First Boot Premier Pas FR

Premier démarrage : Premier Pas

English

🔴 BOOT — déploiement et provisionnement

À quoi ça sert. Amener une box neuve de « vient d'être allumée » à « configurée » : nom, horloge, administrateur, réseau et domaine, profil de services, maillage, mises à jour. Un seul moteur, un seul fichier de profil, plusieurs faces (l'écran qu'on utilise) : un assistant console sur tty1, un assistant web dans le kiosque, un panneau maître sur une autre box, ou aucune face (silencieux). La même famille de paquets décide aussi de l'interface locale que la box montre ensuite : le kiosque WebUI ou la console texte.

Un moteur, quatre faces

premier-pasctl valide un profil étape par étape, montre le plan exact, et l'applique en pilotant les outils SecuBox existants. Un profil incomplet n'est jamais appliqué à moitié : l'assistant reprend à l'étape manquante. Aucun mot de passe n'est stocké en clair (seulement une empreinte argon2).

Face	Où	Quand
Console (TUI)	tty1, écran curses de 64 colonnes qui marche aussi sur une console série	box neuve, pas de marqueur d'achèvement
Assistant web	page premier-pas/, ouverte par le kiosque avec un code de démarrage à usage local	box neuve avec un écran
Panneau maître	le panneau d'administration d'une autre SecuBox	préparer le profil d'une future box, l'exporter, ou le pousser à une box qui affiche son code de démarrage
Silencieux	secubox-premier-pas.service	un profil complet est trouvé : appliqué sans écran

Où se cherche un profil prêt

Dans l'ordre : /boot/secubox/profil.toml, /boot/firmware/secubox/profil.toml (Raspberry Pi), puis une clé USB d'étiquette SBXPROFIL (montée en lecture seule le temps de la lire). On peut aussi désigner le profil sur la ligne noyau par secubox.profil=<chemin>. S'il est complet, la box s'applique seule ; sinon l'assistant s'ouvre à la première étape manquante.

Vérifier un fichier d'avance : premier-pasctl examiner --profil <fichier> ; voir le plan : premier-pasctl plan --profil <fichier>.

Les étapes

#	Étape	Pilote	Remarques
1	Bienvenue
2	Nom de la box	hostnamectl, /etc/hosts, annonce Avahi
3	Horloge	timedatectl (fuseau, NTP)	avant l'administrateur : l'enrôlement TOTP dépend de l'heure
4	Administrateur	moteur d'utilisateurs de secubox-auth	mot de passe = empreinte argon2 ou « demander » à l'écran ; le TOTP s'enrôle sur l'écran de la box à la première connexion
5	Réseau et domaine	secubox-net-detect apply router|bridge|single	mode routeur, pont ou lan ; pas de domaine en mode lan
6	Services	secubox-profilectl apply <profil> --yes	un profil de Profils (lite, isp, full...) ou « garder les modules actuels »
7	Maillage	sbx-mesh-join	rejoindre (une box maîtresse, avec un jeton d'invitation), premiere, plus_tard
8	Mises à jour	minuterie secubox-majauto	chaque nuit, paquets SecuBox seulement, depuis le dépôt signé
9	Appliquer		les étapes s'exécutent dans l'ordre et s'arrêtent à la première erreur

Détection réseau

L'étape réseau applique le mode choisi par secubox-net-detect. En mode lan sur une image qui ne livre pas cet outil, il n'y a qu'une carte et rien à reconfigurer : le réseau en place est conservé, après vérification qu'une route par défaut existe (sinon l'étape échoue en le disant, car les étapes suivantes, apt et tunnel, n'iraient nulle part). routeur et pont exigent l'outil et échouent clairement sans lui.

Marqueur d'achèvement

Le marqueur /var/lib/secubox/.premier-pas-fait n'est écrit qu'à la toute fin, quand toutes les étapes ont réussi. Tant qu'il est absent, les unités de l'assistant ont le droit de démarrer ; une fois posé, elles ne démarrent plus jamais. L'avancement se lit avec premier-pasctl etat ; le journal est /var/log/secubox/premier-pas.log.

Touches de la console

Touche	Action
Tab	champ suivant
Haut / Bas, Gauche / Droite, + / -, espace, chiffre	choisir une option
Entrée	continuer
Échap	retour
F10	quitter (la console de la box reprend tty1)

Assistant web et code de démarrage

Une box neuve n'a pas encore d'administrateur : il n'y a donc pas de session à exiger. À la place, root crée un code de démarrage dans /run au lancement de l'assistant ; le lanceur du kiosque le passe à la page, et la console l'affiche à l'écran de la box. Seule la personne devant la box (ou sur sa console) détient le code. Une fois la box configurée, plus aucune écriture n'est acceptée. Une box maîtresse peut pousser une proposition à une box neuve avec ce code ; la box neuve l'affiche et la personne devant l'écran l'accepte ou la refuse.

Faces conditionnelles

L'assistant ne concurrence jamais les autres façons de mettre une box en service :

Situation	Comportement
Marqueur présent (box configurée)	aucune unité de l'assistant ne démarre
Un fichier de réponses Auto-Load signé est présent	l'assistant manuel reste fermé (il écraserait le nom et le réseau signés), sauf si l'agent Auto-Load a abandonné (marqueur abandon.json) : l'assistant reprend alors la main
Pas de fichier de réponses	assistant, code de démarrage et propositions du maître comme d'habitude

Voir Auto-Load-FR pour le parcours sans surveillance.

Interface locale après la mise en service : kiosque ou console

Le paquet secubox-console livre la console texte (TUI) et deux dépendances de configuration systemd (drop-ins) qui rendent les deux interfaces locales exclusives, pour qu'elles ne se disputent jamais l'écran :

Drop-in	Effet
kiosk-sentinelle.conf	l'unité du kiosque WebUI (secubox-kiosk) ne démarre que si /var/lib/secubox/.kiosk-enabled existe. C'est une condition d'unité : sur une box sans tête l'unité est ignorée proprement au lieu d'échouer (une unité en échec faisait annuler tout un apply au moteur de profils)
console-sans-kiosque.conf	la console TUI (secubox-console, tty1) ne démarre que si cette sentinelle est absente

Donc : kiosque activé = Chromium plein écran sur la WebUI ; kiosque désactivé ou absent (pas d'écran, port série, pas de X) = console texte sur tty1. Le kiosque et la console sont dans tous les profils ; leurs unités ne démarrent simplement pas quand leur condition n'est pas remplie.

Basculer

secubox-kiosk-setup status       # mode courant
secubox-kiosk-setup enable       # kiosque graphique (X11 par défaut, --wayland possible)
secubox-kiosk-setup disable      # retour à la console
secubox-kiosk-setup console      # console TUI sur tty1 (coupe le kiosque)
secubox-kiosk-setup no-console   # pas de TUI : connexion ordinaire sur tty1

Sur l'image live, le menu de démarrage propose « Kiosk GUI » (par défaut) et « Console TUI » (paramètres noyau secubox.kiosk=1 et secubox.mode=tui). Si le kiosque échoue trois fois de suite, il se désactive pour éviter une boucle de démarrage ; le réactiver par touch /var/lib/secubox/.kiosk-enabled.

La console TUI

Écrans : Tableau de bord (CPU, mémoire, disque, durée de fonctionnement, santé), Services (démarrer, arrêter, redémarrer, activer, désactiver), Réseau (interfaces), Journaux (par unité), Menu (informations système, redémarrage, arrêt, bascule du kiosque).

Touche	Écran
d / s / n / l / m	Tableau de bord / Services / Réseau / Journaux / Menu
r	rafraîchir
j k h	bas, haut, retour
q	quitter

Sur l'écran Services : Entrée bascule, R redémarre, e active, D désactive. La console parle aux modules par leurs sockets Unix et se rabat sur des commandes locales quand une socket manque. Elle a aussi des écrans de flotte SOC quand une passerelle SOC est configurée. Couleurs par carte : MOCHAbin (bleu ciel, PRO), ESPRESSObin v7 (vert, LITE), ESPRESSObin Ultra (turquoise), VM x64 (violet), x64 sur matériel (orange), Raspberry Pi (rose).

Dépannage

Symptôme	Cause	Que faire
L'assistant n'apparaît jamais sur une box qui porte un fichier de réponses signé	voulu : l'Auto-Load s'occupe de la mise en service	suivre autoload-agentctl etat ; après 8 échecs l'assistant reprend la main
Écran noir, pas de kiosque	pas de sentinelle .kiosk-enabled, ou kiosque désactivé après 3 échecs	secubox-kiosk-setup enable ou utiliser la console
L'étape « Réseau » échoue	pas de route par défaut en mode lan, ou secubox-net-detect absent pour routeur/pont	brancher le câble, corriger le réseau, puis reprendre : l'assistant repart de l'étape en échec
Le maillage expire	la box maîtresse n'est pas joignable juste après le changement de réseau	l'étape réessaie ; vérifier la maîtresse et le jeton d'invitation (valable 15 minutes)

Voir aussi

• Auto-Load-FR - le provisionnement sans surveillance
• Profils - ce qu'installe chaque profil de services
• Installation-FR, Live-USB-FR - mettre une image sur une machine
• Configuration-FR - réglages après le premier démarrage
• Troubleshooting-FR