DamienandClaude Sonnet 5
83d4bed8c4
Le précédent correctif visait gnome-background-properties (XDG_DATA_DIRS) -- mais Cinnamon ne suit pas ce standard. Vérifié dans le vrai source du sélecteur (linuxmint/cinnamon, cs_backgrounds.py) : properties_dir = "/usr/share/cinnamon-background-properties", un chemin ABSOLU EN DUR, jamais résolu via XDG_DATA_DIRS. Notre XML avait beau être au bon endroit dans le store, Cinnamon ne le trouvait jamais. Fix : le XML est maintenant généré sous cinnamon-background-properties (bon nom), et systemd.tmpfiles.rules force un symlink /usr/share/cinnamon-background-properties -> notre dérivation -- seul moyen d'atteindre ce chemin en dur sur NixOS (pas de /usr/share FHS classique). Réappliqué à chaque switch, pas besoin de reboot. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
495 lines
16 KiB
Nix
495 lines
16 KiB
Nix
# Socle commun à toutes les machines de la flotte (repo public) : compte
|
|
# système, réseau/durcissement, bureau Cinnamon/Firefox. Un seul fichier
|
|
# plutôt que plusieurs petits (base/desktop/accounts) -- chaque option
|
|
# n'a qu'un seul endroit où la chercher.
|
|
{ pkgs, lib, ... }:
|
|
|
|
let
|
|
# PREMIER ESSAI FAUX (corrigé ici) : Cinnamon ne suit PAS le mécanisme
|
|
# GNOME standard (gnome-background-properties via XDG_DATA_DIRS).
|
|
# Vérifié dans le vrai source du sélecteur, cs_backgrounds.py
|
|
# (linuxmint/cinnamon, module cinnamon-settings) :
|
|
# `properties_dir = "/usr/share/cinnamon-background-properties"`, un
|
|
# chemin ABSOLU EN DUR, jamais résolu via XDG_DATA_DIRS -- même en
|
|
# mettant le bon XML au bon endroit dans le store, Cinnamon ne
|
|
# regarde jamais là. mint-artwork (déjà installé par défaut avec
|
|
# Cinnamon) ne fournit de toute façon aucun XML de ce genre -- ses
|
|
# images sont sur le disque mais invisibles dans le sélecteur.
|
|
#
|
|
# Solution : générer le XML nous-mêmes (à partir de ce que
|
|
# mint-artwork contient réellement, pas une liste en dur -- chemin
|
|
# confirmé dans nixpkgs/pkgs/by-name/mi/mint-artwork/package.nix qui
|
|
# sed-remplace littéralement usr/share/backgrounds/linuxmint/*.jpg),
|
|
# PUIS forcer /usr/share/cinnamon-background-properties à pointer
|
|
# dessus via systemd-tmpfiles (seul moyen d'atteindre un chemin en
|
|
# dur sur un système qui n'a pas de /usr/share FHS classique).
|
|
cinnamonDefaultWallpapers = pkgs.runCommand "cinnamon-default-wallpapers-properties" { } ''
|
|
mkdir -p $out/share/cinnamon-background-properties
|
|
{
|
|
echo '<?xml version="1.0" encoding="UTF-8"?>'
|
|
echo '<!DOCTYPE wallpapers SYSTEM "gnome-wp-list.dtd">'
|
|
echo '<wallpapers>'
|
|
for f in ${pkgs.mint-artwork}/share/backgrounds/linuxmint/*.jpg \
|
|
${pkgs.mint-artwork}/share/backgrounds/linuxmint/*.png \
|
|
${./wallpaper/Nix/13977413.png}; do
|
|
[ -e "$f" ] || continue
|
|
name=$(basename "$f")
|
|
echo " <wallpaper deleted=\"false\">"
|
|
echo " <name>$name</name>"
|
|
echo " <filename>$f</filename>"
|
|
echo " <options>zoom</options>"
|
|
echo " </wallpaper>"
|
|
done
|
|
echo '</wallpapers>'
|
|
} > $out/share/cinnamon-background-properties/nixos-fleet-defaults.xml
|
|
'';
|
|
in
|
|
{
|
|
imports = [ ../../modules/anssi ];
|
|
|
|
# L+ crée aussi les dossiers parents manquants (/usr, /usr/share,
|
|
# confirmé dans la doc systemd-tmpfiles.d) -- pas besoin de les créer
|
|
# à la main. Réappliqué à chaque nixos-rebuild switch (pas seulement
|
|
# au boot), donc pas besoin de reboot pour que ça prenne effet.
|
|
systemd.tmpfiles.rules = [
|
|
"L+ /usr/share/cinnamon-background-properties - - - - ${cinnamonDefaultWallpapers}/share/cinnamon-background-properties"
|
|
];
|
|
|
|
# Nom uniforme, pas d'identification individuelle pour l'instant (voir
|
|
# README). À revoir via le numéro de série DMI si le besoin apparaît.
|
|
networking.hostName = "Nixos_Fleet";
|
|
networking.networkmanager.enable = true;
|
|
|
|
# Couverture matérielle maximale (wifi/Bluetooth/PCI) sur un parc
|
|
# hétérogène inconnu à l'avance. Inclut enableRedistributableFirmware.
|
|
hardware.enableAllFirmware = lib.mkDefault true;
|
|
|
|
# Durcissement ANSSI (modules/anssi/, vendored depuis SécurixOS).
|
|
# level "intermediary" : couvre déjà tout ce qui était réglé à la main
|
|
# sur le profil oreo (R9/R11/R12/R14). category "client" : postes de
|
|
# travail, pas des serveurs.
|
|
#
|
|
# R12 force net.ipv4.ip_forward = 0 : sans impact sur des postes
|
|
# clients. Ne pas importer ce module sur pxe-server/configuration.nix
|
|
# (a besoin du forwarding inverse).
|
|
security.anssi = {
|
|
enable = true;
|
|
level = "intermediary";
|
|
category = "client";
|
|
|
|
# R8 (mitigations CPU) coupe l'hyperthreading via "mds=full,nosmt" :
|
|
# trop coûteux sur le matériel bas de gamme du parc. Désactivé via
|
|
# exception plutôt que contourné en silence ; réappliqué ci-dessous
|
|
# sans le "nosmt".
|
|
exceptions.R8.rationale = "SMT conservé : impact perf trop lourd sur le parc (matériel bas de gamme, parfois 4 Go de RAM). Mitigations réappliquées ci-dessous sans 'nosmt'.";
|
|
};
|
|
|
|
# R8 (modules/anssi/kernel-options.nix), sauf mds=full,nosmt -> mds=full.
|
|
boot.kernelParams = [
|
|
"l1tf=full,force"
|
|
"page_poison=on"
|
|
"pti=on"
|
|
"slab_nomerge=yes"
|
|
"slub_debug=FZP"
|
|
"spec_store_bypass_disable=seccomp"
|
|
"spectre_v2=on"
|
|
"mds=full" # sans ",nosmt" : hyperthreading conservé
|
|
"mce=0"
|
|
"page_alloc.shuffle=1"
|
|
"rng_core.default_quality=500"
|
|
];
|
|
|
|
# Pas couvert par le module ANSSI (R45 en exception : AppArmor
|
|
# partiellement supporté sur NixOS).
|
|
systemd.coredump.enable = false;
|
|
security.apparmor.packages = [ pkgs.apparmor-profiles ];
|
|
security.apparmor.enableCache = true;
|
|
|
|
# Bluetooth (même config que le profil oreo) : pas d'allumage auto au
|
|
# boot, blueman pour la gestion depuis Cinnamon.
|
|
hardware.bluetooth = {
|
|
enable = true;
|
|
powerOnBoot = false;
|
|
};
|
|
services.blueman.enable = true;
|
|
|
|
time.timeZone = "Europe/Paris";
|
|
i18n.defaultLocale = "fr_FR.UTF-8";
|
|
i18n.extraLocaleSettings = {
|
|
LC_ADDRESS = "fr_FR.UTF-8";
|
|
LC_IDENTIFICATION = "fr_FR.UTF-8";
|
|
LC_MEASUREMENT = "fr_FR.UTF-8";
|
|
LC_MONETARY = "fr_FR.UTF-8";
|
|
LC_NAME = "fr_FR.UTF-8";
|
|
LC_NUMERIC = "fr_FR.UTF-8";
|
|
LC_PAPER = "fr_FR.UTF-8";
|
|
LC_TELEPHONE = "fr_FR.UTF-8";
|
|
LC_TIME = "fr_FR.UTF-8";
|
|
};
|
|
services.xserver.xkb = {
|
|
layout = "fr";
|
|
variant = "";
|
|
};
|
|
|
|
boot.loader.systemd-boot.enable = true;
|
|
boot.loader.efi.canTouchEfiVariables = true;
|
|
boot.loader.systemd-boot.configurationLimit = 10;
|
|
|
|
services.openssh.enable = true;
|
|
networking.firewall.enable = true;
|
|
|
|
# Swap compressé en RAM : couvre le bas du parc (4 Go, desktop complet).
|
|
zramSwap = {
|
|
enable = true;
|
|
memoryPercent = 50;
|
|
};
|
|
|
|
nix.settings.experimental-features = [
|
|
"nix-command"
|
|
"flakes"
|
|
];
|
|
nixpkgs.config.allowUnfree = true;
|
|
|
|
nix.gc = {
|
|
automatic = true;
|
|
dates = "weekly";
|
|
options = "--delete-older-than 30d";
|
|
};
|
|
|
|
# Convergence automatique depuis le repo public, sans netrc. Cadence
|
|
# weekly (même format que oreo, plutôt que daily). persistent = true
|
|
# (déjà la valeur par défaut de ce module -- explicité ici) : si la
|
|
# machine est éteinte au moment prévu, la maj se lance dès le
|
|
# prochain démarrage plutôt que d'attendre la semaine suivante.
|
|
system.autoUpgrade = {
|
|
enable = true;
|
|
persistent = true;
|
|
dates = "weekly";
|
|
flake = "git+https://gitea.miniclic.net/Damien/Nixos_Fleet.git#usagers";
|
|
};
|
|
|
|
# Compte admin de la flotte : root, mot de passe "nixos" STABLE (pas
|
|
# d'expiration forcée) -- machines génériques/partagées, un mot de
|
|
# passe connu et constant sur tout le parc est voulu pour
|
|
# l'administration courante. `initialPassword` n'est appliqué qu'à la
|
|
# création du compte : un rebuild/auto-upgrade ultérieur ne le réécrit
|
|
# jamais, mais on ne force pas non plus de changement -- "nixos" doit
|
|
# rester valide indéfiniment sur la flotte. Login root direct autorisé
|
|
# en local (console/tty) ; SSH reste sur le défaut NixOS (clé
|
|
# uniquement), ce mot de passe n'ouvre pas la porte à distance.
|
|
users.mutableUsers = true;
|
|
users.users.root.initialPassword = "nixos";
|
|
|
|
# --- Bureau Cinnamon + Firefox --------------------------------------
|
|
services.xserver.enable = true;
|
|
services.xserver.displayManager.lightdm.enable = true;
|
|
services.xserver.displayManager.lightdm.background = "/etc/nixos/hosts/common/wallpaper/Nix/13977413.png";
|
|
services.xserver.desktopManager.cinnamon.enable = true;
|
|
services.accounts-daemon.enable = true;
|
|
|
|
environment.cinnamon.excludePackages = with pkgs; [
|
|
celluloid
|
|
warpinator
|
|
];
|
|
|
|
# Fond d'écran par défaut (logo NixOS, pas la galerie perso de
|
|
# nixos_cinnamon). Suppose la config installée sur /etc/nixos (voir
|
|
# installer/install.sh).
|
|
environment.etc."dconf/db/local.d/00-background".text = ''
|
|
[org/cinnamon/desktop/background]
|
|
picture-uri='file:///etc/nixos/hosts/common/wallpaper/Nix/13977413.png'
|
|
'';
|
|
system.activationScripts.dconfUpdate.text = "${pkgs.dconf}/bin/dconf update";
|
|
|
|
# Reprend la config Firefox d'oreo (nixos_users/hosts/oreo/configuration.nix)
|
|
# -- c'est elle qui tue la page d'accueil/configuration au premier
|
|
# lancement (aboutwelcome, newtabpage...) et bloque les pubs/contenu
|
|
# sponsorisé bien plus largement que l'ancienne version ici (qui ne
|
|
# coupait que le strict showSponsored). Deux choses changées par
|
|
# rapport à oreo, volontairement : SearXNG (perso, privé) remplacé par
|
|
# DuckDuckGo (public, intégré à Firefox) ; ExtensionSettings réduit à
|
|
# uBlock Origin + Privacy Badger (oreo en a une quinzaine, trop pour
|
|
# un poste générique de flotte).
|
|
programs.firefox = {
|
|
enable = true;
|
|
languagePacks = [ "fr" ];
|
|
|
|
preferences = {
|
|
"browser.startup.homepage" = "https://duckduckgo.com";
|
|
"privacy.resistFingerprinting" = true;
|
|
|
|
"network.trr.mode" = 3;
|
|
"network.trr.uri" = "https://dns.quad9.net/dns-query";
|
|
"network.trr.fallback-resolver" = "https://mozilla.cloudflare-dns.com/dns-query";
|
|
|
|
"browser.newtabpage.enabled" = false;
|
|
"browser.newtabpage.activity-stream.enabled" = false;
|
|
"browser.startup.page" = 1;
|
|
|
|
# Page de configuration/bienvenue au premier lancement -- désactivée.
|
|
"browser.aboutwelcome.enabled" = false;
|
|
"browser.newtabpage.pinned" = "[]";
|
|
"browser.newtabpage.section.discovery" = false;
|
|
|
|
"places.history.enabled" = false;
|
|
"privacy.clearOnShutdown.history" = true;
|
|
"privacy.clearOnShutdown.cache" = true;
|
|
"privacy.clearOnShutdown.downloads" = true;
|
|
"privacy.clearOnShutdown.cookies" = false;
|
|
"privacy.clearOnShutdown.sessions" = false;
|
|
"privacy.clearOnShutdown.formdata" = false;
|
|
"privacy.clearOnShutdown.offlineApps" = true;
|
|
|
|
# Onglets verticaux à gauche par défaut
|
|
"sidebar.revamp" = true;
|
|
"sidebar.verticalTabs" = true;
|
|
|
|
# Virer "Recent browsing" (Firefox View)
|
|
"browser.tabs.firefox-view" = false;
|
|
"browser.tabs.firefox-view-next" = false;
|
|
|
|
# Virer "List all tabs" (bouton chevron dropdown)
|
|
"browser.tabs.tabmanager.enabled" = true;
|
|
|
|
# Virer suggestions de recherche (y compris tendances)
|
|
"browser.search.suggest.enabled" = false;
|
|
"browser.urlbar.suggest.searches" = false;
|
|
"browser.urlbar.suggest.trending" = false;
|
|
"browser.newtabpage.activity-stream.showSponsored" = false;
|
|
|
|
# HTTPS obligatoire en permanence
|
|
"dom.security.https_only_mode" = true;
|
|
"dom.security.https_only_mode_ever_enabled" = true;
|
|
|
|
# Désactiver WebRTC (fuite d'IP réelle même via VPN)
|
|
"media.peerconnection.enabled" = false;
|
|
|
|
# Désactiver la géolocalisation
|
|
"geo.enabled" = false;
|
|
|
|
# Désactiver DRM (Widevine)
|
|
"media.eme.enabled" = false;
|
|
|
|
# Désactiver le prefetching (DNS/liens) — fuite d'intention de navigation
|
|
"network.dns.disablePrefetch" = true;
|
|
"network.prefetch-next" = false;
|
|
"network.predictor.enabled" = false;
|
|
"network.http.speculative-parallel-limit" = 0;
|
|
|
|
# Désactiver Safe Browsing distant (envoie des hachages d'URL à Google)
|
|
"browser.safebrowsing.malware.enabled" = false;
|
|
"browser.safebrowsing.phishing.enabled" = false;
|
|
|
|
# Désactiver la détection de portail captif (requête réseau vers Mozilla)
|
|
"network.captive-portal-service.enabled" = false;
|
|
"network.connectivity-service.enabled" = false;
|
|
|
|
# Isolation par premier-parti (empêche le cross-site tracking via cache/cookies)
|
|
"privacy.firstparty.isolate" = true;
|
|
|
|
# Désactiver WebGL (vecteur de fingerprinting majeur)
|
|
"webgl.disabled" = true;
|
|
|
|
# Désactiver l'API batterie (fingerprinting)
|
|
"dom.battery.enabled" = false;
|
|
|
|
# Bloquer l'autoplay média
|
|
"media.autoplay.default" = 5;
|
|
|
|
# Référent minimal envoyé aux sites
|
|
"network.http.referer.XOriginPolicy" = 2;
|
|
|
|
# Do Not Track : plus d'UI depuis les versions récentes de Firefox,
|
|
# mais le pref existe encore et envoie bien l'en-tête DNT=1.
|
|
"privacy.donottrackheader.enabled" = true;
|
|
};
|
|
|
|
policies = {
|
|
DisableFirefoxStudies = true;
|
|
DisableFirefoxAccounts = false;
|
|
DisableFirefoxScreenshots = true;
|
|
DisableForgetButton = true;
|
|
DisableMasterPasswordCreation = true;
|
|
DisableProfileImport = true;
|
|
DisableProfileRefresh = true;
|
|
DisableSetDesktopBackground = true;
|
|
DisablePocket = true;
|
|
DisableTelemetry = true;
|
|
DisableFormHistory = true;
|
|
DisablePasswordReveal = true;
|
|
SanitizeOnShutdown = false;
|
|
GenerativeAI.Enable = false;
|
|
|
|
FirefoxSuggest = {
|
|
WebSuggestions = false;
|
|
SponsoredSuggestions = false;
|
|
ImproveSuggest = false;
|
|
};
|
|
|
|
FirefoxHome = {
|
|
SponsoredTopSites = false;
|
|
SponsoredPocket = false;
|
|
TopSites = false;
|
|
Highlights = false;
|
|
Pocket = false;
|
|
Snippets = false;
|
|
Locked = true;
|
|
};
|
|
|
|
UserMessaging = {
|
|
WhatsNew = false;
|
|
MoreFromMozilla = false;
|
|
};
|
|
|
|
EnableTrackingProtection = {
|
|
Value = true;
|
|
Locked = true;
|
|
Cryptomining = true;
|
|
Fingerprinting = true;
|
|
};
|
|
|
|
BlockAboutConfig = false;
|
|
BlockAboutProfiles = false;
|
|
BlockAboutSupport = false;
|
|
|
|
DontCheckDefaultBrowser = true;
|
|
HardwareAcceleration = true;
|
|
OfferToSaveLogins = false;
|
|
DefaultDownloadDirectory = "$HOME/Downloads";
|
|
PromptForDownloadLocation = true;
|
|
DisplayBookmarksToolbar = "never";
|
|
|
|
Preferences = {
|
|
"privacy.globalprivacycontrol.enabled" = {
|
|
Value = true;
|
|
Status = "locked";
|
|
};
|
|
"privacy.globalprivacycontrol.functionality.enabled" = {
|
|
Value = true;
|
|
Status = "locked";
|
|
};
|
|
};
|
|
|
|
# DuckDuckGo est un moteur intégré à Firefox, pas besoin de l'Add.
|
|
Homepage = {
|
|
URL = "https://duckduckgo.com";
|
|
Locked = true;
|
|
StartPage = "homepage";
|
|
};
|
|
SearchEngines = {
|
|
Default = "DuckDuckGo";
|
|
PreventInstalls = true;
|
|
};
|
|
|
|
"browser.aboutConfig.showWarning" = {
|
|
Value = false;
|
|
Status = "locked";
|
|
};
|
|
|
|
NewTabPage = false;
|
|
|
|
ExtensionSettings = {
|
|
"uBlock0@raymondhill.net" = {
|
|
install_url = "https://addons.mozilla.org/firefox/downloads/latest/ublock-origin/latest.xpi";
|
|
installation_mode = "force_installed";
|
|
};
|
|
"jid1-MnnxcxisBPnSXQ@jetpack" = {
|
|
install_url = "https://addons.mozilla.org/firefox/downloads/latest/privacy-badger17/latest.xpi";
|
|
installation_mode = "force_installed";
|
|
};
|
|
};
|
|
};
|
|
};
|
|
|
|
environment.systemPackages = with pkgs; [
|
|
cinnamonDefaultWallpapers
|
|
git
|
|
curl
|
|
wget
|
|
htop
|
|
nixfmt
|
|
|
|
# === Office/Notes ===
|
|
libreoffice
|
|
pdfarranger
|
|
simple-scan
|
|
|
|
# === System tools ===
|
|
btop
|
|
unzip
|
|
screenfetch
|
|
tmux
|
|
fwupd
|
|
fwupd-efi
|
|
ncdu
|
|
gdu
|
|
hplip
|
|
gutenprint
|
|
cups
|
|
inxi
|
|
ntfs3g
|
|
|
|
# === Communication/Media ===
|
|
thunderbird
|
|
ffmpeg
|
|
vlc
|
|
mpv
|
|
strawberry
|
|
];
|
|
|
|
# Flatpak
|
|
services.flatpak.enable = true;
|
|
xdg.portal.enable = true;
|
|
xdg.portal.extraPortals = [ pkgs.xdg-desktop-portal-gtk ];
|
|
|
|
systemd.services.flatpak-repo = {
|
|
wantedBy = [ "multi-user.target" ];
|
|
after = [ "network-online.target" ];
|
|
wants = [ "network-online.target" ];
|
|
serviceConfig = {
|
|
Type = "oneshot";
|
|
RemainAfterExit = true;
|
|
};
|
|
path = [ pkgs.flatpak ];
|
|
script = ''
|
|
flatpak remote-add --if-not-exists flathub \
|
|
https://dl.flathub.org/repo/flathub.flatpakrepo
|
|
'';
|
|
};
|
|
|
|
systemd.services.flatpak-install = {
|
|
wantedBy = [ "multi-user.target" ];
|
|
after = [
|
|
"flatpak-repo.service"
|
|
"network-online.target"
|
|
];
|
|
wants = [ "network-online.target" ];
|
|
requires = [ "flatpak-repo.service" ];
|
|
serviceConfig = {
|
|
Type = "oneshot";
|
|
RemainAfterExit = true;
|
|
};
|
|
path = [ pkgs.flatpak ];
|
|
script = ''
|
|
flatpak install -y flathub \
|
|
net.waterfox.waterfox \
|
|
eu.betterbird.Betterbird
|
|
'';
|
|
};
|
|
|
|
systemd.services.flatpak-update = {
|
|
wantedBy = [ "multi-user.target" ];
|
|
path = [ pkgs.flatpak ];
|
|
script = ''
|
|
flatpak update -y
|
|
'';
|
|
};
|
|
|
|
programs.appimage = {
|
|
enable = true;
|
|
binfmt = true;
|
|
};
|
|
|
|
system.stateVersion = "26.05";
|
|
}
|