338 lines
9.6 KiB
Nix
338 lines
9.6 KiB
Nix
{ pkgs, ... }:
|
|
|
|
let
|
|
# ============================================================
|
|
# Assistant interactif de changement du PIN YubiKey
|
|
# ============================================================
|
|
|
|
yubikeyPinChange = pkgs.writeShellScript "yubikey-pin-change" ''
|
|
set -u
|
|
|
|
state_dir="$HOME/.local/state/nixos-workstations"
|
|
marker="$state_dir/yubikey-pin-initialized"
|
|
|
|
runtime_dir="''${XDG_RUNTIME_DIR:-/tmp}"
|
|
active_file="$runtime_dir/nixos-workstations-yubikey-first-login.active"
|
|
|
|
# ----------------------------------------------------------
|
|
# Déclare l'assistant comme actif.
|
|
# On stocke son PID pour permettre au superviseur
|
|
# de savoir s'il tourne réellement.
|
|
# ----------------------------------------------------------
|
|
|
|
printf '%s\n' "$$" > "$active_file"
|
|
|
|
cleanup() {
|
|
rm -f "$active_file"
|
|
}
|
|
|
|
trap cleanup EXIT HUP INT TERM
|
|
|
|
# ----------------------------------------------------------
|
|
# Si l'initialisation a déjà été effectuée, rien à faire.
|
|
# ----------------------------------------------------------
|
|
|
|
if [ -e "$marker" ]; then
|
|
exit 0
|
|
fi
|
|
|
|
# ----------------------------------------------------------
|
|
# Couleurs
|
|
# ----------------------------------------------------------
|
|
|
|
RESET="\033[0m"
|
|
BOLD="\033[1m"
|
|
|
|
BLUE="\033[38;5;39m"
|
|
CYAN="\033[38;5;45m"
|
|
GREEN="\033[38;5;82m"
|
|
YELLOW="\033[38;5;220m"
|
|
RED="\033[38;5;196m"
|
|
GREY="\033[38;5;245m"
|
|
WHITE="\033[38;5;255m"
|
|
|
|
separator() {
|
|
printf "''${BLUE}━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━''${RESET}\n"
|
|
}
|
|
|
|
# ----------------------------------------------------------
|
|
# Nettoyage de l'écran
|
|
# ----------------------------------------------------------
|
|
|
|
printf "\033[2J\033[H"
|
|
|
|
echo
|
|
separator
|
|
echo
|
|
printf " ''${BOLD}''${CYAN}🔐 INITIALISATION DE VOTRE YUBIKEY''${RESET}\n"
|
|
echo
|
|
separator
|
|
echo
|
|
|
|
printf " ''${WHITE}Bienvenue.''${RESET}\n"
|
|
echo
|
|
|
|
printf " Pour sécuriser votre accès au poste, vous devez maintenant\n"
|
|
printf " personnaliser le ''${BOLD}PIN de votre YubiKey''${RESET}.\n"
|
|
echo
|
|
|
|
printf " ''${YELLOW}⚠ Cette opération est obligatoire.''${RESET}\n"
|
|
echo
|
|
|
|
# ----------------------------------------------------------
|
|
# Étapes
|
|
# ----------------------------------------------------------
|
|
|
|
printf " ''${BOLD}''${CYAN}[1/3]''${RESET} ''${WHITE}Saisissez votre PIN temporaire.''${RESET}\n"
|
|
printf " ''${GREY}Il vous a été communiqué avec votre poste.''${RESET}\n"
|
|
echo
|
|
|
|
printf " ''${BOLD}''${CYAN}[2/3]''${RESET} ''${WHITE}Choisissez votre nouveau PIN personnel.''${RESET}\n"
|
|
printf " ''${GREY}Ne réutilisez pas le PIN temporaire.''${RESET}\n"
|
|
echo
|
|
|
|
printf " ''${BOLD}''${CYAN}[3/3]''${RESET} ''${WHITE}Confirmez votre nouveau PIN.''${RESET}\n"
|
|
echo
|
|
|
|
separator
|
|
echo
|
|
|
|
printf " ''${GREY}Votre nouveau PIN est enregistré directement dans la YubiKey.''${RESET}\n"
|
|
printf " ''${GREY}Il n'est pas enregistré dans la configuration du poste.''${RESET}\n"
|
|
|
|
echo
|
|
separator
|
|
echo
|
|
|
|
printf " ''${BOLD}''${YELLOW}IMPORTANT''${RESET}\n"
|
|
echo
|
|
printf " • Ne fermez pas cette fenêtre pendant l'opération.\n"
|
|
printf " • Vérifiez l'état de ''${BOLD}Verr Num''${RESET} si vous utilisez le pavé numérique.\n"
|
|
printf " • En cas de doute, utilisez les chiffres situés au-dessus du clavier.\n"
|
|
|
|
echo
|
|
separator
|
|
echo
|
|
|
|
printf " ''${BOLD}''${WHITE}Suivez maintenant les instructions ci-dessous.''${RESET}\n"
|
|
echo
|
|
|
|
# ----------------------------------------------------------
|
|
# Changement du PIN
|
|
# ----------------------------------------------------------
|
|
|
|
if ${pkgs.yubikey-manager}/bin/ykman fido access change-pin; then
|
|
|
|
# --------------------------------------------------------
|
|
# Succès
|
|
#
|
|
# IMPORTANT :
|
|
# le marqueur est créé immédiatement après le succès
|
|
# confirmé par ykman.
|
|
# --------------------------------------------------------
|
|
|
|
${pkgs.coreutils}/bin/mkdir -p "$state_dir"
|
|
${pkgs.coreutils}/bin/touch "$marker"
|
|
|
|
echo
|
|
separator
|
|
echo
|
|
|
|
printf " ''${BOLD}''${GREEN}✔ INITIALISATION TERMINÉE''${RESET}\n"
|
|
|
|
echo
|
|
separator
|
|
echo
|
|
|
|
printf " ''${GREEN}Votre nouveau PIN est maintenant actif.''${RESET}\n"
|
|
echo
|
|
|
|
printf " Utilisez désormais ce nouveau PIN pour vous\n"
|
|
printf " connecter avec votre YubiKey.\n"
|
|
|
|
echo
|
|
printf " ''${GREY}Cette procédure ne sera plus affichée.''${RESET}\n"
|
|
|
|
echo
|
|
separator
|
|
echo
|
|
|
|
printf " Fermeture automatique"
|
|
|
|
for i in 1 2 3 4 5; do
|
|
printf "."
|
|
${pkgs.coreutils}/bin/sleep 1
|
|
done
|
|
|
|
echo
|
|
exit 0
|
|
|
|
else
|
|
|
|
# --------------------------------------------------------
|
|
# Échec / annulation
|
|
#
|
|
# Aucun marqueur n'est créé.
|
|
# Le superviseur relancera automatiquement l'assistant.
|
|
# --------------------------------------------------------
|
|
|
|
echo
|
|
separator
|
|
echo
|
|
|
|
printf " ''${BOLD}''${RED}✖ INITIALISATION NON TERMINÉE''${RESET}\n"
|
|
|
|
echo
|
|
separator
|
|
echo
|
|
|
|
printf " ''${RED}Le PIN n'a pas été modifié.''${RESET}\n"
|
|
echo
|
|
|
|
printf " La fenêtre va être fermée puis l'assistant\n"
|
|
printf " sera automatiquement relancé.\n"
|
|
|
|
echo
|
|
printf " ''${YELLOW}Vous devez terminer cette procédure''${RESET}\n"
|
|
printf " ''${YELLOW}pour finaliser l'initialisation de votre YubiKey.''${RESET}\n"
|
|
|
|
echo
|
|
separator
|
|
echo
|
|
|
|
${pkgs.coreutils}/bin/sleep 4
|
|
|
|
exit 1
|
|
fi
|
|
'';
|
|
|
|
# ============================================================
|
|
# Superviseur de première connexion
|
|
# ============================================================
|
|
|
|
yubikeyFirstLoginSupervisor =
|
|
pkgs.writeShellScript "yubikey-first-login-supervisor" ''
|
|
set -u
|
|
|
|
current_user="$(${pkgs.coreutils}/bin/id -un)"
|
|
|
|
# --------------------------------------------------------
|
|
# Pour le moment, uniquement Alice.
|
|
# --------------------------------------------------------
|
|
|
|
if [ "$current_user" != "alice" ]; then
|
|
exit 0
|
|
fi
|
|
|
|
state_dir="$HOME/.local/state/nixos-workstations"
|
|
marker="$state_dir/yubikey-pin-initialized"
|
|
|
|
runtime_dir="''${XDG_RUNTIME_DIR:-/tmp}"
|
|
|
|
active_file="$runtime_dir/nixos-workstations-yubikey-first-login.active"
|
|
supervisor_lock="$runtime_dir/nixos-workstations-yubikey-first-login.lock"
|
|
|
|
# --------------------------------------------------------
|
|
# Une seule instance du superviseur.
|
|
# --------------------------------------------------------
|
|
|
|
exec 9>"$supervisor_lock"
|
|
|
|
if ! ${pkgs.util-linux}/bin/flock -n 9; then
|
|
exit 0
|
|
fi
|
|
|
|
# --------------------------------------------------------
|
|
# Initialisation déjà terminée.
|
|
# --------------------------------------------------------
|
|
|
|
if [ -e "$marker" ]; then
|
|
exit 0
|
|
fi
|
|
|
|
# Laisse Plasma terminer son démarrage.
|
|
${pkgs.coreutils}/bin/sleep 4
|
|
|
|
# --------------------------------------------------------
|
|
# Boucle de supervision
|
|
# --------------------------------------------------------
|
|
|
|
while [ ! -e "$marker" ]; do
|
|
|
|
assistant_running=0
|
|
|
|
# ------------------------------------------------------
|
|
# Vérifie si l'assistant précédemment lancé tourne
|
|
# réellement toujours.
|
|
# ------------------------------------------------------
|
|
|
|
if [ -s "$active_file" ]; then
|
|
|
|
assistant_pid="$(${pkgs.coreutils}/bin/cat "$active_file" 2>/dev/null || true)"
|
|
|
|
if [ -n "$assistant_pid" ] \
|
|
&& ${pkgs.coreutils}/bin/kill -0 "$assistant_pid" 2>/dev/null; then
|
|
|
|
assistant_running=1
|
|
|
|
else
|
|
|
|
# Fichier devenu obsolète.
|
|
rm -f "$active_file"
|
|
|
|
fi
|
|
fi
|
|
|
|
# ------------------------------------------------------
|
|
# Aucun assistant actif :
|
|
# on en ouvre un.
|
|
# ------------------------------------------------------
|
|
|
|
if [ "$assistant_running" -eq 0 ]; then
|
|
|
|
${pkgs.kdePackages.konsole}/bin/konsole \
|
|
--separate \
|
|
--fullscreen \
|
|
--hide-menubar \
|
|
--hide-tabbar \
|
|
-e ${yubikeyPinChange} \
|
|
>/dev/null 2>&1 &
|
|
|
|
# Laisse le temps à Konsole et au script de démarrer.
|
|
${pkgs.coreutils}/bin/sleep 2
|
|
|
|
else
|
|
|
|
${pkgs.coreutils}/bin/sleep 2
|
|
|
|
fi
|
|
|
|
done
|
|
|
|
# --------------------------------------------------------
|
|
# Le marqueur existe :
|
|
# l'initialisation est terminée.
|
|
#
|
|
# On ne touche PAS à la session KDE.
|
|
# --------------------------------------------------------
|
|
|
|
exit 0
|
|
'';
|
|
|
|
in
|
|
{
|
|
# ============================================================
|
|
# Lancement automatique à l'ouverture de KDE
|
|
# ============================================================
|
|
|
|
environment.etc."xdg/autostart/yubikey-first-login.desktop".text = ''
|
|
[Desktop Entry]
|
|
Type=Application
|
|
Name=Initialisation de la YubiKey
|
|
Comment=Configuration obligatoire de votre PIN personnel
|
|
Exec=${yubikeyFirstLoginSupervisor}
|
|
OnlyShowIn=KDE;
|
|
NoDisplay=true
|
|
StartupNotify=false
|
|
'';
|
|
} |