Nextcloud (cloud personnel)

Nextcloud 🡕 héberge les fichiers, agendas et contacts du réseau. Le service est relié à Kanidm : aucun mot de passe Nextcloud à créer, le compte du réseau suffit.

Sur les postes, le client de bureau est installé et déjà rattaché au compte. Aucune synchronisation n’est mise en place d’office.

Activer le service

etc/config.yaml

hosts:
  - hostname: "server1"
    profile: "server"
    services:
      nextcloud:
        title: "Mon cloud"
        domain: "cloud"

Les secrets du service se génèrent avec ceux du reste du parc, à lancer avant le premier déploiement :

just configure-admin-host

Secret	Rôle
nextcloud-admin-password	Compte d’administration local
nextcloud-whiteboard-secret	Jeton partagé avec le tableau blanc
oidc-secret-nextcloud…	Client OAuth2 du service auprès de Kanidm

Aucun de ces trois secrets n’a de sens pour un humain : ils sont tirés au hasard. Le nom du dernier suit le sous-domaine déclaré (oidc-secret-nextcloud si le service répond sur nextcloud, oidc-secret-nextcloud-cloud s’il répond sur cloud).

Idempotent

La commande n’écrase jamais un secret existant. La relancer après avoir ajouté une instance ne complète que ce qui manque.

Secret manquant = déploiement en échec

sops-nix refuse d’activer la configuration si une entrée manque dans usr/secrets/. Le tableau blanc n’est déployé que si whiteboard figure dans plugins, mais son secret reste attendu.

Options du service

Option	Défaut	Effet
darkone.service.nextcloud.plugins	calendar, contacts	Applications activées
darkone.service.nextcloud.adminUser	admin	Nom du compte d’administration
darkone.service.nextcloud.enableSsoRedirect	true	Renvoie directement vers Kanidm

Redirection SSO

Avec enableSsoRedirect, Nextcloud n’affiche plus son formulaire de connexion et envoie l’utilisateur vers Kanidm. Un clic de moins à chaque connexion, y compris pour le client de bureau.

Le formulaire local disparaît

Le compte d’administration se connecte alors par https://cloud.domain.tld/login?direct=1.

Notifications instantanées

notify_push est activé : les postes reçoivent les changements par websocket au lieu d’interroger le serveur toutes les trente secondes. Charge serveur nettement réduite, synchronisation quasi immédiate.

Vérification depuis le serveur :

sudo -u nextcloud nextcloud-occ notify_push:self-test

Le test réclame l’URL publique du service, donc le reverse proxy de la zone doit être joignable. L’unité réessaie pendant quinze minutes après un déploiement, le temps que la passerelle finisse de démarrer.

Sur les postes de travail

Le client est installé dès qu’un service nextcloud existe sur le réseau.

Option	Défaut	Effet
darkone.home.office.nextcloud.enable	service détecté	Installe le client de bureau
darkone.home.office.nextcloud.server	null	Force une autre instance
darkone.home.office.nextcloud.enableAutoStart	true	Démarre en arrière-plan à l’ouverture de session
darkone.home.office.nextcloud.enableWebdav	true	Fournit l’assistant de liaison du compte
darkone.home.office.nextcloud.syncDir	null	Dossier proposé dans l’assistant

nextcloud.server accepte n’importe quelle URL, y compris une instance externe au réseau.

Deux lanceurs seulement apparaissent dans le menu des applications :

Lanceur	Origine	Rôle
Client de synchronisation Nextcloud	paquet nextcloud-client	Synchronise un dossier local
Webdav Login	framework, si enableWebdav	Rattache le compte au bureau (fichiers, agenda, contacts)

Tout le reste (compte, dossiers, pause) se règle depuis l’icône de barre d’état : le framework n’ajoute plus de lanceur de réglages.

Aucune synchronisation imposée

nextcloud.syncDir vaut null volontairement. L’assistant s’arrête sur la page de choix du dossier et l’utilisateur décide de ce qu’il veut rapatrier, ou de ne rien synchroniser du tout. Renseigner l’option saute cette page, ce qui n’est souhaitable que sur un parc aux comptes homogènes et de petite taille.

L’icône de barre d’état

Sans tray, pas de réglages

Depuis la version 34, le client ne met plus aucune action dans sa fenêtre : celle-ci n’affiche que le flux d’activité. Compte, pause et Paramètres ne vivent plus que dans le menu de l’icône de barre d’état. Perdre cette icône, c’est perdre tout accès aux réglages de synchronisation.

Deux réglages du module GNOME la rendent visible. Un poste sous un autre bureau doit fournir l’équivalent.

Réglage	Valeur	Pourquoi
Extension GNOME	status-tray 🡕	appindicator, l’ancienne, n’affiche plus l’icône du client
qt.platformTheme	qt5ct	gnome prive toutes les applications Qt de barre d’état

Pourquoi pas qt6ct

qt6ct serait le choix naturel pour un client Qt 6, mais le paquet n’est pas disponible. qt5ct convient en attendant.

Première connexion

1. À l’ouverture de session, la fenêtre du client s’ouvre, l’adresse du serveur est déjà remplie.
2. L’utilisateur clique sur Se connecter : le navigateur s’ouvre sur Kanidm, où sa session est en général déjà active.
3. Il autorise l’accès. Aucun mot de passe n’est saisi.
4. L’assistant propose enfin de choisir un dossier. Il peut tout fermer ici sans rien synchroniser : le compte reste connecté.

Accès aux fichiers, à l’agenda et aux contacts

Pour parcourir ses fichiers depuis le gestionnaire de fichiers sans rien synchroniser, l’utilisateur lance Webdav Login depuis le menu des applications, ou nextcloud-webdav-login dans un terminal.

1. Le navigateur s’ouvre sur Kanidm, l’utilisateur autorise l’accès.
2. L’assistant enregistre un compte en ligne GNOME : le partage apparaît dans le gestionnaire de fichiers, l’agenda et les contacts dans Evolution.
3. Rien d’autre à saisir. L’assistant affiche tout de même le mot de passe d’application, utilisable depuis n’importe quel autre client WebDAV.

Pourquoi un assistant

Nextcloud refuse de créer un mot de passe d’application depuis son interface web pour un compte SSO : il réclame la confirmation d’un mot de passe local qui n’existe pas (user_oidc#468 🡕). L’assistant emprunte le même chemin que le client de bureau, qui lui n’est pas concerné.

Relancer l’assistant

Une nouvelle exécution remplace le compte en ligne au lieu d’en ajouter un second, et émet un nouveau mot de passe d’application. Les précédents restent listés dans Paramètres → Sécurité de Nextcloud, où ils se révoquent.

Repartir d’une configuration saine

L’adresse pré-remplie ne vaut que pour la création du compte dans l’assistant. Un poste qui en porte déjà un (hérité d’une instance antérieure, par exemple) le conserve tel quel, avec son ancienne adresse : le client s’affiche alors « hors ligne », figé, sans aucune action possible.

systemctl --user stop nextcloud-client.service
rm -rf ~/.config/Nextcloud
systemctl --user start nextcloud-client.service

Tuer le bon processus

Le binaire s’appelle nextcloud mais le processus porte le nom du wrapper Nix, .nextcloud-wrap : un pkill -x nextcloud le manque. L’instance survivante réécrit alors l’ancienne configuration que l’on vient d’effacer. Vérifier avec pgrep -af nextcloud-client avant de supprimer le dossier.

Le compte en ligne, lui, se réinitialise depuis Paramètres → Comptes en ligne, ou simplement en relançant l’assistant.

Le démarrage automatique appartient au framework

Le client écrit son propre ~/.config/autostart/Nextcloud.desktop, qui le lance sans l’adresse pré-remplie et double l’unité systemd. Le framework le remplace par une entrée Hidden=true. Sur un poste qui portait déjà l’ancienne, elle est mise de côté en .dnf-backup à la première activation. Le démarrage à l’ouverture de session reste piloté par nextcloud.enableAutoStart.

Identifiants hérités

Les comptes créés avant le SSO déclaratif portent un identifiant Nextcloud de la forme IDM-<uuid>. user_oidc ne renomme jamais un compte existant : cet identifiant reste figé, sans conséquence sur l’usage. Seule une migration côté serveur pourrait le changer, au prix de la perte du rattachement aux données.

Mettre à jour

Nextcloud refuse de sauter une version majeure. La version est épinglée dans le module, à faire évoluer une majeure à la fois, après avoir vérifié que l’instance annonce bien la précédente. La procédure complète, sauvegarde comprise, est décrite dans Services.

En cas de problème

Symptôme	Piste
Connexion impossible pour l’administrateur	Passer par /login?direct=1
Synchronisation lente sur les postes	notify_push:self-test sur le serveur
Le tableau blanc ne répond pas	whiteboard absent de plugins, ou just configure-admin-host jamais relancé depuis
Le client redemande son autorisation à chaque session	Trousseau de session non déverrouillé
Le client affiche un compte inconnu, hors ligne	Configuration antérieure : vider ~/.config/Nextcloud
Le partage demande un mot de passe dans le gestionnaire de fichiers	Assistant jamais lancé, ou trousseau verrouillé
Aucune icône dans la barre d’état, donc aucun accès aux réglages	Extension status-tray désactivée, ou qt.platformTheme remise à gnome