Partie 7 · Plateforme, hébergement et intelligence artificielle

Postes Blue Fox OS

Décrire le parc Blue Fox OS dans une fiche, régler les exceptions, partager des postes, suivre et révoquer les machines, garder les phrases de passe.

Symbifox 18.0 (catalogue de septembre 2026) · Modules : Blue Fox OS Policy, Blue Fox OS Zero-Touch Install · Révisé le 2026-10-06

En vidéo

Blue Fox OS est le système des postes de travail que Symbifox installe et configure à distance. Ce chapitre couvre l'application Politique, où une seule fiche décrit tout le parc d'une organisation : ce qui s'installe, comment la session se protège, à quoi ressemble le bureau, et qui a le droit d'installer un poste. Il s'adresse à la personne qui gère le parc, et à celle, distincte, qui garde les phrases de passe des disques. Le résultat visé : un poste neuf s'installe sans réglage à la main, qu'il serve à une personne ou à plusieurs. Un changement fait dans Symbifox rejoint ensuite les postes déjà en service.

Vue d'ensemble#

L'application Politique a six menus. Cinq notions suffisent pour les lire.

• Fiche de l'organisation : les règles communes, une fiche par société. Elle porte l'installation, la connexion, la sécurité, l'apparence de la session, les applications et les extensions du navigateur.
• Exception par personne : une fiche facultative qui ne change que ce qu'elle remplit. Tout champ laissé vide reprend la règle de l'organisation.
• Machine : un poste installé. Il s'inscrit seul pendant son installation, au nom de la personne qui a autorisé l'installation ou d'un profil de poste partagé, puis relit sa politique chaque jour.
• Poste partagé : un poste qui appartient à un profil plutôt qu'à une personne. Le profil décrit un laboratoire, où plusieurs personnes ouvrent une session, ou une réserve de postes prêtés à un emprunteur à la fois.
• Séquestre : la phrase de passe du disque, tirée par l'installateur et déposée chiffrée dans Symbifox. Seule une personne au rôle de Gardien peut la lire, et chaque lecture est inscrite sur la fiche de la machine.

Un poste personnel reçoit toujours la fusion des deux niveaux : la fiche de l'organisation, puis l'exception de la personne par-dessus. Pour les listes (dossiers montés, applications web, applications, extensions), l'exception ajoute ou retire des éléments; elle ne remplace pas la liste entière. Un poste partagé reçoit la fiche de l'organisation et les réglages de son profil, sans l'exception, la photo ni le fuseau de personne.

Ce qui distingue l'approche : le poste n'est plus un objet qu'on configure, c'est le reflet d'une fiche. Le fichier d'installation automatique est servi par Symbifox à partir de cette même fiche, et une modification rejoint les postes en service à leur synchronisation suivante. Quelques réglages restent ceux posés à l'installation : le nom de la machine, sa langue, son clavier et la connexion à l'annuaire (voir Comprendre).

Configuration#

Accès et droits#

Deux rôles, volontairement séparés.

Le droit de Gardien ne découle pas de l'administration. Après l'installation du module, personne ne le porte, pas même l'administrateur qui l'a installé : il faut se l'attribuer explicitement, et ce geste se voit dans le journal de Symbifox. C'est voulu, pour que « qui peut administrer Symbifox » ne devienne pas « qui peut ouvrir tous les disques du parc ».

Paramètres#

Il n'y a rien à régler dans Paramètres. Tout se tient dans la fiche de l'organisation, sous Politique › Valeurs de l'organisation.

Le séquestre des phrases de passe demande une préparation côté serveur : une clé de chiffrement posée hors de la base de données, par la personne qui administre le serveur. L'aide affichée sous la case Séquestrer la phrase de passe du disque dit où la poser. Sans cette clé, l'installateur ne tente rien et fait taper la phrase de passe comme avant.

Données de base#

Trois choses doivent exister avant la première installation.

1. La fiche de l'organisation, avec au moins le domaine et l'image du système (onglet Zéro-contact). Sans image, l'installation automatique est désactivée pour cette organisation.
2. Le fournisseur d'identité de l'organisation, dont les adresses et l'ID client OIDC de l'installateur se saisissent dans les onglets Autorisation et Zéro-contact. C'est lui qui demande la double authentification à la personne qui installe.
3. Les usagers de Symbifox des personnes qui recevront un poste : des usagers internes, actifs, rattachés à la société de la fiche. Une machine personnelle s'inscrit toujours au nom d'un usager existant. Un compte portail, un compte archivé ou un compte d'une autre société ne peut jamais installer un poste, quel que soit le réglage.

Les catalogues d'applications et d'extensions sont facultatifs : sans eux, le poste reçoit la base déjà présente dans l'image du système. Les profils de postes partagés le sont aussi. Ils exigent que l'organisation ouvre les sessions par l'annuaire : ce sont des comptes de l'annuaire, et non des usagers de Symbifox, qui y ouvrent une session.

Premiers pas#

Ce parcours crée la fiche d'une organisation et vous mène jusqu'à un premier poste inscrit.

1. Allez à Politique › Valeurs de l'organisation, puis sélectionnez Nouveau.
2. Choisissez la Société et saisissez le Domaine, l'adresse que la personne tapera au démarrage du poste, sans « https:// » ni « www ».
3. Dans l'onglet Installation, vérifiez la Langue et région, le Fuseau horaire et le clavier; dans l'onglet Zéro-contact, renseignez l'Image OCI, les adresses du fournisseur d'identité et l'ID client OIDC.
4. Dans l'onglet Autorisation, choisissez qui peut installer un poste, puis enregistrez. Une nouvelle fiche part sur Membres des groupes choisis sans aucun groupe : personne ne peut installer tant que vous n'avez pas choisi les Groupes autorisés.
5. Démarrez le poste neuf sur la clé Blue Fox OS, choisissez l'installation automatique au menu de démarrage et saisissez le domaine.
6. Sur le téléphone de la personne qui installe, balayez le code affiché à l'écran du poste et authentifiez-vous. L'installation se poursuit seule.
7. Revenez à Politique › Machines : le poste y paraît, avec son nom, son usager et sa première synchronisation.

Tâches courantes#

Créer la fiche d'une organisation#

Une organisation compte une seule fiche. Symbifox refuse d'en créer une deuxième pour la même société.

1. Allez à Politique › Valeurs de l'organisation, puis sélectionnez Nouveau.
2. Choisissez la Société.
3. Saisissez le Domaine. Laissé vide, il se déduit du site web de la société.
4. Parcourez les onglets dans l'ordre : Autorisation, Installation, Zéro-contact, Connexion, Politiques, Session, Applications, Navigateur.
5. Enregistrez.

La fiche est aussitôt servie aux postes. Quand l'instance porte plusieurs sociétés, chaque fiche doit avoir son domaine : une adresse qui ne correspond à aucune fiche reçoit un refus, jamais la politique d'une autre organisation.

Choisir qui peut installer un poste#

1. Ouvrez la fiche de l'organisation, onglet Autorisation.
2. Dans Qui peut installer, choisissez Membres des groupes choisis, Usagers nommés ou Any internal user of the company (tout usager interne de la société; ce libellé paraît encore en anglais).
3. Selon le choix, remplissez Groupes autorisés ou Usagers autorisés.
4. Au besoin, réglez Revendication d'identité : l'information du fournisseur d'identité (courriel, nom d'usager ou identifiant) comparée à l'identifiant de connexion des usagers de Symbifox.
5. Enregistrez.

Une nouvelle fiche part sur Membres des groupes choisis, sans groupe : elle n'autorise personne tant que vous n'en avez pas choisi. Les fiches déjà en place gardent leur choix. Quel que soit le mode, les comptes portail, les comptes archivés et les comptes d'une autre société sont refusés.

La personne qui s'authentifie est rattachée à un usager par la seule Revendication d'identité, qui doit correspondre exactement à son identifiant de connexion (sans égard aux majuscules). Aucun usager correspondant, ou plus d'un, et l'installation est refusée.

La case Exiger le client d'installation dans le jeton ajoute une vérification : l'authentification doit avoir été faite pour l'installateur de postes, et non pour une autre application du même fournisseur d'identité. Elle est cochée d'office sur une nouvelle fiche; les fiches déjà en place gardent leur valeur. Elle demande un fournisseur qui émet des jetons au format JWT, et l'ID client OIDC de l'onglet Zéro-contact : sans lui, toute installation est refusée. Cochée ou non, le Mot de passe de liaison de l'annuaire ne part qu'à une authentification faite pour l'installateur. En connexion par l'annuaire, un fournisseur sans jetons JWT ne convient donc pas : le poste ne recevrait pas ce mot de passe.

Cette règle se vérifie de nouveau à chaque synchronisation. Retirer une personne du groupe autorisé suffit à couper ses postes : ils gardent la dernière politique reçue, mais n'en reçoivent plus de nouvelle. Un poste partagé ne dépend d'aucune personne : c'est son profil qui doit rester actif.

Régler l'installation, la langue et le clavier#

1. Ouvrez l'onglet Installation.
2. Dans le bloc Régional, vérifiez la Langue et région, le Fuseau horaire et le Modèle de nom d'hôte. La mention « {username} » y est remplacée par l'identifiant de la personne.
3. Laissez Mode du compte root à Verrouillé.
4. Dans le bloc Clavier, réglez à la fois le Disposition de la console et l'Disposition XKB, puis au besoin l'Variante XKB.
5. Enregistrez.

Régler la connexion et la sécurité#

1. Ouvrez l'onglet Connexion et choisissez le Mode de connexion : Comptes locaux, ou les comptes de l'annuaire de l'organisation.
2. Pour l'annuaire, renseignez son adresse, sa base et le compte de service qui l'interroge. Le Mot de passe de liaison ne s'affiche jamais : saisissez-le seulement pour le remplacer.
3. Laissez Compte de secours local coché, sauf décision contraire de votre organisation.
4. Ouvrez l'onglet Politiques. Réglez Permettre la connexion hors ligne et sa durée en jours, Authentification multifacteur exigée et Verrouillage automatique (minutes).
5. Cochez Déverrouillage automatique TPM2 si le disque doit s'ouvrir seul au démarrage, sans phrase de passe à taper. Laissez PCR TPM2 à sa valeur.
6. Cochez Séquestrer la phrase de passe du disque pour mettre les phrases de passe des prochains postes en séquestre.
7. Enregistrez.

Une durée hors ligne à zéro n'expire jamais, et un verrouillage à zéro est désactivé. Le séquestre ne vaut que pour les postes installés après l'avoir coché.

Le Mot de passe de liaison n'est remis au poste qu'à son installation : la synchronisation ne le renvoie jamais. Le changer ici n'atteint donc pas les postes déjà installés, qui gardent celui reçu à l'installation jusqu'à leur réinstallation. Tenez-en compte avant de changer le mot de passe du compte de service dans l'annuaire.

Régler l'apparence de la session#

1. Ouvrez l'onglet Session.
2. Saisissez l'Couleur d'accent et l'adresse du fond d'écran dans URL du fond d'écran.
3. Choisissez le Format de l'horloge : 24 h ou 12 h (AM/PM).
4. Sous Montages par défaut, ajoutez une ligne par dossier Nextcloud à monter : un nom, le chemin distant, l'emplacement sur le poste.
5. Sous Applications web par défaut, ajoutez les applications web à installer, et cochez Épinglée pour les épingler.
6. Enregistrez.

L'horloge s'ajuste seule à la personne : quand son fuseau diffère de celui de l'organisation, une seconde horloge paraît, à l'heure de l'organisation. Ce n'est pas un réglage.

Choisir les applications installées#

L'image du système contient déjà Brave, Thunderbird, Nextcloud et Bitwarden. La fiche ajoute et retire par-dessus cette base.

1. Ouvrez l'onglet Applications.
2. Dans Applications par défaut, ajoutez les applications à installer en plus.
3. Dans Applications à retirer, ajoutez celles de la base à retirer.
4. Enregistrez.

La sélection ne propose d'abord que les applications Recommandées BF. Retirez ce filtre pour choisir dans tout le catalogue. Une application présente dans les deux listes est retirée : le retrait l'emporte.

Tenir le catalogue d'applications#

Le catalogue est vide après l'installation du module. Il se remplit en une fois depuis Flathub, la bibliothèque d'applications de Blue Fox OS.

1. Allez à Politique › Catalogue Flatpak.
2. Si la liste est vide, ajoutez une première ligne à la main avec l'identifiant d'une application, par exemple « com.brave.Browser ».
3. Cochez une ligne, ouvrez le menu Action et sélectionnez Synchroniser Flathub.
4. Attendez la notification, qui donne le nombre d'applications ajoutées et mises à jour.
5. Activez la bascule Recommandée BF des applications à proposer par défaut.

Le menu Action n'apparaît qu'une fois une ligne cochée. La synchronisation ne touche jamais aux choix de recommandation. Elle ne se lance pas seule : relancez-la quand vous voulez rafraîchir le catalogue.

Imposer des extensions de navigateur#

Les extensions imposées s'installent d'office dans Brave, et la personne ne peut pas les retirer.

1. Allez à Politique › Extensions de navigateur pour voir le catalogue. Il compte d'office Symbifox Signets, Symbifox Tokens et Bitwarden.
2. Pour ajouter une extension de la boutique Chrome, ajoutez une ligne avec son nom et son Identifiant d'extension, les 32 lettres qui terminent l'adresse de sa fiche dans la boutique. Gardez la Source à Chrome Web Store.
3. Ouvrez la fiche de l'organisation, onglet Navigateur.
4. Ajoutez les extensions à imposer, puis enregistrez.

Aucune extension n'est imposée d'office. Les extensions Symbifox sont servies par votre propre instance. La case Transmettre l'adresse de l'instance pré-remplit l'adresse de votre Symbifox dans l'extension; l'accès reste accordé par la personne.

Faire une exception pour une personne#

1. Allez à Politique › Surcharges par usager, puis sélectionnez Nouveau.
2. Choisissez le Usager et la Société.
3. Ne remplissez que ce qui change : couleur, fond d'écran, format de l'horloge, déverrouillage automatique du disque, langue, fuseau ou clavier.
4. Ajoutez au besoin des dossiers, des applications web, des applications ou des extensions en plus.
5. Utilisez Applications à retirer et Extensions de navigateur à ignorer pour soustraire ce que la fiche de l'organisation impose.
6. Enregistrez.

Le fuseau suit une règle à trois niveaux : l'exception d'abord, puis la préférence de fuseau de l'usager dans Symbifox, puis la fiche de l'organisation. Ne remplissez-le ici que pour fixer un poste à un fuseau qui n'est pas celui de la personne. Une exception ne touche jamais un poste partagé, même quand la personne y ouvre une session.

Afficher la photo de la personne à la connexion#

L'écran de connexion du poste montre le visage de la personne. Il n'y a rien à activer.

1. Ouvrez la fiche employé de la personne dans l'application Employés.
2. Déposez une photo au format PNG ou JPEG.
3. Attendez la synchronisation suivante du poste.

Sans fiche employé, la photo de l'usager sert. L'avatar à initiales que Symbifox génère par défaut n'est pas envoyé, parce que le poste ne sait pas l'afficher. Un poste partagé ne reçoit la photo de personne.

Obtenir le fichier d'installation automatique#

Le fichier d'installation est servi par votre Symbifox, à partir de la fiche de l'organisation. Personne n'a à le télécharger : le poste le demande lui-même quand on saisit le domaine au démarrage.

1. Ouvrez la fiche de l'organisation, onglet Zéro-contact.
2. Vérifiez l'Image OCI, le Nom affiché du locataire et les adresses du bloc Amorçage du flux d'appareil OIDC.
3. Pour le vérifier, ouvrez https://votre-domaine/blue-fox-install.ks dans un navigateur, avec le domaine de la fiche.
4. Un fichier texte s'affiche : l'installation automatique est prête pour ce domaine.

La langue, le clavier et le fuseau du fichier viennent de l'onglet Installation. Une Image OCI vide désactive l'installation automatique : l'adresse répond alors que rien n'est configuré pour ce domaine. Le fichier ne contient aucun secret.

Créer un profil de poste partagé#

Un profil décrit une famille de postes partagés : un laboratoire, ou une réserve de postes à prêter. Préalable : le Mode de connexion de l'organisation est l'annuaire, et les groupes qui ouvriront une session existent dans l'annuaire.

1. Allez à Politique › Postes partagés, puis sélectionnez Nouveau.
2. Saisissez le nom du profil en titre, par exemple « Laboratoire de la bibliothèque ».
3. Saisissez le Code : de 2 à 32 lettres minuscules, chiffres ou tirets, par exemple « labo-biblio ».
4. Choisissez le Type, Laboratoire (plusieurs personnes) ou Prêt (un emprunteur), puis l'Organisation.
5. Sous Qui ouvre une session, saisissez les Groupes autorisés à ouvrir une session : des noms de groupes de l'annuaire, séparés par des virgules ou des espaces.
6. Sous Session et Applications, réglez ce qui diffère de l'organisation : verrouillage, connexion hors ligne, applications et extensions.
7. Enregistrez.

Les postes du profil prennent leur nom du Modèle de nom d'hôte. « {code} » y devient le code du profil, et « {n} » un numéro à trois chiffres qui augmente à chaque poste. Prochain numéro dit lequel viendra. Un code ne sert qu'une fois par organisation. Pour un profil de prêt, gardez les groupes au personnel TI : l'emprunteur s'ajoute poste par poste. Cochez Permettre la connexion hors ligne pour un poste qui va à la maison; laissez-la décochée pour un laboratoire, toujours sur le réseau.

Pour retirer un profil, archivez-le (menu Action › Archiver) : ses postes cessent de recevoir leur politique à leur synchronisation suivante, et aucun nouveau poste ne s'y inscrit. Un profil archivé reste dans la liste, avec le ruban Archivé. Un profil qui a des postes, même révoqués, ne se supprime pas.

Installer un poste partagé#

Un poste partagé s'installe comme un poste personnel, avec le code de son profil en plus. La personne qui installe s'authentifie comme d'habitude, mais le poste ne devient pas le sien.

Préalable : un profil de poste partagé actif, et le droit d'installer un poste pour la personne qui installe.

1. Démarrez le poste neuf sur la clé Blue Fox OS.
2. Au menu de démarrage, placez-vous sur l'installation automatique et appuyez sur E pour modifier sa ligne de démarrage.
3. À la fin de la ligne qui lance le noyau, ajoutez « bfos.poste= » suivi du code du profil, par exemple « bfos.poste=labo-biblio », puis démarrez (Ctrl+X).
4. Saisissez le domaine, puis faites autoriser l'installation au téléphone, comme pour un poste personnel.
5. Revenez à Politique › Machines : le poste y paraît sous le nom tiré du profil.

Sur la fiche du poste, Profil de poste partagé remplace Usager, et la personne qui a installé paraît dans Enrôlé par. Le poste reçoit la politique de son profil, sans les réglages personnels de personne. Un code mal formé est ignoré : le poste s'installe alors comme un poste personnel, au nom de la personne qui autorise. Un code inconnu ou archivé fait refuser la politique : le poste s'installe sur les réglages par défaut, sans s'inscrire.

Pour un poste de prêt, inscrivez le nom d'usager de l'emprunteur dans l'annuaire dans Emprunteurs autorisés à ouvrir une session, sur la fiche du poste. Le poste s'ouvre à cette personne à sa synchronisation suivante; videz le champ au retour. Avec l'application École, le prêt d'un poste remplit et vide ce champ pour vous. Un poste partagé sans groupe ni emprunteur ne s'ouvre à personne de l'annuaire : seul le Compte de secours local, s'il est gardé, y ouvre encore une session.

Voir les machines inscrites#

1. Allez à Politique › Machines.
2. Lisez Vue le : c'est la date de la dernière synchronisation réussie.
3. Utilisez le filtre Jamais synchronisée pour trouver les postes inscrits qui n'ont jamais relu leur politique.
4. Regroupez par Usager pour voir tous les postes d'une personne, ou par Profil de poste partagé pour ceux d'un laboratoire ou d'une réserve de prêt.
5. Utilisez le filtre Shared seats (postes partagés; ce libellé paraît encore en anglais) pour ne garder que les postes partagés.

Une réinstallation crée une nouvelle fiche : l'ancienne reste, et c'est Vue le qui dit laquelle est encore vivante. Révoquez l'ancienne.

Un poste appartient soit à une personne, soit à un profil de poste partagé, jamais aux deux. Enrôlé par garde la personne qui a autorisé l'installation : pour un poste personnel, c'est la même; pour un poste partagé, c'est l'installateur, qui n'en devient pas propriétaire. Une fiche reste attachée à son propriétaire et à son organisation : personne d'autre ne peut la reprendre à son nom. Pour remettre un poste personnel à une autre personne, réinstallez-le et faites autoriser l'installation par elle : le poste obtient une nouvelle fiche à son nom. Révoquez ensuite l'ancienne fiche.

Révoquer une machine#

Révoquez un poste perdu, volé, remplacé ou qui quitte l'organisation.

1. Ouvrez la machine sous Politique › Machines.
2. Sélectionnez Révoquer et confirmez.
3. Vérifiez le ruban Révoquée sur la fiche.

La machine est coupée à sa synchronisation suivante et ne peut plus se réinscrire. Révoquer n'efface rien sur le poste : il garde sa dernière politique connue. Les machines révoquées se retrouvent avec le filtre Révoquées.

Lire une phrase de passe en séquestre#

Préalable : porter le droit de Gardien. La phrase sert quand le disque ne s'ouvre plus seul, par exemple après un changement de carte mère.

1. Ouvrez la machine sous Politique › Machines. La case Phrase séquestrée doit être cochée.
2. Sélectionnez Révéler la phrase de passe.
3. Lisez l'avertissement et confirmez.
4. Sélectionnez la phrase dans la fenêtre pour la copier, ou dictez-la.
5. Sélectionnez Fermer dès que vous avez ce qu'il vous faut.

La lecture est inscrite avant même que la phrase s'affiche : Révélations augmente de un, Dernière révélation et Révélée par prennent l'heure et votre nom. La fenêtre n'a pas de bouton de copie, à dessein.

La fenêtre Phrase de passe du disque ne s'ouvre que par ce bouton, et seule la personne qui l'a ouverte la voit. Au bout de cinq minutes, elle n'affiche plus la phrase : sélectionnez de nouveau Révéler la phrase de passe, ce qui compte une nouvelle lecture.

Retirer une phrase du séquestre#

Retirez le dépôt quand le disque a été détruit ou réinitialisé : garder la clé d'un disque qui n'existe plus n'a que des inconvénients.

1. Ouvrez la machine, en tant que Gardien.
2. Sélectionnez Retirer le séquestre et confirmez.

Le retrait est définitif. La phrase est irrécupérable ensuite. C'est le seul moyen d'effacer une phrase en séquestre : un dépôt existant n'est jamais remplacé, pas même par la personne à qui appartient le poste.

Donner le rôle de Gardien à une personne#

1. Activez le mode développeur.
2. Allez à Paramètres › Utilisateurs et sociétés › Groupes.
3. Ouvrez le groupe dont le nom se termine par « Peut révéler les phrases de passe de disque ».
4. Dans l'onglet Utilisateurs, ajoutez la personne, puis enregistrez.

Confiez ce rôle à peu de personnes, et pas forcément aux mêmes que celles qui gèrent le parc.

Les menus, un à un#

Tous les menus vivent sous l'application Politique, visible des seuls gestionnaires du parc.

• Politique › Valeurs de l'organisation : la liste des fiches d'organisation, une par société. Colonnes : Société, Domaine, Qui peut installer, Mode de connexion, Authentification multifacteur exigée et Permettre la connexion hors ligne. C'est l'écran d'entrée du chapitre.
• Politique › Surcharges par usager : les exceptions par personne, avec l'usager, la société et la couleur d'accent. Une personne a au plus une exception par société.
• Politique › Catalogue Flatpak : le catalogue d'applications, les recommandées en tête. La liste se modifie sur place. Le filtre Recommandées BF et le regroupement Recommandée servent à tenir la courte liste.
• Politique › Extensions de navigateur : le catalogue d'extensions, modifiable sur place, avec la bascule Recommandée BF, l'identifiant, la source, l'adresse de l'instance et une note.
• Politique › Machines : les postes inscrits, du plus récemment vu au plus ancien. Colonnes : Nom d'hôte, Usager, Profil de poste partagé, Organisation, Vue le, Synchronisations et Phrase séquestrée. Les colonnes Emprunteurs autorisés à ouvrir une session, Version de l'image, Dernière IP, Enrôlée le et Séquestrée le s'ajoutent au besoin.
• Politique › Postes partagés : les profils de postes partagés, archivés compris. Colonnes : Nom, Code, Type, Organisation, Groupes autorisés à ouvrir une session et Nombre de postes. Le formulaire d'un profil liste au bas ses postes, avec leurs emprunteurs et leur dernière synchronisation.

Référence#

Champs de la fiche de l'organisation#

Champs de la fiche Machine#

Champs du profil de poste partagé#

Rapports et exports#

Aucun rapport imprimé. Les listes s'exportent comme toutes les listes de Symbifox. Aucune phrase de passe ne sort par un export : seul le bouton de lecture l'affiche.

Automatisations#

Le catalogue d'applications ne se rafraîchit jamais seul : la synchronisation Flathub se lance à la main.

Pages publiques et portail#

Aucune page portail. Le module sert aux postes quelques adresses techniques, que seuls les postes utilisent. Le fichier d'installation, /blue-fox-install.ks, est public et ne contient aucun secret; la politique elle-même n'est remise qu'à une personne authentifiée auprès du fournisseur d'identité et autorisée, ou à une machine inscrite. Le Mot de passe de liaison n'y figure que pour une authentification faite pour l'installateur, même case Exiger le client d'installation dans le jeton décochée; une synchronisation ne le reçoit jamais. Une session Symbifox ouverte dans le navigateur ne donne pas accès à la politique.

Modules qui enrichissent cette application#

Comprendre#

Pourquoi le poste relit sa politique seul. À l'installation, la machine reçoit une identité qui lui est propre, distincte de celle de la personne qui l'a installée. Chaque jour, elle relit sa politique avec cette identité. Symbifox n'en garde qu'une empreinte : même une copie complète de la base ne permet pas de se faire passer pour la machine.

Pourquoi révoquer ne verrouille pas le poste. La révocation coupe le lien, elle n'efface rien. Un poste révoqué garde sa dernière politique connue, pour qu'il ne se retrouve jamais sans configuration. Pour reprendre un poste en main, réinstallez-le.

Pourquoi le Gardien est un rôle à part. La politique d'un parc est une tâche d'administration, une phrase de passe de disque ne l'est pas. Le module sépare donc les deux, et fait de chaque lecture un geste compté, daté et signé.

Pourquoi le séquestre ne s'ajoute pas après coup. La phrase est tirée par l'installateur et déposée pendant l'installation, au seul moment où une personne autorisée est présente. Un poste installé avant l'activation du séquestre, ou dont le dépôt a échoué, garde une phrase tapée à la main, que seule cette personne connaît. Pour le couvrir, il faut le réinstaller.

Pourquoi une phrase en séquestre n'est jamais remplacée. Un dépôt ne se remplace pas par un nouveau, même venant du poste lui-même. Une réinstallation normale crée une nouvelle fiche et n'est pas concernée. Pour déposer une autre phrase sur la même fiche, le Gardien retire d'abord l'ancienne, geste réservé et tracé.

Pourquoi le séquestre échoue en sécurité. Si la clé de chiffrement manque au serveur, l'installateur n'utilise pas la phrase qu'il a tirée : il fait taper une phrase, comme avant. Un poste chiffré par une phrase que personne ne détient serait pire que les deux autres cas.

Pourquoi un poste partagé n'appartient à personne. Un poste de laboratoire sert à toute une classe, un poste prêté change d'emprunteur sans être réinstallé. Le lier à la personne qui l'installe lui donnerait la politique, la photo et le fuseau de cette personne. Le poste appartient donc à son profil, et son nom vient du compteur du profil. La personne qui installe reste visible dans Enrôlé par; elle seule, ou un administrateur, peut rejouer l'inscription du poste.

Pourquoi un poste partagé exige l'annuaire. Avec des comptes locaux, l'installateur ne crée qu'un compte, celui de la personne qui installe. Un poste partagé doit au contraire s'ouvrir à des groupes de l'annuaire. Symbifox refuse donc un profil actif pour une organisation en comptes locaux, et cesse de servir un poste partagé dont l'organisation y repasse.

Pourquoi un poste partagé vide ne s'ouvre à personne. Une liste d'accès vide laisserait entrer tout l'annuaire. Un poste de prêt revenu sur la tablette, sans groupe ni emprunteur, se ferme donc à tout l'annuaire. Seul le compte de secours local y ouvre encore une session.

Ce que l'installation fait si le réseau tombe. Elle ne s'interrompt pas : elle retombe sur les réglages par défaut. Un poste installé ainsi peut ne pas être inscrit; il ne paraît alors pas sous Machines et ne suivra pas les changements de politique.

Ce qui ne change plus après l'installation. Le nom de la machine, la langue et le clavier restent ceux posés à l'installation. La connexion à l'annuaire aussi. Le Mot de passe de liaison n'est remis qu'à l'installation, jamais par la synchronisation. Sur un poste personnel, la synchronisation ne réécrit pas cette connexion, ni donc la connexion hors ligne qu'elle porte. Un poste partagé, lui, reçoit à chaque synchronisation la liste de qui peut y ouvrir une session. Les autres réglages suivent la fiche.

Dépannage#

Voir aussi#

• Mises à jour du parc
• Gestion d'hébergement
• Paramètres et identité de marque
• Employés
• École
• Nextcloud et Collabora
• Applications mobiles et extension