (boucle ou abus potentiel), approche du quota de licences.

Cadrage ITIL : l’installation initiale du connecteur et la bascule par departement constituent un changement normal a soumettre au comite consultatif des changements (CAB). Planifiez une fenetre de maintenance pour l’installation et la premiere vague. Le pilote releve d’un changement standard a faible risque une fois le modele valide. Rattachez le suivi post-deploiement a la gestion des incidents (une semaine de surveillance renforcee par vague) et documentez le retrait du serveur comme un changement distinct, a planifier apres au moins six mois de production stable.

A retenir

Universal Print modernise l’impression d’une PME sans jeter l’infrastructure existante : le connecteur reutilise votre serveur et vos pilotes, tandis que la gestion des acces bascule vers des groupes Entra ID faciles a auditer. La cle d’un deploiement reussi tient dans la methode : un pilote restreint, une extension par vagues, une validation bout en bout a chaque etape et le maintien des partages on-premises pour garantir un retour arriere immediat. Commencez par un pilote de quelques utilisateurs, mesurez, puis etendez departement par departement. Lorsque les journaux confirment que toutes les impressions passent par le cloud, planifiez le retrait du serveur comme un changement a part entiere.