Entités, profils et habilitations dans GLPI

Dans GLPI, une entité est un périmètre cloisonné de l'instance (une filiale, un client), un profil est un ensemble de droits, et une habilitation associe un utilisateur à un profil sur une entité. Ces trois notions décident de ce que chacun voit et peut faire ; on les pose avant de saisir la première fiche, car les corriger après coup est long. Ce chapitre explique comment les choisir, comment relier GLPI à l'annuaire de l'organisation, comment traduire une matrice d'habilitations et comment protéger les comptes d'administration.

Les entités : cloisonner une instance

Une entité est un compartiment de l'instance. Chaque élément de GLPI (un ordinateur, un ticket, un contrat, une licence) appartient à une entité, et un utilisateur ne voit que les entités sur lesquelles il a une habilitation. Les entités forment un arbre : à l'installation, il n'y en a qu'une, l'entité racine, que tu peux renommer ; tu crées ensuite des sous-entités dans Administration > Entités, bouton Ajouter, en choisissant l'entité parente.

Le cloisonnement est strict : un ticket créé dans une entité est invisible pour quelqu'un qui n'a pas d'habilitation sur elle ou sur une entité parente avec récursivité. C'est précisément ce qu'on cherche quand plusieurs organisations partagent une même instance. Mais c'est aussi une contrainte : un technicien qui doit intervenir partout aura besoin d'habilitations sur toutes les entités.

Il ne faut donc pas créer une entité par site ou par service par réflexe. Trois outils existent, pour trois besoins différents :

Cèdre Habitat a donc choisi une entité racine Cèdre Habitat, qui contient tout le parc du bailleur, et une seule sous-entité, Cèdre Solidarité. Les trois sites sont des lieux, pas des entités : la même équipe de sept personnes intervient partout, et un ticket de Vénissieux doit pouvoir passer à Thomas sans gymnastique de droits.

Les réglages par entité. Beaucoup de paramètres se règlent dans la fiche de l'entité et se transmettent par défaut aux sous-entités (la valeur « Héritage de l'entité parente ») :

Les profils : ce qu'on a le droit de faire

Un profil est un ensemble de droits. Il se règle dans Administration > Profils, avec un onglet par menu de GLPI (Parc, Assistance, Cycle de vie, Gestion, Outils, Administration, Configuration, Sécurité). Chaque profil utilise l'une des deux interfaces :

• l'interface standard, avec les menus, pour les techniciens et les administrateurs ;
• l'interface simplifiée, réduite au portail : créer un ticket, suivre ses tickets, consulter la FAQ, réserver un matériel.

GLPI est livré avec des profils prêts à l'emploi. Leurs noms restent en anglais dans la base, même quand l'interface est en français.

Pour chaque type d'objet, les droits standard sont : Lire, Mettre à jour, Créer, Supprimer (mettre à la corbeille), Purger (effacer définitivement), et pour les notes Lire les notes et Mettre à jour les notes. GLPI ne déduit rien : pour modifier un objet, il faut cocher aussi le droit de le lire.

L'onglet Cycle de vie mérite un regard : il dit, pour chaque profil, quels changements de statut sont permis sur les tickets, les problèmes et les changements. C'est lui qui peut interdire à un technicien de clore lui-même un ticket, par exemple, pour que seule la validation du demandeur ou la clôture automatique le fasse.

L'habilitation : un profil sur une entité

Un compte seul n'a aucun droit. Ce qui donne des droits, c'est une habilitation : un profil appliqué à une entité. La formule à retenir est :

[Utilisateur] a le profil [X] sur l'entité [Y], récursivement ou non.

Récursif signifie que l'habilitation s'étend aux sous-entités. Une personne peut avoir plusieurs habilitations, avec des profils différents selon l'entité. On les donne depuis la fiche de l'utilisateur, onglet Habilitations, ou depuis la fiche de l'entité, onglet Utilisateurs. Une habilitation dynamique est donnée par une règle (à partir de l'annuaire, par exemple) et se recalcule à chaque connexion ; une habilitation saisie à la main est statique.

Chez Cèdre Habitat, les habilitations de la DSI sont posées ainsi :

Les groupes

Un groupe rassemble des utilisateurs (Administration > Groupes). Il ne cloisonne rien ; il organise. Dans la fiche d'un groupe, tu précises à quoi il peut servir : être demandeur ou observateur d'un ticket, être chargé d'un ticket, recevoir des notifications, contenir des éléments du parc, être gestionnaire de lui-même.

À quoi servent les groupes dans GLPI :

• Attribuer les tickets au groupe « Systèmes et réseau » plutôt qu'à Thomas : s'il est absent, son collègue voit la file et prend le ticket. Les règles métier attribuent souvent au groupe (chapitre 9).
• Rattacher le parc : le champ Groupe d'un ordinateur dit à quel service il appartient, le champ Groupe responsable technique dit quelle équipe le maintient.
• Notifier : « prévenir le groupe chargé du ticket » vise tous ses membres.
• Cibler les articles de la base de connaissances et les formulaires.
• Porter les OLA : depuis GLPI 12, un OLA est rattaché à un groupe (chapitre 11).

Un groupe peut être importé de l'annuaire (groupe dynamique) ou créé à la main.

Les utilisateurs : comptes locaux et annuaire LDAP

Un utilisateur se crée à la main dans Administration > Utilisateurs, avec un identifiant, un nom, une adresse électronique et un mot de passe. C'est acceptable pour un TP ou une petite structure. Dès qu'il existe un annuaire (Active Directory, OpenLDAP), on y relie GLPI : les utilisateurs se connectent avec leur mot de passe habituel, leurs coordonnées sont à jour, et un compte désactivé dans l'annuaire ne peut plus entrer dans GLPI.

La liaison se règle dans Configuration > Authentification > Annuaires LDAP, bouton Ajouter. Le bouton de préconfiguration Active Directory remplit les valeurs habituelles ; il reste à compléter :

Le bouton Tester vérifie la connexion. Ensuite, deux façons de créer les comptes dans GLPI : les importer en masse depuis Administration > Utilisateurs, bouton Liaison annuaire LDAP, ou les laisser se créer à la première connexion. Dans les deux cas, une synchronisation régulière (action automatique ou commande de la console) met à jour les fiches et peut désactiver les comptes supprimés de l'annuaire.

Reste à donner les bonnes habilitations sans les saisir une par une : c'est le rôle des règles d'affectation d'habilitations à un utilisateur (Administration > Règles). Chaque règle a des critères (un groupe de l'annuaire, un attribut, un domaine de messagerie) et des actions (entité, profil, récursivité). Les règles de Cèdre Habitat :

Les règles s'appliquent dans l'ordre de la liste. Depuis GLPI 11, une action Refuser la connexion permet aussi d'empêcher un compte de se connecter tout en le gardant dans GLPI (un compte de service importé de l'annuaire, par exemple). Le fonctionnement de LDAP et d'Active Directory est détaillé dans le cours Authentification.

Traduire une matrice d'habilitations dans GLPI

Une matrice d'habilitations est un tableau validé par le responsable, qui croise les rôles et les droits. C'est le document de référence que la commission de l'E5 veut voir à côté de la configuration. Voici celle qu'Inès a fait valider pour GLPI :

La traduction dans GLPI se fait en trois temps :

1. Un profil par ligne : Super-Admin pour la responsable ; Admin ou un clone « Technicien N2 » ; un clone « Technicien N1 » ; un profil « Contrôle de gestion » créé à partir d'Observer, avec seulement la lecture du parc et des informations financières ; Self-Service pour les salariés.
2. Un groupe par équipe : Support N1, Systèmes et réseau, Applications.
3. Des habilitations sur la bonne entité, posées par des règles quand l'annuaire le permet.

Puis tu vérifies : connecte-toi avec un compte de test de chaque rôle, ou utilise la fonction Personnifier (prendre l'identité) d'un utilisateur, en haut de sa fiche, pour voir GLPI exactement comme lui. GLPI note ces actions dans l'historique avec la mention de l'administrateur, et n'autorise à prendre l'identité que d'un compte moins privilégié que le sien. La méthode générale de la matrice d'habilitations, valable pour toute application, est dans le cours Authentification.

Sécuriser les comptes : double authentification, ré-authentification, sessions

Un compte d'administration de GLPI donne accès à la liste de tous les postes, de leurs logiciels et de leurs failles potentielles, aux tickets (qui contiennent parfois des données personnelles) et à la configuration de l'annuaire. Il mérite une protection particulière.

La double authentification (2FA). Depuis GLPI 11, chaque utilisateur peut activer un second facteur par code à usage unique (TOTP), généré par une application d'authentification sur son téléphone : dans ses préférences, il scanne un QR code, puis saisit un code à chaque connexion. L'administrateur peut la rendre obligatoire pour un profil (onglet Sécurité du profil, case Forcer 2FA) ou pour une entité, avec une période de grâce en jours pour laisser aux utilisateurs le temps de s'équiper. Fais-le au moins pour Super-Admin et Admin.

La ré-authentification (GLPI 12). Être connecté ne suffit plus pour entrer dans les zones sensibles : utilisateurs, profils et habilitations, groupes, annuaires LDAP, configuration générale et de l'inventaire, plugins, journaux. GLPI redemande une preuve d'identité (le code 2FA s'il est activé, sinon le mot de passe), puis laisse une fenêtre de 15 minutes sans redemander. Une session volée ou un poste laissé déverrouillé ne suffit donc plus à créer un compte administrateur.

La gestion des sessions (GLPI 12). Un administrateur voit les sessions ouvertes et peut en révoquer une, ou toutes celles d'un utilisateur. C'est le geste à faire quand un portable est perdu ou qu'un compte est suspecté d'être compromis. Les données de connexion sont conservées selon une durée réglée dans Configuration > Données et confidentialité, et une action automatique purge l'historique ancien.

La politique de mots de passe (longueur, caractères, expiration) se règle dans Configuration > Sécurité depuis GLPI 12 (elle était dans la configuration générale auparavant). Elle ne concerne que les comptes locaux : pour les comptes de l'annuaire, c'est la politique du domaine qui s'applique.

Exercices

Exercice 1 sur 4 Qui voit quoi ? Réussi À revoir

Avec les habilitations de Cèdre Habitat décrites dans ce chapitre, réponds par oui ou non, en justifiant.

1. Sarah peut-elle traiter un ticket créé par un salarié de Cèdre Solidarité ?
2. Karim, salarié de l'association, voit-il les articles de la FAQ du bailleur ?
3. Mme Roussel, salariée du bailleur, peut-elle voir le parc de l'association ?
4. La présidente de l'association peut-elle modifier un contrat de l'association ?
5. Lucas peut-il purger un ordinateur mis à la corbeille ?

Voir la réponseMasquer la réponse de l'exercice 1

1. Oui : elle est Technician (clone N1) sur Cèdre Habitat en récursif, donc aussi sur la sous-entité Cèdre Solidarité.
2. Non, sauf si un article cible aussi son entité : il n'a d'habilitation que sur Cèdre Solidarité, et un article n'est visible que par ses cibles (chapitre 12). Un article publié pour l'entité racine en récursif, en revanche, serait visible des deux.
3. Non : son habilitation Self-Service porte sur Cèdre Habitat sans récursivité, et l'interface simplifiée ne montre de toute façon pas le parc.
4. Non : Observer est un profil de lecture ; il n'a pas le droit de mettre à jour les contrats.
5. Non : le profil « Technicien N1 » a été créé sans le droit Purger.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Entité, groupe ou lieu ? Réussi À revoir

Pour chaque situation, choisis l'outil de GLPI le plus adapté et justifie.

1. Une société d'infogérance gère le parc de quatre PME clientes, qui ne doivent pas voir les tickets des autres.
2. Une mairie veut savoir quels postes sont à l'école Jules-Ferry et lesquels à la médiathèque ; la même équipe intervient partout.
3. Chez Cèdre Habitat, les tickets « Logiciel de gestion locative » doivent arriver à Nadia ou à un autre membre de l'équipe applications.
4. Une filiale veut ses propres heures ouvrées, son propre SLA et ses propres notifications.

Voir la réponseMasquer la réponse de l'exercice 2

1. Une entité par client, sous une entité racine de l'infogérant. Les techniciens de l'infogérant ont une habilitation récursive sur la racine ; chaque client a des habilitations sur sa seule entité. C'est le cas d'école du cloisonnement.
2. Des lieux (école Jules-Ferry, médiathèque) : rien n'est à cacher, il faut seulement situer les postes.
3. Un groupe « Applications », chargé des tickets de cette catégorie (la catégorie peut désigner ce groupe, ou une règle métier l'attribue).
4. Une entité pour la filiale : calendrier, gabarits, notifications et clôture automatique se règlent par entité, et les SLA lui sont appliqués par des règles.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 De la matrice aux règles Réussi À revoir

L'annuaire de Cèdre Habitat contient les groupes GG_DSI_N1, GG_DSI_N2 et GG_CONTROLE_GESTION. Écris les trois règles d'affectation d'habilitations correspondant à la matrice du chapitre (critère, actions), puis dis comment tu vérifies le résultat.

Voir la réponseMasquer la réponse de l'exercice 3

Règle	Critère	Actions
DSI N1	Groupe d'annuaire est GG_DSI_N1	Profil « Technicien N1 », entité Cèdre Habitat, récursif : oui
DSI N2	Groupe d'annuaire est GG_DSI_N2	Profil « Technicien N2 » (ou Admin), entité Cèdre Habitat, récursif : oui
Contrôle de gestion	Groupe d'annuaire est GG_CONTROLE_GESTION	Profil « Contrôle de gestion », entité Cèdre Habitat, récursif : oui si le contrôle de gestion suit aussi l'association, non sinon

Vérification : un compte de test membre de chaque groupe se connecte ; dans sa fiche, l'onglet Habilitations affiche le profil et l'entité attendus, marqués comme dynamiques. On contrôle ensuite les menus visibles, ou on utilise Personnifier. Enfin, on joint la matrice validée et les captures au portfolio.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Audit de sécurité express Réussi À revoir

En arrivant en stage, tu constates : le compte glpi est actif avec son mot de passe d'origine ; tous les techniciens ont le profil Super-Admin « pour aller plus vite » ; trois anciens stagiaires ont encore un compte actif ; personne n'a activé la double authentification. Classe ces constats du plus grave au moins grave et propose une correction pour chacun.

Voir la réponseMasquer la réponse de l'exercice 4

1. Le compte glpi avec son mot de passe d'origine : n'importe qui sur le réseau peut devenir administrateur avec un identifiant connu de tous. Correction immédiate : créer des comptes Super-Admin nominatifs, puis désactiver glpi (ou au minimum changer son mot de passe).
2. Tous les techniciens en Super-Admin : violation du moindre privilège ; une erreur ou un compte compromis suffit à casser la configuration ou à exfiltrer l'annuaire. Correction : leur donner un profil Technician ou un clone adapté, sur la bonne entité.
3. Comptes d'anciens stagiaires actifs : accès possible par des personnes qui n'ont plus de raison d'en avoir. Correction : les désactiver, et mettre en place la désactivation par synchronisation avec l'annuaire.
4. Pas de double authentification : les comptes privilégiés reposent sur un seul mot de passe. Correction : forcer la 2FA sur les profils Super-Admin et Admin, avec une courte période de grâce.

L'ordre peut se discuter entre 2 et 3 ; l'essentiel est de traiter le premier le jour même et de documenter chaque correction dans un ticket.

Tu avais trouvé ?

Oui, j'avais bonPas encore