Renomme partout (flake.nix, hosts/usagers -> hosts/nixos,
install.sh, autoUpgrade.flake, home-manager.users, README) pour
que compte systeme, attribut de flake et mot de passe portent tous
le meme nom "nixos" -- un seul mot a retenir sur un poste partage.
Remplace aussi hosts/nixos/dconf.ini (jusque-la un seul reglage,
le fond d'ecran) par le dconf complet d'oreo (panneau, themes,
reglages GTK/Nemo...), chemins de wallpaper adaptes vers
hosts/common/wallpaper (partage, pas par-profil). Warpinator
connect-id retire du dconf copie : deja exclu du bureau Cinnamon
sur les trois profils (fleet/thomas-clara-jade/oreo) via
environment.cinnamon.excludePackages, une valeur figee partagee
par tout le parc aurait de toute facon casse l'appairage si le
paquet avait ete present.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Trois options (timer, systemctl start nixos-upgrade.service, ou
git pull + rebuild manuel sur place) au lieu d'attendre le prochain
passage hebdomadaire.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Etape 6 annoncait a tort un changement de mot de passe force pour
"PC normal" -- usagers garde nixos stable sans expiration, seuls les
postes nominatifs (nixos_users) le forcent. Ajoute comment reactiver
ce mecanisme sur la fleet si besoin un jour.
Avant-derniere section : commandes nix desormais reellement testees
(WSL), plus --no-build/--dry-run pour rester rapides, avec le
perimetre exact de ce qu'elles verifient.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
RequestedLocales manquait -- le langpack fr etait deja installe
(languagePacks) mais jamais active comme locale par defaut.
FirefoxHome.Weather=false (ajoute en Firefox 152 / ESR 140.12)
retire le widget meteo (demande la geolocalisation) de la page
d'accueil.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Sans ca, taper 'oreo-i3' a l'install repondait 'Utilisateur inconnu' --
la liste etait en dur, pas derivee du repo nixos_users.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
hosts/usagers/dconf.ini (nouveau) : même clé qu'avant (fond d'écran),
mais sous forme de fichier ini mis à jour par 'dconf dump' + commit
depuis une machine réelle, pas en retranscrivant à la main -- même
mécanisme que oreo. Prépare le terrain pour enrichir ce fichier plus
tard sans toucher au .nix.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Couvre l'installation WSL2/Nix, le fait que les flakes sont déjà
activées par défaut (2.35+), le symptôme classique 'ping IP marche
mais résolution DNS time out' (fix: networkingMode=mirrored dans
.wslconfig), et comment appeler nix depuis un outil qui pilote WSL en
non-interactif (wsl.exe -e bash -lc, pas wsl.exe nix directement).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
- flake.nix : ajoute l'input home-manager (release-26.05, même branche
que nixpkgs, confirmé qu'elle existe), importe
home-manager.nixosModules.home-manager sur le profil usagers
- hosts/common/default.nix : le fond d'écran par défaut passe par
home-manager.users.usagers.dconf.settings au lieu de
environment.etc."dconf/db/local.d/..." + system.activationScripts
dconfUpdate -- home-manager gère lui-même le contexte utilisateur et
le rechargement dconf
- useGlobalPkgs = true : partage le pkgs du système, pas de deuxième
évaluation nixpkgs (RAM, PC à 4 Go)
- backupFileExtension : évite un échec d'activation si un fichier
existant est dans le chemin (migration sur machine déjà installée)
ATTENTION : flake.lock est maintenant périmé (nouvel input non
verrouillé) -- nix flake lock à relancer avant déploiement.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Évite un conflit si un profil ajoute son propre XML dans
/usr/share/cinnamon-background-properties à côté du commun (cas réel
côté nixos_users : oreo). Sans effet fonctionnel ici (un seul profil
sur ce repo), appliqué pour la cohérence entre les deux repos.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Le précédent correctif visait gnome-background-properties (XDG_DATA_DIRS)
-- mais Cinnamon ne suit pas ce standard. Vérifié dans le vrai source du
sélecteur (linuxmint/cinnamon, cs_backgrounds.py) :
properties_dir = "/usr/share/cinnamon-background-properties", un
chemin ABSOLU EN DUR, jamais résolu via XDG_DATA_DIRS. Notre XML avait
beau être au bon endroit dans le store, Cinnamon ne le trouvait jamais.
Fix : le XML est maintenant généré sous cinnamon-background-properties
(bon nom), et systemd.tmpfiles.rules force un symlink
/usr/share/cinnamon-background-properties -> notre dérivation --
seul moyen d'atteindre ce chemin en dur sur NixOS (pas de /usr/share
FHS classique). Réappliqué à chaque switch, pas besoin de reboot.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Le config Firefox précédente ne coupait que showSponsored -- pas
aboutwelcome (page de config au premier lancement), pas les autres
sources de contenu sponsorisé/promo (FirefoxHome TopSites/Highlights/
Pocket/Snippets, FirefoxSuggest, UserMessaging...). Reprend la config
complète d'oreo (nixos_users/hosts/oreo/configuration.nix), avec deux
changements : SearXNG (perso/privé) -> DuckDuckGo (public, intégré,
pas besoin d'Add) ; ExtensionSettings réduit à uBlock Origin + Privacy
Badger (oreo en a une quinzaine, hors sujet pour un poste générique).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Root cause identifiée : Cinnamon découvre les fonds d'écran
sélectionnables via un XML gnome-background-properties (même
mécanisme que nixos-artwork.wallpapers dans nixpkgs, vérifié dans son
source). mint-artwork (déjà installé par défaut avec Cinnamon) ne
fournit PAS ce XML -- ses images existent bien dans le store mais sont
invisibles au clic droit > changer le fond d'écran. On génère ce XML
nous-mêmes au build, à partir des fichiers réellement présents dans
mint-artwork (pas de liste en dur) + notre propre wallpaper par défaut.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Déjà le défaut du module NixOS (nixos/modules/tasks/auto-upgrade.nix) :
si la machine est éteinte au moment prévu, systemd rattrape la maj au
prochain démarrage (Persistent= côté timer). Aucun changement de
comportement, juste documenté en dur plutôt que de dépendre d'un défaut
invisible.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Aucun changement fonctionnel, juste moins de fichiers à gérer côté
admin (structure inspirée de modules/anssi/ : un rôle clair par fichier,
mais un seul profil ici donc un seul fichier commun suffit).
hosts/usagers/configuration.nix importe désormais juste `../common`
(default.nix résolu automatiquement) + le layout disko.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
- system.autoUpgrade.dates : daily -> weekly, même cadence que oreo
- hosts/common/desktop.nix : ajoute la liste de paquets demandée (System
tools, Office, Communication/Media) + Flatpak (repo/install/update) +
AppImage, déjà présents sur oreo, maintenant sur usagers aussi
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
hardware.bluetooth.enable + powerOnBoot=false + blueman, déplacé dans
hosts/common/base.nix -- avant ça n'existait que sur le profil oreo.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
- ExtensionSettings : ajoute Privacy Badger (uBlock Origin déjà présent),
même id AMO que oreo/nixos_cinnamon
- SearchEngines.Default = DuckDuckGo (moteur intégré, pas besoin d'Add,
confirmé via firefox-admin-docs.mozilla.org)
- FirefoxHome.Sponsored{TopSites,Pocket} + FirefoxSuggest.SponsoredSuggestions
= false : retire les pubs du nouvel onglet / barre d'adresse
(showSponsored seul ne couvrait que l'ancien mécanisme)
- privacy.donottrackheader.enabled = true : DNT n'a plus d'UI dans les
Firefox récents mais le pref existe toujours et envoie l'en-tête DNT=1
- https_only_mode déjà réglé, rien à changer là-dessus
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Aucun changement fonctionnel -- juste les commentaires : essais de
justification en plusieurs paragraphes remplacés par des notes courtes,
type/quoi/pourquoi en une ou deux lignes. Corrige au passage un
commentaire obsolète dans installer-base.nix qui décrivait encore l'usage
de disko-install (abandonné depuis pour disko + nixos-install séparés).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Retire installer/ (script d'install, obsolète une fois fait) et
pxe-server/ (config d'un autre host) du clone copié sur la machine
installée -- inutiles pour un poste client, ne concernent que le
serveur PXE / le moment de l'install. Nix ne lit ces fichiers que si on
build l'attribut correspondant (jamais le cas pour un poste installé),
donc rien ne casse. N'affecte que la branche fleet : nixos_users n'a ni
installer/ ni pxe-server/, le rm -rf ne trouve rien à supprimer.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Vérifié dans nixpkgs (nixos/modules/hardware/all-firmware.nix) :
enableAllFirmware inclut déjà enableRedistributableFirmware (son défaut
est config.hardware.enableAllFirmware) et ajoute en plus
broadcom-bt-firmware (Bluetooth), b43Firmware (wifi Broadcom),
xone-dongle-firmware, facetimehd-firmware. Nécessaire pour coller à un
parc de PC inconnu à l'avance (logique Linux Mint : firmware non-libre
inclus par défaut). allowUnfree déjà réglé, rien d'autre à changer.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
R8 (mitigations CPU) coupe le SMT via mds=full,nosmt. Désactivé via
security.anssi.exceptions.R8 (mécanisme prévu par le module), puis
boot.kernelParams réaffirme le reste de R8 à l'identique du texte
source (modules/anssi/kernel-options.nix), sauf mds=full,nosmt ->
mds=full (valeur alternative documentée du même paramètre, mitige MDS
sans couper l'hyperthreading).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
- vendor modules/anssi/ depuis SécurixOS (DINUM), copy-paste explicitement
supporté par son propre README, licence MIT
- hosts/common/base.nix: security.anssi.enable, level=intermediary,
category=client -- remplace le bloc sysctl qui n'existait que sur le
profil oreo (nixos_users), même valeurs, rien de plus fort
- garde systemd.coredump.enable=false + apparmor (pas couvert par le
module ANSSI, exception R45 explicite côté Sécurix)
- ip_forward=0 (R12) n'affecte pas pxe-server, qui n'importe pas ce fichier
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
- install.sh: copie le repo (clone substitué) vers /mnt/etc/nixos après
nixos-install, sinon la machine installée n'a aucun fichier à éditer
- base.nix: hardware.enableRedistributableFirmware pour les cartes wifi
nécessitant un firmware non-libre
- desktop.nix: fond d'écran NixOS par défaut via dconf (n'existait pas)
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
DamienandClaude Sonnet 5