Créer un compte utilisateur

Deux alternatives, selon l’autonomie de l’utilisateur :

• Non technicien (découvre l’informatique) : on lui demande le moins possible.
• Technicien (habitué à l’outil informatique) : définit lui-même ses accès.

Trois types de comptes

Type	Déclaration	Accès
Linux	config.yaml	Postes Linux (posix), services et coffre-fort, Matrix
Services	Vaultwarden, Kanidm	services et coffre-fort, Matrix
Ami Matrix	Jeton Matrix	Matrix seul

Choisir une alternative

Secret	Utilisateur non technicien	Utilisateur technicien
Session Linux	Défini par l’admin	Saisi par l’utilisateur
Identité Kanidm	Définie par l’admin, rangée dans le coffre	Définie par l’utilisateur
Mdp principal	Défini par l’utilisateur	Défini par l’utilisateur
2FA du coffre	Facultative	Au choix de l’utilisateur
Mdp principal oublié	L’admin le réinitialise	Coffre perdu*

* Récupération de coffre

Vaultwarden dispose d’un mécanisme d’« Accès d’urgence » 🡕 avec un contact de confiance. Il est utile de :

• définir l’admin comme personne de confiance pour les utilisateurs non techniciens
• ou conseiller l’activation de cette option aux utilisateurs techniciens.

Déclaration initiale (Linux)

Commune aux deux alternatives : déclarer, rattacher et déployer l’utilisateur. Le déploiement du HCS crée aussi son compte Kanidm.

Alternative pour non technicien

L’utilisateur ne retient que son mot de passe principal : l’administrateur range tous ses autres accès dans une collection partagée du coffre-fort.

1. Collection Vaultwarden

   Dans l’organisation, créer une collection alice.

   Note

   Une collection permet de partager des accès entre plusieurs utilisateurs.

2. Préparer les accès

   just invite alice

   • Session Linux (compte Linux seulement) : saisir un mot de passe généré dans une fiche de la collection.
   • Affiche la fiche d’accueil, un lien Kanidm valable 1 h et la liste des tâches restantes.
   • Puis valider et déployer le mot de passe.

3. Identité Kanidm

   • Ouvrir le lien : y définir un mot de passe généré par Bitwarden, une clé et un code TOTP.
   • Ranger le tout dans un élément de la collection.

4. Inviter l’utilisateur dans l’organisation (Membres → Inviter un membre)

   • Utiliser l’e-mail défini dans config.yaml.
   • Lui donner accès en écriture à la collection alice.

5. L’utilisateur reçoit l’e-mail et la fiche d’accueil

   Il crée son coffre en définissant son mot de passe principal. C’est sa seule action.

6. Confirmer le membre (Membres → Confirmer)

   Les éléments de la collection apparaissent dans son coffre.

7. Installer et configurer Bitwarden sur ses navigateurs et son smartphone.

   Sur les postes Linux, l’accès est pré-défini. Sur les autres hôtes, l’utilisateur aura besoin d’un peu d’aide pour paramétrer ses accès.

Un compromis de confiance

L’administrateur connaît les accès Kanidm et session. Il peut réinitialiser le mot de passe principal. Pour rendre l’utilisateur autonome, celui-ci peut sortir ses identifiants de la collection commune avec l’administrateur.

Alternative pour utilisateur technicien

L’administrateur fournit les points d’entrée et l’utilisateur définit ses accès.

1. Préparer les accès

   just invite alice advanced

   • Session Linux (compte Linux seulement) : l’utilisateur tape son mot de passe.
   • À distance, il envoie son empreinte → just invite alice a '<empreinte>'.
   • Envoie l’invitation au coffre-fort.
   • Affiche la fiche d’accueil à lui transmettre, avec un lien Kanidm valable 24 h et son QR code.

2. L’utilisateur suit la fiche

   • Il crée son coffre et sa 2FA.
   • Il définit son identité Kanidm : mot de passe, TOTP, clés d’accès.

3. Clé YubiKey (facultatif)

   Enrôler avec just yubikey alice et la clé de l’utilisateur, qui saisit lui-même son PIN.

   • Voir Ordre d’enrôlement des passkeys.

4. Paramétrages par l’utilisateur

   L’utilisateur peut installer Bitwarden sur ses navigateurs et son smartphone.

FAQ

Quelques informations et astuces utiles, à connaître.

Comment réinitialiser un accès ?

Relancer just invite alice (ou advanced) : un accès déjà défini n’est remplacé qu’après confirmation. Voir aussi Réinitialiser le mot de passe d’un utilisateur.

just invite : connexion Vaultwarden refusée ?

Le panneau /admin de Vaultwarden ne répond que depuis le LAN et le tailnet. Lancer just invite depuis un poste d’une zone, ou avec le tailnet actif.

Oubli de mot de passe principal ?

L’accès au coffre peut être définitivement perdu

Sans récupération configurée à l’avance, le contenu du coffre est perdu.

Activer l’accès d’urgence 🡕 : dans son coffre, l’utilisateur ouvre Paramètres → Accès d’urgence et invite un contact de confiance, avec l’accès Prise de contrôle. Une fois l’invitation acceptée, il confirme ce contact.

D’autres mécanismes de prévention existent 🡕 : indice du mot de passe, accès d’urgence par personne de confiance, connexion avec un appareil connu, clé d’accès alternative…

Kanidm impose-t-il une 2FA ?

Par défaut oui. Il faut un code TOTP ou une clé d’accès. Rangés dans un élément, la clé ou le TOTP peuvent être proposés par la saisie automatique de Bitwarden.

Et le compte Matrix ?

Il se crée à la première connexion dans Element (bouton IDM) : rien à préparer.

Problème de connexion Bitwarden

Choisir « self-hosted » dans Bitwarden est requis. Par défaut, le client Bitwarden se connecte à bitwarden.com. Saisir l’URL du Vaultwarden du réseau, puis son mot de passe principal.

Puis-je utiliser ma YubiKey ?

Oui ! C’est même recommandé, c’est plus simple et plus sécurisé.

Une clé YubiKey remplace le mot de passe de session par un toucher. C’est le seul accès que le coffre ne peut pas remplir, puisque la session s’ouvre avant lui.