Hide navigation sidebar
Hide table of contents sidebar
Skip to content
Quickstart Official documentation Setuphelpers Changelog FAQ
Back to top
View this page
Toggle table of contents sidebar

# 11. Renforcer la sécurité de votre installation WAPT - Côté Console

## 11.1. Génération de l’autorité de certification (CA)

Lors de l’installation de WAPT, il vous est demandé de créer une paire .pem / .crt en cochant les cases Pour Signature de code et Pour usage en tant que CA.

Cette paire .pem / .crt permettra de signer les paquets WAPT et les nouveaux certificats.

### 11.1.1. Générer un nouveau certificat avec l’Autorité de Certification

Construire une nouvelle paire `.pem` / `.crt`.

Note

Le nouveau certificat ne sera pas un certificat auto-signé ;

Ce nouveau certificat sera signé par le CA (la clé générée lors de la première installation de WAPT) ;

Vous devez ensuite remplir la Clé privée de l’autorité et le Certificat de l’autorité.

Lors de la génération de la nouvelle paire pem/ crt, vous avez la possibilité de choisir si le nouveau certificat sera de type Pour Signature de code ou non.

Indication

Pour rappel, un certificat Pour Signature de code est réservé aux personnes ayant le rôle Administrateur dans le contexte de WAPT et un simple certificat SSL sans l’attribut Pour Signature de code est réservé aux personnes ayant le rôle Déployeur de paquet.

Les Administrateurs seront autorisés à signer les paquets qui CONTIENNENT un fichier exécutable `setup.py` (c’est-à-dire les paquets base).

Les personnes ayant le rôle de Déployeur de paquet seront autorisées à signer les paquets qui NE CONTIENNENT PAS le fichier exécutable `setup.py` (c’est-à-dire les paquets host, unit et group).

Génération d’un certificat sans l’attribut Pour Signature de code

Les clés et les certificats qui ne sont pas Signature de code peuvent être distribués aux personnes chargées de déployer les paquets sur la base installée des appareils équipés de WAPT.

Une autre équipe disposant de certificats ayant l’attribut Pour Signature de code préparera les paquets WAPT contenant les applications qui devront être configurées conformément aux directives de sécurité de l’Organisation et aux personnalisations utilisateur souhaitées par celle-ci.

Génération d’un certificat avec l’attribut Pour Signature de code

La génération d’une nouvelle paire .pem / .crt permettra également d’identifier formellement la personne qui a signé un paquet en recherchant l’attribut CN du certificat de paquet WAPT.

Indication

Les nouveaux certificats ne seront pas des Autorités de Certification, ce qui signifie qu’ils ne seront pas autorisés à signer d’autres certificats.

En règle générale, il n’y a qu’une seule paire pem / crt d”Autorité de Certification par Organisation.

Attention

Il n’est pas nécessaire de déployer des certificats enfants avec l’Agent WAPT.

Les certificats enfants sont utilisés avec la Console WAPT pour autoriser ou restreindre les actions dans la console.

### 11.1.2. Déploiement des certificats des administrateurs informatiques locaux sur les clients

Indication

Certaines organisations choisiront de laisser les administrateurs informatiques locaux effectuer des actions sur les appareils équipés de WAPT en leur délivrant des certificats personnels qui fonctionneront sur l’ensemble des appareils dont les administrateurs informatiques locaux sont responsables.

Les administrateurs informatiques du siège déploieront les certificats des administrateurs informatiques locaux sur les ordinateurs que les administrateurs locaux gèrent sur leurs sites respectifs.

Ainsi, les administrateurs informatiques locaux ne pourront pas gérer les ordinateurs situés au siège, mais uniquement sur leurs propres sites.

Il est possible de gérer simplement et de manière plus fine en utilisant Access Control Lists avec la version Enterprise de WAPT.

Vous devrez copier les certificats des administrateurs informatiques locaux autorisés sur les clients WAPT dans `C:\program files(x86)\wapt\ssl`.

Indication

Ne pas oublier de redémarrer le service WAPT sur les clients pour qu’ils utilisent leur nouveau certificat. Ouvrez une console en ligne de commande cmd.exe.

    net stop waptservice && net start waptservice

Si vous voulez déployer les certificats en utilisant WAPT, utilisez un paquet de certificat

## 11.2. Afficher l’onglet des certificats dans la Console WAPT

Dans cet onglet, vous pouvez voir les certificats auxquels la machine accepte de faire confiance.

> Fenêtre montrant les certificats approuvés par la machine sélectionnée

## 11.3. Configuration des listes de contrôle d’accès

Indication

L’utilisateur SuperAdmin de WAPT est authentifié par un mot de passe stocké dans `waptserver.ini` comme valeur de l’attribut `wapt_password`. Les autres utilisateurs WAPT peuvent être des utilisateurs locaux `htpasswd_path`) ou des utilisateurs de comptes AD (`ldap_auth_server` / `ldap_auth_base_dn`).

Les ACL définissent les actions autorisées pour tous les types d’utilisateurs dans le contexte WAPT.

Note

Les ACLs par défaut au niveau utilisateur sont définies par `default_ldap_users_acls` dans `waptserver.ini`.

L’ACL par défaut pour un nouvel utilisateur est `vue`.

Attention

La sécurité est définie par le certificat déployé sur les clients, et non par les ACL.

Les ACL limitent simplement les actions que le serveur est autorisé à relayer de la Console WAPT aux Agents WAPT.

A la date du 2026-02-09 , les Agents WAPT ne vérifient pas les droits ACL.

Pour configurer les ACL dans WAPT, allez dans Serveur ‣ Gérer les utilisateurs WAPT et des droits.

Note

Au premier lancement après l’installation du Serveur WAPT, seul le compte SuperAdmin est présent dans la liste des utilisateurs.

Si le compte SuperAdmin n’existe pas ou ne possède pas le droit admin, le compte est recréé en redémarrant le service du Serveur WAPT.

Le compte SuperAdmin est authentifié en utilisant la valeur de `wapt_password` dans le fichier de configuration `waptserver.ini`.

### 11.3.1. Création du compte utilisateur

Deux types de comptes sont gérables par ACL, local et Active Directory.

- Dans la fenêtre Droits des Utilisateurs WAPT, cliquez sur Nouveau compte.

Il est possible de renommer des comptes en appuyant sur `F2` sur la colonne User.

Entrez le nom d’utilisateur, par exemple user1.

Note

Les utilisateurs locaux sont définis par un fichier .htpasswd.

Remplissez le nom d’utilisateur et ajoutez @votre_domaine.lan, par exemple user1@mydomain.lan.

Note

Pour gérer les utilisateurs WAPT avec votre Active Directory, vous devez activer l’authentification Active Directory.

Après une première connexion réussie, le compte AD apparaîtra automatiquement dans la liste des utilisateurs WAPT.

- Sauvegardez en cliquant sur Enregistrer les comptes.

- Pour définir un mot de passe, voir le point Changez le mot de passe.

- Pour définir les droits, consultez la section gérer les droits ACL.

Si l’utilisateur local a un mot de passe dans `waptusers.htpasswd`, alors, le nom d’utilisateur apparaît en gras et Mots de passe est coché, sinon changez le mot de passe pour cet utilisateur.

### 11.3.2. Changer le mot de passe de l’utilisateur

Pour changer le mot de passe du compte sélectionné :

- Faites un clic droit sur le compte ‣ Changer le mot de passe utilisateur sur le Serveur WAPT.

- Saisissez le nouveau mot de passe.

Boîte de dialogue permettant de modifier le mot de passe de l’utilisateur dans le fichier htaccess

L’utilisateur local apparaît en gras et la case Mots de passe est cochée.

### 11.3.3. Blocage des comptes d’utilisateurs locaux

Pour désenregistrer les utilisateurs locaux, faites clic droit sur le compte ‣ Invalider le mot de passe de l’utilisateur sur le Serveur WAPT.

Le compte sera bloqué et ne pourra plus gérer quoi que ce soit dans WAPT.

### 11.3.4. Liste des droits

De nombreux droits et restrictions peuvent être définis pour chaque utilisateur dans la Console WAPT.

Liste des droits des utilisateurs
Droit | Description
--- | ---
Admin | Comme SuperAdmin, tous les droits sont accordés sauf Mot de passe.
Voir | Permet de visualiser uniquement les informations sur la Console WAPT.
voir avec certificat | Limite l’affichage de la vue, au certificat associé à l’utilisateur.
Inscrire machine | Permet d’utiliser les informations d’identification de l’administrateur pour enregistrer manuellement une machine sur le Serveur WAPT.
Désinscrire machine | Permet de supprimer une machine depuis la Console WAPT.
Modifier la machine | Permet de modifier le paquet machine sur la Console WAPT.
Affecter des paquets | Permet d’attribuer un ou plusieurs paquets sur des hôtes à l’aide de la console WAPT.
Actions distantes machine | Permet d’utiliser les outils Windows de Gestion de l’ordinateur avec la Console WAPT.
Lancer les mises à jour | Permet d’appliquer à distance des mises à jour sur son périmètre, si la machine est en statut PENDING.
Modif paquets | Permet de modifier les paquets de base qu’elle est autorisée à modifier.
Modif groupes | Permet de modifier les paquets de groupe sur la Console WAPT.
Modif self-service | Permet de modifier les règles de self-service sur la Console WAPT.
Modif WUA | Permet de modifier les règles WUA / WSUS sur la Console WAPT.
Modif groupes AD | Permet de modifier les packages profile sur la Console WAPT.
Modif Org Units | Permet de modifier les paquets unit sur la Console WAPT.
Modifier paquets configuration | Permet de créer, modifier ou supprimer des paquets de configuration sur la console WAPT.
Modifier requêtes | Permet de créer ou modifier des requêtes de rapport.
Lancer requête | Permet de exécuter des rapports SQL existants.
Voir les données d’audit | Permet de lire le contenu des données d’audit de l’onglet sur la console WAPT.
Admin WADS | Permet à un utilisateur de disposer des droits d’administrateur pour WADS sur la console WAPT.
Déploiement de machine WADS | Permet à un utilisateur d’activer le bouton de déploiement sur la console WAPT.
Vue WADS | Permet de lire le contenu de l’onglet OS Deploy.
MAJ données audit | Permet de créer, modifier ou supprimer les données de l’onglet Audit Data sur les hôtes.
Ajouter une ressource | Permet de mettre à jour l’hôte avec des données personnalisées.

### 11.3.5. Gestion des droits

Par défaut, le SuperAdmin est l’utilisateur du Certificat CA.

Pour les autres utilisateurs, il est possible d’associer un certificat généré à partir du WAPT PKI ou d’une autre CA.

Ces certificats peuvent ou non être des enfants de l’autorité de certification WAPT.

Important

Si les certificats ne sont pas émis par l’autorité de certification :

- Les paquets WAPT mis à jour ne sont disponibles que sur les ordinateurs sur lesquels des certificats sont déployés. Utilisez cette section pour créer et déployer facilement des certificats utilisateur.

- Les ACL sont valides uniquement sur le périmètre des hôtes où le certificat de l’administrateur est déployé.

1. Sélectionner un utilisateur.

2. Choisissez une ou plusieurs ACLs à assigner.

3. Définissez l’autorisation ( souvent interdire ou autoriser).

4. Sauvegarder vos changements.

Exemple : attribuer l’autorisation « enregistrer les hôtes » à l’utilisateur user1.

1. Ouvrez la console WAPT.

2. Accédez à Serveur → Gestion des utilisateurs et les droits Wapt → Nouveau role.

3. Saisissez le nom du rôle.

4. Une fois le rôle créé, vous pouvez y ajouter des listes ACL.

5. Attribuez le rôle aux utilisateurs concernés.

6. Enregistrez les modifications.

Exemple : attribuer le rôle local « waptpackages » à l’utilisateur user1.

Action AD (RSAT ou OpenRSAT)

1. Créer un groupe d’utilisateurs (par exemple, waptpackage).

2. Ajoutez les utilisateurs concernés à ce groupe.

Dans la console WAPT.

3. Accédez à Serveur → Gestion des utilisateurs et les droits Wapt → Nouveau role.

4. Entrez le nom du rôle, suivi de @votre_domaine.lan (par exemple, waptpackage@your_domain.lan).

5. Une fois le rôle créé, vous pouvez y ajouter des listes ACL.

6. Automatiquement, tous les utilisateurs du groupe AD hériteront des listes ACL attribuées au rôle.

7. Enregistrez les modifications.

Exemple : attribuer le rôle publicitaire « waptpackage@domain.lan » aux utilisateurs AD.

#### 11.3.5.1. Associer un certificat à un utilisateur

Indication

Par défaut, aucun certificat n’est défini pour aucun utilisateur (y compris SuperAdmin).

Le compte dans la Console WAPT apparaît en italic si aucun certificat n’est associé à l’utilisateur.

Il existe deux méthodes classiques pour associer un certificat à un utilisateur.

Sélectionnez un utilisateur et effectuez un clic droit → Enregistrer le certificat utilisateur

Ensuite, choisissez le certificat à associer à l’utilisateur.

Sélectionnez un utilisateur et cliquez sur Enregistrer le certificat utilisateur dans le bandeau supérieur.

Ensuite, choisissez le certificat à associer à l’utilisateur.

#### 11.3.5.2. Ajouter / supprimer des droits

Pour ajouter ou supprimer des droits :

1 - Sélectionner un ou plusieurs utilisateurs.

2 - Chosissez une ACL de la liste.

3 - Activer ou désactiver les droits souhaités.

#### 11.3.5.3. Restreindre le périmètre des droits accordés à l’utilisateur

Il est possible d’associer un périmètre à un droit donné à un utilisateur.

##### 11.3.5.3.1. Vue

Définition du périmètre autorisé
Périmètre | Description
--- | ---
Tout refuser | Aucun droit de regard n’est autorisé (non coché).
Autoriser sur tout le périmètre | Permet de visualiser à droite tous les Agents WAPT.
Autoriser des périmètres spécifiques | La visualisation est autorisée sur le périmètre sélectionné défini comme une liste de certificats.
Autoriser où le certificat d’utilisateur est déployé | La visualisation est autorisée uniquement sur le périmètre où le certificat de l’Administrateur WAPT est déployé.

Lorsque l’option Afficher avec le certificat est activée. L’utilisateur ne pourra voir que les hôtes sur lesquels le certificat est déployé.

N’oubliez pas d’attribuer au préalable un certificat à l’utilisateur.

##### 11.3.5.3.2. Modifier les paquets de groupe

Indication

Tous les paquets de groupe fonctionnent sur le même principe, décrit ci-dessous.

Définition du périmètre autorisé
Périmètre | Description
--- | ---
Interdire tous les paquets | Aucune édition n’est autorisée pour aucun paquet (non coché).
Autoriser tous les paquets | Le droit de modification est autorisé pour tous les paquets WAPT.
Autoriser des noms de paquets spécifiques | Permet le droit d’édition pour les paquets WAPT sélectionnés dans la liste.

## 11.4. Re-signer les paquets sur le serveur WAPT en utilisant la console WAPT

Il est possible qu’un paquet ait été créé par un utilisateur WAPT dont le certificat n’est pas reconnu sur certaines machines. Toutefois, le paquet peut encore convenir à ces machines. Dans ce cas, vous pouvez re-signer le paquet en utilisant le certificat d’un autre utilisateur WAPT qui a des privilèges plus élevés au sein du réseau.

Allez dans Dépôt privé, identifiez votre paquet et cliquez avec le bouton droit sur Resigner les paquets.

Re-signer avec la console WAPT

Ensuite, cliquez sur `Resign` `packages`, et attendez la OK, vous pouvez `close`.

Fenêtres de re-signature avec la console WAPT

Toutefois, si cela ne fonctionne pas, la seule façon d’effectuer l’opération est de résigner sur la ligne de commande.