Partie 7 · Plateforme, hébergement et intelligence artificielle

Postes Blue Fox OS

Décrire le parc de postes Blue Fox OS dans une fiche, régler les exceptions par personne, suivre et révoquer les machines, garder les phrases de passe de disque.

Symbifox 18.0 (catalogue de septembre 2026) · Modules : Blue Fox OS Policy, Blue Fox OS Zero-Touch Install · Révisé le 2026-09-26

Blue Fox OS est le système des postes de travail que Symbifox installe et configure à distance. Ce chapitre couvre l'application Politique, où une seule fiche décrit tout le parc d'une organisation : ce qui s'installe, comment la session se protège, à quoi ressemble le bureau, et qui a le droit d'installer un poste. Il s'adresse à la personne qui gère le parc, et à celle, distincte, qui garde les phrases de passe des disques. Le résultat visé : un poste neuf s'installe sans réglage à la main, et un changement fait dans Symbifox rejoint les postes déjà en service.

Vue d'ensemble#

L'application Politique a cinq menus. Quatre notions suffisent pour les lire.

• Fiche de l'organisation : les règles communes, une fiche par société. Elle porte l'installation, la connexion, la sécurité, l'apparence de la session, les applications et les extensions du navigateur.
• Exception par personne : une fiche facultative qui ne change que ce qu'elle remplit. Tout champ laissé vide reprend la règle de l'organisation.
• Machine : un poste installé. Il s'inscrit seul pendant son installation, au nom de la personne qui a autorisé l'installation, puis relit sa politique chaque jour.
• Séquestre : la phrase de passe du disque, tirée par l'installateur et déposée chiffrée dans Symbifox. Seule une personne au rôle de Gardien peut la lire, et chaque lecture est inscrite sur la fiche de la machine.

Un poste reçoit toujours la fusion des deux niveaux : la fiche de l'organisation, puis l'exception de la personne par-dessus. Pour les listes (dossiers montés, applications web, applications, extensions), l'exception ajoute ou retire des éléments; elle ne remplace pas la liste entière.

Ce qui distingue l'approche : le poste n'est plus un objet qu'on configure, c'est le reflet d'une fiche. Le fichier d'installation automatique est servi par Symbifox à partir de cette même fiche, et une modification rejoint les postes en service à leur synchronisation suivante. Le nom de la machine, sa langue et son clavier restent ceux posés à l'installation.

Configuration#

Accès et droits#

Deux rôles, volontairement séparés.

Le droit de Gardien ne découle pas de l'administration. Après l'installation du module, personne ne le porte, pas même l'administrateur qui l'a installé : il faut se l'attribuer explicitement, et ce geste se voit dans le journal de Symbifox. C'est voulu, pour que « qui peut administrer Symbifox » ne devienne pas « qui peut ouvrir tous les disques du parc ».

Paramètres#

Il n'y a rien à régler dans Paramètres. Tout se tient dans la fiche de l'organisation, sous Politique › Valeurs de l'organisation.

Le séquestre des phrases de passe demande une préparation côté serveur : une clé de chiffrement posée hors de la base de données, par la personne qui administre le serveur. L'aide affichée sous la case Séquestrer la phrase de passe du disque dit où la poser. Sans cette clé, l'installateur ne tente rien et fait taper la phrase de passe comme avant.

Données de base#

Trois choses doivent exister avant la première installation.

1. La fiche de l'organisation, avec au moins le domaine et l'image du système (onglet Zéro-contact). Sans image, l'installation automatique est désactivée pour cette organisation.
2. Le fournisseur d'identité de l'organisation, dont les adresses se saisissent dans les onglets Autorisation et Zéro-contact. C'est lui qui demande la double authentification à la personne qui installe.
3. Les usagers de Symbifox des personnes qui recevront un poste : des usagers internes, actifs, rattachés à la société de la fiche. Une machine s'inscrit toujours au nom d'un usager existant. Un compte portail, un compte archivé ou un compte d'une autre société ne peut jamais installer un poste, quel que soit le réglage.

Les catalogues d'applications et d'extensions sont facultatifs : sans eux, le poste reçoit la base déjà présente dans l'image du système.

Premiers pas#

Ce parcours crée la fiche d'une organisation et vous mène jusqu'à un premier poste inscrit.

1. Allez à Politique › Valeurs de l'organisation, puis sélectionnez Nouveau.
2. Choisissez la Société et saisissez le Domaine, l'adresse que la personne tapera au démarrage du poste, sans « https:// » ni « www ».
3. Dans l'onglet Installation, vérifiez la Langue et région, le Fuseau horaire et le clavier; dans l'onglet Zéro-contact, renseignez l'Image OCI et les adresses du fournisseur d'identité.
4. Dans l'onglet Autorisation, choisissez qui peut installer un poste, puis enregistrez. Une nouvelle fiche part sur Membres des groupes choisis sans aucun groupe : personne ne peut installer tant que vous n'avez pas choisi les Groupes autorisés.
5. Démarrez le poste neuf sur la clé Blue Fox OS, choisissez l'installation automatique au menu de démarrage et saisissez le domaine.
6. Sur le téléphone de la personne qui installe, balayez le code affiché à l'écran du poste et authentifiez-vous. L'installation se poursuit seule.
7. Revenez à Politique › Machines : le poste y paraît, avec son nom, son usager et sa première synchronisation.

Tâches courantes#

Créer la fiche d'une organisation#

Une organisation compte une seule fiche. Symbifox refuse d'en créer une deuxième pour la même société.

1. Allez à Politique › Valeurs de l'organisation, puis sélectionnez Nouveau.
2. Choisissez la Société.
3. Saisissez le Domaine. Laissé vide, il se déduit du site web de la société.
4. Parcourez les onglets dans l'ordre : Autorisation, Installation, Zéro-contact, Connexion, Politiques, Session, Applications, Navigateur.
5. Enregistrez.

La fiche est aussitôt servie aux postes. Quand l'instance porte plusieurs sociétés, chaque fiche doit avoir son domaine : une adresse qui ne correspond à aucune fiche reçoit un refus, jamais la politique d'une autre organisation.

Choisir qui peut installer un poste#

1. Ouvrez la fiche de l'organisation, onglet Autorisation.
2. Dans Qui peut installer, choisissez Membres des groupes choisis, Usagers nommés ou Any internal user of the company (tout usager interne de la société; ce libellé paraît encore en anglais).
3. Selon le choix, remplissez Groupes autorisés ou Usagers autorisés.
4. Au besoin, réglez Revendication d'identité : l'information du fournisseur d'identité (courriel, nom d'usager ou identifiant) comparée à l'identifiant de connexion des usagers de Symbifox.
5. Enregistrez.

Une nouvelle fiche part sur Membres des groupes choisis, sans groupe : elle n'autorise personne tant que vous n'en avez pas choisi. Les fiches déjà en place gardent leur choix. Quel que soit le mode, les comptes portail, les comptes archivés et les comptes d'une autre société sont refusés.

La personne qui s'authentifie est rattachée à un usager par la seule Revendication d'identité, qui doit correspondre exactement à son identifiant de connexion (sans égard aux majuscules). Aucun usager correspondant, ou plus d'un, et l'installation est refusée. La case Exiger le client d'installation dans le jeton ajoute une vérification : l'authentification doit avoir été faite pour l'installateur de postes, et non pour une autre application du même fournisseur d'identité. Elle demande un fournisseur qui émet des jetons au format JWT; laissez-la décochée si vous n'en êtes pas sûr.

Cette règle se vérifie de nouveau à chaque synchronisation. Retirer une personne du groupe autorisé suffit à couper ses postes : ils gardent la dernière politique reçue, mais n'en reçoivent plus de nouvelle.

Régler l'installation, la langue et le clavier#

1. Ouvrez l'onglet Installation.
2. Dans le bloc Régional, vérifiez la Langue et région, le Fuseau horaire et le Modèle de nom d'hôte. La mention « {username} » y est remplacée par l'identifiant de la personne.
3. Laissez Mode du compte root à Verrouillé.
4. Dans le bloc Clavier, réglez à la fois le Disposition de la console et l'Disposition XKB, puis au besoin l'Variante XKB.
5. Enregistrez.

Régler la connexion et la sécurité#

1. Ouvrez l'onglet Connexion et choisissez le Mode de connexion : Comptes locaux, ou les comptes de l'annuaire de l'organisation.
2. Pour l'annuaire, renseignez son adresse, sa base et le compte de service qui l'interroge. Le Mot de passe de liaison ne s'affiche jamais : saisissez-le seulement pour le remplacer.
3. Laissez Compte de secours local coché, sauf décision contraire de votre organisation.
4. Ouvrez l'onglet Politiques. Réglez Permettre la connexion hors ligne et sa durée en jours, Authentification multifacteur exigée et Verrouillage automatique (minutes).
5. Cochez Déverrouillage automatique TPM2 si le disque doit s'ouvrir seul au démarrage, sans phrase de passe à taper. Laissez PCR TPM2 à sa valeur.
6. Cochez Séquestrer la phrase de passe du disque pour mettre les phrases de passe des prochains postes en séquestre.
7. Enregistrez.

Une durée hors ligne à zéro n'expire jamais, et un verrouillage à zéro est désactivé. Le séquestre ne vaut que pour les postes installés après l'avoir coché.

Régler l'apparence de la session#

1. Ouvrez l'onglet Session.
2. Saisissez l'Couleur d'accent et l'adresse du fond d'écran dans URL du fond d'écran.
3. Choisissez le Format de l'horloge : 24 h ou 12 h (AM/PM).
4. Sous Montages par défaut, ajoutez une ligne par dossier Nextcloud à monter : un nom, le chemin distant, l'emplacement sur le poste.
5. Sous Applications web par défaut, ajoutez les applications web à installer, et cochez Épinglée pour les épingler.
6. Enregistrez.

L'horloge s'ajuste seule à la personne : quand son fuseau diffère de celui de l'organisation, une seconde horloge paraît, à l'heure de l'organisation. Ce n'est pas un réglage.

Choisir les applications installées#

L'image du système contient déjà Brave, Thunderbird, Nextcloud et Bitwarden. La fiche ajoute et retire par-dessus cette base.

1. Ouvrez l'onglet Applications.
2. Dans Applications par défaut, ajoutez les applications à installer en plus.
3. Dans Applications à retirer, ajoutez celles de la base à retirer.
4. Enregistrez.

La sélection ne propose d'abord que les applications Recommandées BF. Retirez ce filtre pour choisir dans tout le catalogue. Une application présente dans les deux listes est retirée : le retrait l'emporte.

Tenir le catalogue d'applications#

Le catalogue est vide après l'installation du module. Il se remplit en une fois depuis Flathub, la bibliothèque d'applications de Blue Fox OS.

1. Allez à Politique › Catalogue Flatpak.
2. Si la liste est vide, ajoutez une première ligne à la main avec l'identifiant d'une application, par exemple « com.brave.Browser ».
3. Cochez une ligne, ouvrez le menu Action et sélectionnez Synchroniser Flathub.
4. Attendez la notification, qui donne le nombre d'applications ajoutées et mises à jour.
5. Activez la bascule Recommandee BF des applications à proposer par défaut.

La synchronisation ne touche jamais aux choix de recommandation. Elle ne se lance pas seule : relancez-la quand vous voulez rafraîchir le catalogue.

Imposer des extensions de navigateur#

Les extensions imposées s'installent d'office dans Brave, et la personne ne peut pas les retirer.

1. Allez à Politique › Extensions de navigateur pour voir le catalogue. Il compte d'office Symbifox Signets, Symbifox Tokens et Bitwarden.
2. Pour ajouter une extension de la boutique Chrome, ajoutez une ligne avec son nom et son Identifiant d'extension, les 32 lettres qui terminent l'adresse de sa fiche dans la boutique. Gardez la Source à Chrome Web Store.
3. Ouvrez la fiche de l'organisation, onglet Navigateur.
4. Ajoutez les extensions à imposer, puis enregistrez.

Aucune extension n'est imposée d'office. Les extensions Symbifox sont servies par votre propre instance. La case Transmettre l'adresse de l'instance pré-remplit l'adresse de votre Symbifox dans l'extension; l'accès reste accordé par la personne.

Faire une exception pour une personne#

1. Allez à Politique › Surcharges par usager, puis sélectionnez Nouveau.
2. Choisissez le Usager et la Société.
3. Ne remplissez que ce qui change : couleur, fond d'écran, format de l'horloge, déverrouillage automatique du disque, langue, fuseau ou clavier.
4. Ajoutez au besoin des dossiers, des applications web, des applications ou des extensions en plus.
5. Utilisez Applications à retirer et Extensions de navigateur à ignorer pour soustraire ce que la fiche de l'organisation impose.
6. Enregistrez.

Le fuseau suit une règle à trois niveaux : l'exception d'abord, puis la préférence de fuseau de l'usager dans Symbifox, puis la fiche de l'organisation. Ne remplissez-le ici que pour fixer un poste à un fuseau qui n'est pas celui de la personne.

Afficher la photo de la personne à la connexion#

L'écran de connexion du poste montre le visage de la personne. Il n'y a rien à activer.

1. Ouvrez la fiche employé de la personne dans l'application Employés.
2. Déposez une photo au format PNG ou JPEG.
3. Attendez la synchronisation suivante du poste.

Sans fiche employé, la photo de l'usager sert. L'avatar à initiales que Symbifox génère par défaut n'est pas envoyé, parce que le poste ne sait pas l'afficher.

Obtenir le fichier d'installation automatique#

Le fichier d'installation est servi par votre Symbifox, à partir de la fiche de l'organisation. Personne n'a à le télécharger : le poste le demande lui-même quand on saisit le domaine au démarrage.

1. Ouvrez la fiche de l'organisation, onglet Zéro-contact.
2. Vérifiez l'Image OCI, le Nom affiché du locataire et les adresses du bloc Amorçage du flux d'appareil OIDC.
3. Pour le vérifier, ouvrez https://votre-domaine/blue-fox-install.ks dans un navigateur, avec le domaine de la fiche.
4. Un fichier texte s'affiche : l'installation automatique est prête pour ce domaine.

La langue, le clavier et le fuseau du fichier viennent de l'onglet Installation. Une Image OCI vide désactive l'installation automatique : l'adresse répond alors que rien n'est configuré pour ce domaine. Le fichier ne contient aucun secret.

Voir les machines inscrites#

1. Allez à Politique › Machines.
2. Lisez Vue le : c'est la date de la dernière synchronisation réussie.
3. Utilisez le filtre Jamais synchronisee pour trouver les postes inscrits qui n'ont jamais relu leur politique.
4. Regroupez par Usager pour voir tous les postes d'une personne.

Une réinstallation crée une nouvelle fiche : l'ancienne reste, et c'est Vue le qui dit laquelle est encore vivante. Révoquez l'ancienne.

Une fiche de machine reste attachée à la personne et à l'organisation qui l'ont inscrite : personne d'autre ne peut la reprendre à son nom. Pour remettre un poste à une autre personne, réinstallez-le et faites autoriser l'installation par elle : le poste obtient une nouvelle fiche à son nom. Révoquez ensuite l'ancienne fiche.

Révoquer une machine#

Révoquez un poste perdu, volé, remplacé ou qui quitte l'organisation.

1. Ouvrez la machine sous Politique › Machines.
2. Sélectionnez Revoquer et confirmez.
3. Vérifiez le ruban Revoquee sur la fiche.

La machine est coupée à sa synchronisation suivante et ne peut plus se réinscrire. Révoquer n'efface rien sur le poste : il garde sa dernière politique connue. Les machines révoquées se retrouvent avec le filtre Revoquees.

Lire une phrase de passe en séquestre#

Préalable : porter le droit de Gardien. La phrase sert quand le disque ne s'ouvre plus seul, par exemple après un changement de carte mère.

1. Ouvrez la machine sous Politique › Machines. La case Phrase sequestree doit être cochée.
2. Sélectionnez Reveler la phrase de passe.
3. Lisez l'avertissement et confirmez.
4. Sélectionnez la phrase dans la fenêtre pour la copier, ou dictez-la.
5. Sélectionnez Fermer dès que vous avez ce qu'il vous faut.

La lecture est inscrite avant même que la phrase s'affiche : Revelations augmente de un, Derniere revelation et Revelee par prennent l'heure et votre nom. La fenêtre n'a pas de bouton de copie, à dessein.

La fenêtre Phrase de passe du disque ne s'ouvre que par ce bouton, et seule la personne qui l'a ouverte la voit. Au bout de cinq minutes, elle n'affiche plus la phrase : sélectionnez de nouveau Reveler la phrase de passe, ce qui compte une nouvelle lecture.

Retirer une phrase du séquestre#

Retirez le dépôt quand le disque a été détruit ou réinitialisé : garder la clé d'un disque qui n'existe plus n'a que des inconvénients.

1. Ouvrez la machine, en tant que Gardien.
2. Sélectionnez Retirer le sequestre et confirmez.

Le retrait est définitif. La phrase est irrécupérable ensuite. C'est le seul moyen d'effacer une phrase en séquestre : un dépôt existant n'est jamais remplacé, pas même par la personne à qui appartient le poste.

Donner le rôle de Gardien à une personne#

1. Activez le mode développeur.
2. Allez à Paramètres › Utilisateurs et sociétés › Groupes.
3. Ouvrez le groupe dont le nom se termine par « Peut reveler les phrases de passe de disque ».
4. Dans l'onglet Utilisateurs, ajoutez la personne, puis enregistrez.

Confiez ce rôle à peu de personnes, et pas forcément aux mêmes que celles qui gèrent le parc.

Les menus, un à un#

Tous les menus vivent sous l'application Politique, visible des seuls gestionnaires du parc.

• Politique › Valeurs de l'organisation : la liste des fiches d'organisation, une par société. Colonnes : Société, Domaine, Qui peut installer, Mode de connexion, Authentification multifacteur exigée et Permettre la connexion hors ligne. C'est l'écran d'entrée du chapitre.
• Politique › Surcharges par usager : les exceptions par personne, avec l'usager, la société et la couleur d'accent. Une personne a au plus une exception par société.
• Politique › Catalogue Flatpak : le catalogue d'applications, les recommandées en tête. La liste se modifie sur place. Le filtre Recommandées BF et le regroupement Recommandée servent à tenir la courte liste.
• Politique › Extensions de navigateur : le catalogue d'extensions, modifiable sur place, avec la bascule Recommandee BF, l'identifiant, la source, l'adresse de l'instance et une note.
• Politique › Machines : les postes inscrits, du plus récemment vu au plus ancien. Colonnes : Nom d'hôte, Usager, Organisation, Vue le, Synchronisations et Phrase sequestree. Les colonnes Version de l'image, Derniere IP, Enrole le et Sequestre le s'ajoutent au besoin.

Référence#

Champs de la fiche de l'organisation#

Champs de la fiche Machine#

Rapports et exports#

Aucun rapport imprimé. Les listes s'exportent comme toutes les listes de Symbifox. Aucune phrase de passe ne sort par un export : seul le bouton de lecture l'affiche.

Automatisations#

Le catalogue d'applications ne se rafraîchit jamais seul : la synchronisation Flathub se lance à la main.

Pages publiques et portail#

Aucune page portail. Le module sert aux postes quelques adresses techniques, que seuls les postes utilisent. Le fichier d'installation, /blue-fox-install.ks, est public et ne contient aucun secret; la politique elle-même n'est remise qu'à une personne authentifiée auprès du fournisseur d'identité et autorisée, ou à une machine inscrite. Une session Symbifox ouverte dans le navigateur ne donne pas accès à la politique.

Modules qui enrichissent cette application#

Comprendre#

Pourquoi le poste relit sa politique seul. À l'installation, la machine reçoit une identité qui lui est propre, distincte de celle de la personne qui l'a installée. Chaque jour, elle relit sa politique avec cette identité. Symbifox n'en garde qu'une empreinte : même une copie complète de la base ne permet pas de se faire passer pour la machine.

Pourquoi révoquer ne verrouille pas le poste. La révocation coupe le lien, elle n'efface rien. Un poste révoqué garde sa dernière politique connue, pour qu'il ne se retrouve jamais sans configuration. Pour reprendre un poste en main, réinstallez-le.

Pourquoi le Gardien est un rôle à part. La politique d'un parc est une tâche d'administration, une phrase de passe de disque ne l'est pas. Le module sépare donc les deux, et fait de chaque lecture un geste compté, daté et signé.

Pourquoi le séquestre ne s'ajoute pas après coup. La phrase est tirée par l'installateur et déposée pendant l'installation, au seul moment où une personne autorisée est présente. Un poste installé avant l'activation du séquestre, ou dont le dépôt a échoué, garde une phrase tapée à la main, que seule cette personne connaît. Pour le couvrir, il faut le réinstaller.

Pourquoi une phrase en séquestre n'est jamais remplacée. Un dépôt ne se remplace pas par un nouveau, même venant du poste lui-même. Une réinstallation normale crée une nouvelle fiche et n'est pas concernée. Pour déposer une autre phrase sur la même fiche, le Gardien retire d'abord l'ancienne, geste réservé et tracé.

Pourquoi le séquestre échoue en sécurité. Si la clé de chiffrement manque au serveur, l'installateur n'utilise pas la phrase qu'il a tirée : il fait taper une phrase, comme avant. Un poste chiffré par une phrase que personne ne détient serait pire que les deux autres cas.

Ce que l'installation fait si le réseau tombe. Elle ne s'interrompt pas : elle retombe sur les réglages par défaut. Un poste installé ainsi peut ne pas être inscrit; il ne paraît alors pas sous Machines et ne suivra pas les changements de politique.

Ce qui ne change plus après l'installation. Le nom de la machine, la langue et le clavier restent ceux posés à l'installation. Tout le reste suit la fiche.

Dépannage#

Voir aussi#

• Mises à jour du parc
• Gestion d'hébergement
• Paramètres et identité de marque
• Employés
• Nextcloud et Collabora
• Applications mobiles et extension