Onglet Sécurité d’Easy Config

Compte des services Windows

Les services Windows MyQ s’exécutent, par défaut, sous le compte Système local, c’est-à-dire le compte utilisé lors de l’installation.

Exigences relatives à un compte de service personnalisé

Le compte Système local dispose d’un accès implicite aux ressources locales dont ne bénéficie pas un compte personnalisé (utilisateur de domaine ou gMSA). Avant de changer de compte de service Windows, accordez au compte cible les droits suivants :

• NTFS – Modifier sur le dossier de données MyQ (C:\ProgramData\MyQ par défaut) et sur C:\Program Files\MyQ. Sans cela, Firebird ne peut pas ouvrir sa base de données de sécurité et toute connexion échoue (Error occurred during login), et le fichier firebird.log n’est pas accessible en écriture.

• Registre – Contrôle total / Écriture sur HKLM\SOFTWARE\WOW6432Node\JANUS. Sans cela, le serveur d’impression échoue au démarrage avec une erreur de code 5, et le service se termine avec l’erreur Win32 1 (Fonction incorrecte, ID d’événement 7023).

• Si un certificat de serveur est installé dans le magasin de certificats Windows (par exemple, pour le protocole HTTPS) : accordez au compte un accès en lecture à la clé privée du certificat.

• Si le terminal embarqué HP est utilisé : réservez l’URL HTTP.sys pour le compte, sinon MyQHPTerminal.exe ne pourra pas démarrer. Exécutez :

  netsh http add urlacl url=http://+:8130/ user=<account>
  

Passer à un compte personnalisé

Vous pouvez modifier le compte dans l’onglet Paramètres, dans la section Compte des services Windows :

• Sous Se connecter aux services en tant que, sélectionnez Compte personnalisé.

• Cliquez sur Parcourir, sélectionnez le compte utilisateur à utiliser pour les services Windows, puis cliquez sur OK. Le compte utilisateur sélectionné doit disposer des droits d’Administrateur local ou faire partie du groupe des administrateurs locaux. Vous pouvez également sélectionner un compte gMSA ; dans ce cas, aucun mot de passe n’est requis. Ce compte doit également disposer des droits permettant de se connecter en tant que service.

• Saisissez le mot de passe du compte, puis confirmez-le dans le champ suivant.

• Cliquez sur Enregistrer. Les services MyQ sont automatiquement arrêtés puis redémarrés.

• Pour revenir au compte par défaut, sélectionnez le compte Système local, puis cliquez sur Enregistrer. Les services MyQ sont automatiquement arrêtés puis redémarrés.

Ce paramètre peut être modifié dans l’onglet Paramètres, dans la section Compte des services Windows :

• Sous Se connecter aux services en tant que, sélectionnez Compte personnalisé.

• Cliquez sur Parcourir, sélectionnez le compte utilisateur à utiliser pour les services Windows, puis cliquez sur OK. Le compte utilisateur sélectionné doit disposer des droits d’Administrateur local ou faire partie du groupe des administrateurs locaux. Vous pouvez également sélectionner un compte gMSA ; dans ce cas, aucun mot de passe n’est requis. Ce compte doit également disposer des droits permettant de Se connecter en tant que service.

• Saisissez le mot de passe du compte, puis confirmez-le dans le champ suivant.

• Cliquez sur Enregistrer. Les services MyQ sont automatiquement arrêtés puis redémarrés.

• Pour revenir au compte par défaut, sélectionnez le compte Système local, puis cliquez sur Enregistrer. Les services MyQ sont automatiquement arrêtés puis redémarrés.

Modification des mots de passe dans l’onglet Sécurité

Dès que vous remplacez le mot de passe par défaut, cette section disparaît de l’onglet Accueil et il n’est plus possible de modifier le mot de passe à cet endroit.

Compte d’administrateur du serveur

Il s’agit du compte *admin utilisé pour la configuration initiale de MyQ. Une fois que vous avez créé un mot de passe pour ce compte, vous pouvez accéder à l’interface Web MyQ, utiliser *admin pour vous connecter en tant qu’administrateur et lancer la configuration. Il est généralement recommandé de désactiver ce compte une fois que vous avez créé des comptes d’administrateur dédiés ; vous pouvez le faire dans l’onglet Sécurité.

Compte d’administrateur de la base de données

Il s’agit du compte SYSDBA utilisé pour accéder à la base de données Firebird. Il est recommandé de créer un mot de passe fort et sécurisé pour ce compte.

Déverrouillage du compte administrateur MyQ

Après 5 tentatives de connexion infructueuses consécutives au compte administrateur MyQ, le compte est verrouillé.

L’administrateur peut consulter un avertissement indiquant que le compte *admin est verrouillé et le déverrouiller dans la section Compte d’administrateur du serveur de l’onglet Sécurité. Il suffit de cliquer sur Déverrouiller pour que le compte soit déverrouillé.

Chiffrement des données

Dans la section Chiffrement des données, pour une sécurité accrue, vous pouvez chiffrer la base de données principale, la base de données des journaux et les travaux d’impression à l’aide d’un certificat. MyQ ne fournit pas ces certificats. Vous devez installer et utiliser les vôtres. Le certificat utilisé pour le chiffrement doit disposer de l’utilisation de clé étendue (EKU) Encrypting File System et doit se trouver dans l’un des magasins de certificats de l’ordinateur suivants :

• Personnel

• Éditeurs de confiance

• Autorités de certification racines tierces

• Autres personnes

Une fois installé, il apparaîtra dans la liste déroulante Certificat.

Cliquez sur Chiffrer à côté de Base de données principale MyQ, Base de données des journaux MyQ ou Travaux d’impression. Les travaux de numérisation sont chiffrés par défaut.

Pendant le chiffrement, les autres services ne seront pas disponibles. Un indicateur d’activité vous permettra de suivre le processus de chiffrement/déchiffrement :

Une fois le chiffrement terminé, le bouton Chiffrer deviendra Déchiffrer, ce qui vous permettra d’inverser l’opération.

Serveur Web

Dans la section Serveur Web, vous ne devez activer l’option Autoriser les communications non sécurisées qu’en cas de problèmes de communication.

Activation des scripts PHP

Dans la section Avancé, vous pouvez activer ou désactiver la modification des scripts PHP dans l’interface Web ; par défaut, cette option est désactivée.