From 73c93f3aac1b3f79f8e20fdb363a3b9c1a67f69b Mon Sep 17 00:00:00 2001 From: Damien Date: Sat, 12 Sep 2026 13:27:34 +0200 Subject: [PATCH] README : corrige le mot de passe fleet et documente les commandes nix verifiees Etape 6 annoncait a tort un changement de mot de passe force pour "PC normal" -- usagers garde nixos stable sans expiration, seuls les postes nominatifs (nixos_users) le forcent. Ajoute comment reactiver ce mecanisme sur la fleet si besoin un jour. Avant-derniere section : commandes nix desormais reellement testees (WSL), plus --no-build/--dry-run pour rester rapides, avec le perimetre exact de ce qu'elles verifient. Co-Authored-By: Claude Sonnet 5 --- README.md | 34 ++++++++++++++++++++++++++++++---- 1 file changed, 30 insertions(+), 4 deletions(-) diff --git a/README.md b/README.md index 20a6cf2..07393ad 100644 --- a/README.md +++ b/README.md @@ -126,13 +126,15 @@ Utilisateur : `usagers` Mot de passe : `nixos` +Mot de passe stable, ne change jamais tout seul et n'est jamais redemandé (poste partagé, pas nominatif -- voir "Réactiver un changement de mot de passe forcé" en référence si ça doit changer un jour). + PC pour une personne : Utilisateur : le prénom tapé à l'étape 4B Mot de passe : `nixos` -Un nouveau mot de passe est demandé tout de suite. Le choisir maintenant. +Un nouveau mot de passe est demandé tout de suite (changement forcé au premier login, seulement sur les postes nominatifs -- voir [Nixos_Users](../nixos_users)). Le choisir maintenant. ## Étape 7 — Vérifier @@ -331,6 +333,25 @@ dconf dump /org/cinnamon/ > dconf.ini Remplacer `hosts/usagers/dconf.ini` par ce fichier, commit, push. Rien à changer dans le `.nix`. +## Réactiver un changement de mot de passe forcé + +Par défaut, `usagers` garde `nixos` comme mot de passe stable, sans expiration (`hosts/usagers/configuration.nix`). Voulu : poste partagé, pas nominatif -- forcer un changement casserait le mot de passe commun affiché sur l'étiquette/le guide remis aux gens. + +`nixos_users` force ce changement au premier login pour les postes nominatifs, via un script d'activation one-shot (`hosts/common/accounts.nix` de ce repo-là) : + +```nix +system.activationScripts.forcePasswordChangeOnce.text = '' + marker=/var/lib/nixos-force-pwchange-done + if [ ! -e "$marker" ]; then + ${pkgs.shadow}/bin/chage -d 0 usagers + mkdir -p /var/lib + touch "$marker" + fi +''; +``` + +Pour réactiver la même chose sur `usagers`, reprendre ce bloc tel quel dans `hosts/usagers/configuration.nix` (ou `hosts/common/default.nix` si ça doit s'appliquer à un futur deuxième profil de flotte). Le marqueur est nécessaire : sans lui, `chage -d 0` s'appliquerait à nouveau à chaque `nixos-rebuild switch`, redemandant un mot de passe à chaque redémarrage. + ## Pourquoi deux repos Une machine de la flotte pull uniquement ce repo. @@ -388,11 +409,16 @@ Test sur 1-2 PC réels d'abord. PC à seulement 4 Go de RAM : le zram (`installer-base.nix`) doit suffire pour installer `usagers` (Cinnamon + Firefox + LibreOffice + VLC), mais pas testé en dessous de 12 Go pour l'instant. Si ça échoue encore sur du 4 Go réel : alléger la liste de paquets de `usagers` plutôt que d'insister sur le zram seul. ```bash -nix flake check -nix build .#nixosConfigurations.usagers.config.system.build.toplevel -nix build .#nixosConfigurations.installer-iso +nix flake check --no-build # évalue usagers/installer-netboot/installer-iso +nix flake check --no-build --impure # inclut pxe-server (lit /etc/nixos, réel sur le serveur seulement) +nix build .#nixosConfigurations.usagers.config.system.build.toplevel --dry-run +nix build .#nixosConfigurations.installer-iso.config.system.build.isoImage --dry-run ``` +Vérifié (WSL, testé le 2026-09-12) : `usagers` s'évalue et résout entièrement sa fermeture de paquets sans erreur. `pxe-server` échoue sans `--impure` en dehors du vrai serveur PXE (attendu, lit `/etc/nixos/hardware-configuration.nix`). + +**Ce que ces commandes ne couvrent pas** : elles vérifient que la config s'évalue et que les paquets existent, pas que le poste installé fonctionne réellement (Wi-Fi, wallpaper, LightDM, avatar...). Seul un test sur machine réelle (étape 8 plus haut) le confirme. + ## Connexion Wi-Fi Pour un PC sans câble réseau (après l'installation, ou en dépannage).