на любом ethernet принтере есть usb(ltp) интерфейс который подключаешь на компьютер на котором соответственно крутится твоя самба румба которая понимает принтер через систему cups и твои группы из базы лдап.
естественно ethernet кабель надо обрезать.
Пошарь через самбу+купс, зайди на сервер и найди принтер, назнач права. Самба вроде бы помнит, но должно быть NT ACL. Другой вариант - в самом купсе прописать группу. Левые подключения можно попытаться зарезать поместив принтеры за роутер с фильтрацией по IP (можно просто адреса выдавать принтерам из другой сетки, а круче в влан запихнуть - это по наличию возможности)