Paramètres globaux¶
Contrôlez le comportement général de la plateforme Reemo : sécurité, comptes utilisateurs, sessions à distance et image de marque de l’instance.
Accès : verified_user Zone d’administration > build Système > settings Paramètres globaux.
Création d’utilisateur¶
Définissez les règles de création et de sécurité des comptes utilisateurs.
Définir les règles du mot de passe¶
Longueur minimale du mot de passe : nombre minimal de caractères (par défaut 8). Recommandation : au moins 12 caractères pour les environnements sensibles.
Le mot de passe nécessite des lettres : exige au moins 1 minuscule (a-z) et 1 majuscule (A-Z).
Le mot de passe nécessite des chiffres : exige au moins 1 chiffre (0-9).
Le mot de passe nécessite des caractères spéciaux : exige au moins 1 caractère spécial.
Ces règles réduisent le risque de compromission par force brute ou par dictionnaire.
Autoriser les administrateurs d’organisation à gérer les utilisateurs¶
Choisissez ce que les administrateurs d’organisation peuvent faire sans passer par vous.
Autoriser l’administrateur de l’organisation à modifier le mot de passe des utilisateurs gérés : permet aux administrateurs d’organisation de modifier le mot de passe des utilisateurs gérés (création et édition). Utile pour les structures sans SSO centralisé.
Autoriser l’admin de l’organisation à inviter des utilisateurs externes : permet aux administrateurs d’organisation d’inviter par email des utilisateurs d’autres organisations.
Limiter les inscriptions par domaine email¶
Restreignez les adresses email qui peuvent s’inscrire. Séparez les domaines par une virgule (exemple : domain.com, *.domain.com).
Domaines sur liste blanche : seuls les utilisateurs dont l’adresse email correspond à ces domaines peuvent s’inscrire. À utiliser pour éviter les inscriptions externes indésirables.
Activer la liste noire de domaines : active l’exclusion de domaines à l’inscription.
Domaines sur liste noire : domaines exclus de l’inscription (par exemple
gmail.com), pour limiter les risques liés aux emails personnels.
Note
Une bonne politique de mot de passe, combinée à une authentification multifacteur (2FA), est indispensable pour garantir la sécurité de l’instance.
Connexion¶
Contrôlez comment les utilisateurs se connectent au portail : authentification, verrouillage des comptes et durée des sessions.
Forcer la 2FA, restreindre l’authentification intégrée et filtrer les IP¶
Renforcez la façon dont les utilisateurs prouvent leur identité.
Forcer l’authentification à deux facteurs pour la connexion : oblige les utilisateurs à activer l’authentification à deux facteurs (2FA). Fortement recommandé.
Activer la 2FA interne pour les utilisateurs sans 2FA activée : les utilisateurs sans 2FA doivent passer par une vérification interne (email) avant d’accéder au portail.
Désactiver l’authentification intégrée pour les utilisateurs SAML/LDAP : oblige ces utilisateurs à se connecter exclusivement par SSO.
Filtre IP d’authentification intégré : restreint l’accès à certaines plages d’adresses IP, par exemple au réseau interne uniquement. Exemples :
192.168.0.*ou10.0.0.1.
Alerter sur les appareils inconnus et verrouiller les comptes après des échecs¶
Repérez les connexions suspectes et bloquez temporairement les comptes visés par des essais répétés.
Envoyer des emails pour les appareils inconnus lors de la connexion : envoie un email à chaque connexion depuis un nouvel appareil. Recommandé pour repérer les connexions suspectes.
Tentatives échouées avant verrouillage et Durée du verrouillage : après ce nombre de mots de passe erronés à la suite, le compte est verrouillé et l’utilisateur doit attendre la durée indiquée, en minutes, avant de se reconnecter. Une connexion réussie remet le compteur à zéro. Un administrateur ne peut pas déverrouiller un compte avant la fin de la durée.
Par défaut : 4 tentatives et 10 minutes. S’applique à la connexion intégrée (mot de passe Reemo) et LDAP.
Régler les sessions et le raccourci de déconnexion¶
Décidez combien de temps et sur combien d’appareils une session reste ouverte.
Désactiver « Se souvenir de moi » : supprime la session persistante par cookie. À activer pour les environnements critiques.
Autoriser plusieurs sessions HTTP : permet à un utilisateur d’être connecté sur plusieurs appareils en même temps. Pratique pour les utilisateurs nomades, mais réduit la sécurité.
Note
Tant que cette option est désactivée, la section Appareils actifs des paramètres utilisateur ne liste aucune session.
Déconnexion auto des sessions inactives du portail (en minutes) : ferme la session après la période d’inactivité choisie (30 minutes par défaut). Recommandation : 15 à 20 minutes pour les environnements sensibles.
Raccourci clavier de déconnexion du portail : permet à un administrateur d’instance de définir une combinaison de touches. Tout utilisateur de l’instance peut l’utiliser pour se déconnecter du portail, même en pleine session sur une machine. Désactivé par défaut.
Pour l’enregistrer, activez les modificateurs voulus (Ctrl, Alt/Opt, Shift, Win/Cmd), cliquez sur le bouton de touche, puis appuyez sur la touche à enregistrer. Une combinaison appuyée d’un coup est enregistrée immédiatement. Échap annule.
Raccourci Ctrl + Alt + L enregistré.¶
La touche physique est enregistrée : le raccourci fonctionne quel que soit l’agencement du clavier, et chaque utilisateur le voit selon le sien.
Note
Une fois configuré, le raccourci s’applique à toute l’instance, et les utilisateurs ne peuvent pas le désactiver individuellement. Il apparaît aussi, en lecture seule, dans le panneau Raccourcis clavier de chaque utilisateur.
Sessions à distance¶
Contrôlez le comportement des sessions à distance et l’affichage des machines de l’instance.
Restrictions des sessions distantes¶
Admin peut se connecter à n’importe quel ordinateur : lorsque cette option est activée, un administrateur d’instance peut se connecter directement à tous les postes enregistrés. Utile pour le support global, mais à restreindre pour limiter les risques de dérive.
Synchroniser les noms des machines depuis le nom d’hôte de l’agent : lorsque cette option est activée, le nom de la machine est mis à jour automatiquement à partir du nom d’hôte (hostname) remonté par l’agent Reemo. Le nom affiché reste ainsi cohérent avec l’état réel du système.
Avertissement
Dès que cette synchronisation est active, le nom de la machine est verrouillé : il n’est plus possible de le modifier manuellement depuis la fiche de l’ordinateur.
Politiques de session¶
Définissez les permissions et restrictions appliquées globalement aux sessions à distance.
Note
Ces paramètres s’appliquent à l’instance. Des organisations spécifiques peuvent les surcharger ensuite (voir Politiques de session).
Chaque réglage dispose d’un menu déroulant à deux états (Activé / Désactivé) et d’un bouton Non verrouillé / Verrouillé.
Les paramètres Reemo se déclinent selon cinq niveaux — chacun peut hériter du niveau supérieur et verrouiller les niveaux en dessous.
Niveau |
Hérite du niveau supérieur |
Verrouille les niveaux en dessous |
|---|---|---|
Instance |
— |
Oui |
Organisation |
Oui |
Oui |
Groupe |
Oui |
Oui |
Ordinateur |
Oui |
Oui |
Association Ordinateur-Utilisateur |
Oui |
— |
Presse-papier
Lecture du presse-papiers : contrôle si les utilisateurs peuvent lire le presse-papiers des appareils distants.
Écriture dans le presse-papiers : contrôle si les utilisateurs peuvent écrire dans le presse-papiers des appareils distants.
Sessions
Déconnexion automatique des sessions inactives : définit si une session se termine automatiquement après une période d’inactivité.
TURN personnalisé¶
Configurez vos propres serveurs TURN pour le transport réseau du protocole Reemo lorsque les connexions directes (P2P) échouent.
Activer la Configuration TURN personnalisée : lorsque la case est cochée, ces serveurs TURN sont utilisés pour se connecter aux ordinateurs de l’instance. Utile pour des relais hébergés en interne, afin d’améliorer la latence ou de respecter la conformité réglementaire.
TURN 1 et TURN 2 : un bloc de champs par serveur :
Hôte : adresse IP ou FQDN du serveur.
Port : port du serveur.
Authentification : mode d’authentification. Avec Nom d’utilisateur et mot de passe, tous les clients reçoivent les mêmes identifiants, qui ne changent jamais.
Nom d’utilisateur et Mot de passe : identifiants du serveur.
Note
Cette configuration est utilisée par défaut si aucun autre serveur TURN n’est paramétré dans les organisations.
Astuce
Pour les environnements distribués, configurez plusieurs serveurs TURN géographiquement proches des utilisateurs.
Conteneurs¶
Limitez la durée de vie des conteneurs de l’instance et réglez l’accès des utilisateurs à leur station de travail.
Expiration max des conteneurs (en minutes) : définit la durée de vie maximale d’un conteneur après lancement. Une fois expiré, il est détruit ou relancé automatiquement selon la configuration.
L’utilisateur peut accéder à sa station de travail lors de sa création : lorsque la case est cochée, l’utilisateur peut accéder à sa station de travail dès la création du conteneur.
Note
La limite d’expiration s’applique à la valeur maximale autorisée dans un profil de conteneur d’une organisation.
Fonctionnalités¶
Activez ou désactivez des fonctionnalités de la plateforme pour toute l’instance.
Fournisseurs Cloud activés : permet d’utiliser les fournisseurs Cloud pour provisionner des ordinateurs. Voir Configurer les fournisseurs cloud.
Clés de sécurité activées : permet aux utilisateurs de se connecter à l’instance avec des clés de sécurité.
Relais Websocket activés : permet d’utiliser des relais Websocket pour se connecter aux conteneurs. Voir Configurer les serveurs relais.
Ces options sont réservées aux déploiements Private Cloud et On-Premises :
Espaces de travail activés : active les espaces de travail et les services d’espace de travail.
Stations de travail activées : active les stations de travail (VM sur conteneur).
Coédition de fichiers : active la coédition sur les fichiers du serveur de fichiers.
Alerting activé : rend la console Alerting disponible pour les administrateurs d’instance et pour les organisations que vous autorisez. Voir Alerting.
Adresse email¶
Notifications par email¶
Choisissez les notifications automatiques envoyées par l’instance :
Envoyer des emails pour les appareils inconnus lors de la connexion : les utilisateurs reçoivent un email à chaque connexion depuis un nouvel appareil.
Envoyer des emails lors de l’adhésion à une organisation : les utilisateurs reçoivent un email à chaque fois qu’ils rejoignent une organisation.
Envoyer des emails lors de la création d’utilisateurs gérés par l’organisation : les utilisateurs gérés reçoivent un email lors de la création de leur compte dans l’organisation.
Notifications de demandes d’accès¶
Configurez la manière dont les approbateurs sont alertés lorsque des utilisateurs soumettent des demandes d’accès pour le workflow d’approbation. La barre de notifications de l’application reste toujours alimentée, quel que soit ce réglage.
Envoyer un email aux approbateurs lors d’une demande : notifie par email les approbateurs assignés à la ressource pour qu’ils examinent la demande.
Ouvrir automatiquement la fenêtre d’approbation : ouvre la fenêtre d’approbation dès l’arrivée d’une nouvelle demande, sans cliquer sur la cloche. Le badge de la barre s’affiche dans tous les cas.
URL Webhook (compatible Slack) : envoie en option un payload JSON avec un lien vers la modale d’approbation à chaque nouvelle demande. Laissez vide pour désactiver.
Chaque organisation peut choisir de garder ou de désactiver les emails, ajouter son propre webhook (Slack, Microsoft Teams ou JSON) et activer une relance des demandes en attente (voir Workflow d’approbation).
Voir aussi
Demandes d’accès — Suivez les demandes soumises dans toutes les organisations.
SSO¶
Autorisez les organisations à configurer leurs propres connecteurs SSO :
LDAP : connexion basée sur un annuaire interne.
SAML : intégration avec un fournisseur d’identité (IdP).
Note
Si vous n’avez qu’un seul SSO, il est recommandé de configurer un connecteur SSO au niveau de l’instance plutôt qu’au niveau des organisations.
Personnalisation¶
Personnalisation de l’instance¶
Adaptez l’apparence et l’image de marque de l’instance :
Titre de l’instance : affiché sur le portail.
Thème couleur : plusieurs couleurs prédéfinies.
Logo SVG : utilisé sur l’interface et l’écran de login.
Logo email personnalisé : taille réglable (largeur et hauteur).
Liens spécifiques : support, téléchargement, conditions d’utilisation.
Conditions générales intégrées : importez un fichier HTML pour afficher des conditions générales personnalisées dans le portail. Si aucun fichier n’est défini, le Tos link ci-dessus est utilisé.
Progressive Web App (PWA) : personnalisation du titre et de l’icône (512x512) de l’application PWA ajoutée sur le bureau.
Voir aussi
Conditions générales intégrées — Configurer des conditions générales personnalisées pour votre instance.
Exporter l’instance¶
Exportez la configuration complète de l’instance dans un fichier JSON, pour l’importer dans une autre instance Reemo ou la sauvegarder.
Inclure les clés privées/secrètes : exporte les clés d’API, organisations et groupes.
Réinitialiser la base à l’import : efface toutes les données existantes avant l’import.
Avertissement
Les postes distants (Remote Desktops) ne sont pas exportés, seuls les conteneurs le sont.
L’export peut générer une charge importante sur la base de données.
Manipulez ce fichier avec précaution : il contient des informations sensibles.
Voir aussi
Sécuriser son instance — Vue d’ensemble des contrôles qui protègent votre instance.