Réinitialiser le mot de passe d'un utilisateur

Un utilisateur a perdu l’accès à son compte. Avant d’agir, identifier lequel des trois mots de passe est en cause (ils sont indépendants), et l’alternative choisie à la création du compte.

Trois mots de passe distincts

Mot de passe	Sert à	Où le réinitialiser
Identité (Kanidm)	Se connecter aux services (SSO)	Lien Kanidm
Coffre-fort (Vaultwarden)	Déverrouiller le gestionnaire de mots de passe	Accès d’urgence
Session (NixOS)	Ouvrir une session sur un poste	`just passwd`

Identité (Kanidm)

Créer un lien de réinitialisation :

just invite <login>            # non technicien : lien valable 1 h
just invite <login> advanced   # technicien : lien valable 24 h

Selon l’utilisateur :
- Non technicien : ouvrir le lien soi-même, redéfinir mot de passe et TOTP, mettre à jour l’élément de sa collection.
- Technicien : lui transmettre la fiche d’accueil (lien et QR code).

Coffre-fort

Le mot de passe principal chiffre le coffre : aucun serveur ne le connaît.

Situation	Remède
Mot de passe oublié, accès d’urgence actif	Prise de contrôle par le contact de confiance
Mot de passe oublié, sinon	Delete User dans `/admin`, puis nouvelle invitation
2FA perdue	Remove all 2FA dans `/admin`

Le panneau /admin ne répond que depuis le LAN et le tailnet.

Mot de passe de session

Le mot de passe d’ouverture de session sur un poste est géré dans les secrets, pas dans Kanidm. just invite <login> propose de le redéfinir, ou directement just passwd <login>.

Le trousseau GNOME de l’utilisateur repart alors vide à sa session suivante.