--- title: "Tunnel de l’ordinateur" description: "Connectez votre machine via le tunnel d’agent Beeuni avec autorisation." --- Un ordinateur est votre propre machine — ordinateur portable, ordinateur de bureau ou serveur — connectée à Beeuni par un tunnel inverse avec autorisation. Un ordinateur n’est pas un bac à sable. Un bac à sable est une machine cloud éphémère que Beeuni crée pour une [session](/docs/fr/work/sessions). Un ordinateur est une machine que vous possédez déjà et qui reste connectée d’une session à l’autre. Un ordinateur connecté est un **compte** du [connecteur](/docs/fr/connect/connectors) `computer`, tout comme une boîte Gmail personnelle est un compte du connecteur Gmail. Chaque projet intègre le connecteur `computer` ; vous ne l’ajoutez ni ne le supprimez jamais. Chaque membre connecte son propre ordinateur, qui **le suit** : c’est un compte dans chaque projet auquel il appartient, dans chaque espace de travail, sans rien configurer pour chaque projet. 1. Ajoutez **Computer Tunnel** depuis le catalogue de connecteurs du projet. 2. Exécutez la commande d’association affichée dans le profil, par exemple `npx --yes @beeuni/agent-tunnel@latest connect --api-url `. 3. Approuvez la connexion dans votre navigateur. 4. Sélectionnez la machine associée pour le profil. Une carte **Connecter votre ordinateur** reste dans la barre latérale du projet jusqu’à ce que vous ayez connecté un ordinateur. Fermez-la avec **×** si vous n’en avez pas besoin ; elle restera masquée dans ce navigateur. La carte ne s’affiche pas dans un déploiement où les ordinateurs sont désactivés. Vous accordez l’accès par capacité : système de fichiers, shell ou bureau. Vous pouvez limiter chaque capacité aux chemins, commandes ou fonctionnalités de bureau autorisés. Une autorisation de capacité est un paramètre propre à une ressource sur une machine, et non un rôle Beeuni. Elle n’accorde aucun droit refusé par la décision du rôle — voir [Comptes et accès](/docs/fr/accounts#per-feature-access-settings). L’agent ne reçoit que ce que vous lui accordez. Un appel à une capacité non autorisée crée une demande d’autorisation. Ouvrez la machine dans son profil Computer Tunnel pour approuver ou refuser la demande. **Dans un navigateur.** Cliquez sur **Connecter votre ordinateur** dans la carte. La boîte de dialogue propose **Télécharger Beeuni pour ordinateur**, qui connecte ensuite l’ordinateur en un clic. Pour vous connecter sans l’application, choisissez **Utiliser plutôt l’interface CLI** et exécutez sur l’ordinateur la commande affichée : ## Comment l’agent accède à un ordinateur L’association ajoute une machine à votre parc de comptes. Elle ne crée aucune affectation et n’accorde donc aucun accès à un projet. Ajoutez **Computer Tunnel** depuis le catalogue de [connecteurs](/docs/fr/connect/connectors) du projet, puis sélectionnez une ou plusieurs machines associées pour ce profil. Un profil peut contenir une machine ou un ensemble de machines. Un ensemble de machines n’est pas un groupe de comptes — un groupe de comptes est un principal du modèle de rôles, alors qu’ici il s’agit de machines. Vous pouvez créer plusieurs profils avec des ensembles de machines différents ou qui se chevauchent. Chaque profil a ses propres autorisations d’agent et règles d’outils. L’outil `list_computers` ne renvoie que les machines affectées au profil actif. Les autres outils acceptent un nom ou un identifiant `computer` facultatif parmi les résultats. Le sélecteur est facultatif lorsqu’une seule machine affectée est en ligne. ```bash beeuni connectors call studio-computers.list_computers '{}' beeuni connectors call studio-computers.fs.read \ '{"computer":"MacBook-Pro-9.local","path":"/etc/hosts"}' ``` La commande affiche un code et ouvre la page d’approbation. Sur cette page : 1. Vérifiez que le code correspond à celui affiché sur l’ordinateur. 2. Nommez l’ordinateur. Ce nom devient le libellé du compte. 3. Choisissez **Qui peut utiliser cet ordinateur** : **Vous uniquement** (option par défaut : tous les projets, vos sessions privées) ou **Partager également avec** le projet indiqué dans la commande. Le partage nécessite l’autorisation de gérer les connexions de ce projet. 4. Sélectionnez ce que les agents peuvent faire : **Système de fichiers**, **Shell**, **Utilisation de l’ordinateur**. L’ordinateur apparaît ensuite sous **Personnaliser → Connecteurs → Computer → Comptes** dans chaque projet auquel vous appartenez. Sa ligne ressemble à celle de tout autre compte de connecteur et fonctionne comme elle ; si l’ordinateur n’est pas connecté, **Hors ligne** s’affiche sous son nom. Beeuni identifie chaque ordinateur au moyen d’un hachage de son identifiant matériel (IOPlatformUUID sous macOS, `/etc/machine-id` sous Linux, `MachineGuid` sous Windows). Si vous reconnectez le même ordinateur après une réinstallation, un changement de nom ou de réseau, son entrée existante est mise à jour au lieu d’en créer une seconde. Son nom, ses paramètres de partage et ses associations de session sont conservés. ## Votre ordinateur (application de bureau) Ouvrez le menu de l’espace de travail (le nom du projet en haut de la barre latérale), puis choisissez **Votre ordinateur**. Le point à côté indique l’état de l’ordinateur. La boîte de dialogue affiche le nom de l’ordinateur et l’un des états suivants : **En ligne**, **Connexion en cours**, **Hors ligne**, **En pause** ou **Reconnexion requise** (l’ordinateur a été déconnecté ailleurs ; **Connecter cet ordinateur** l’associe à nouveau). Vous pouvez alors : - **Mettre en pause la connexion** / **Reprendre la connexion** : arrêter ou redémarrer le service en arrière-plan. Un ordinateur en pause est hors ligne pour les agents (`computer_offline`) et reste en pause après un redémarrage. - **Accès** : déterminer si les agents peuvent utiliser l’ordinateur lorsqu’il est connecté. Voir [Accès sur l’ordinateur](#access-on-the-computer). - **Garder cet ordinateur éveillé lorsqu’il est branché** (macOS et Linux) : l’ordinateur ne se met pas en veille lorsqu’il est alimenté, ce qui permet aux agents de le joindre. Désactivé par défaut. Sous Windows, la ligne indique que cette fonctionnalité n’est pas encore disponible. - **Partage** : ouvrez l’onglet Comptes du connecteur de l’ordinateur, puis choisissez **Partager** sur la ligne de l’ordinateur. - **Afficher les journaux** : ouvrez le fichier journal de l’agent. - **Déconnecter** : retirer l’ordinateur de Beeuni et de tous les projets, puis arrêter le service en arrière-plan. ## Accès sur l’ordinateur L’ordinateur lui-même détermine si un agent peut l’utiliser, quels que soient les paramètres du projet. Vous réglez cela dans **Votre ordinateur → Accès** ou depuis l’icône de la barre de menus : - **Demander à chaque fois** (option par défaut pour un ordinateur connecté dans l’application de bureau) : au premier appel d’un agent, une invite s’affiche sur l’ordinateur : **Autoriser pendant 24 heures**, **Autoriser pendant 1 heure** (bouton par défaut) ou **Refuser**. Une approbation couvre les fichiers, le shell, l’écran et le clavier pour tous les agents pouvant joindre l’ordinateur, jusqu’à son expiration. Pendant une approbation, la boîte de dialogue affiche **Autorisé jusqu’à 14:32** et **Révoquer maintenant**. Après **Refuser**, les appels échouent immédiatement pendant 10 minutes, sans nouvelle invite. Changer de mode met fin à l’approbation ou au refus en cours. - **Toujours autorisé** : aucune invite. C’est l’option par défaut pour un ordinateur connecté uniquement avec l’interface CLI, car rien sur cet ordinateur ne peut afficher d’invite. Les ordinateurs connectés avant l’ajout de ce paramètre fonctionnent également ainsi jusqu’à ce que vous le changiez. - **Désactivé** : tous les appels sont refusés. Vous seul pouvez élargir l’accès, depuis l’ordinateur. Lorsque la page Beeuni demande **Toujours autorisé** ou une nouvelle approbation, l’application de bureau affiche d’abord une boîte de dialogue native et n’applique le changement que si vous cliquez sur **Autoriser**. Chaque nouvelle association rétablit les paramètres par défaut, et **Déconnecter** supprime ce paramètre. Le paramètre est enregistré sur l’ordinateur (`~/.agent-tunnel/access.json`). La ligne du compte et l’outil `status` le signalent afin qu’un agent puisse vous indiquer qu’il attend votre approbation. ## Qui peut utiliser un ordinateur Un ordinateur suit les mêmes règles que tout autre compte de connecteur : - Un ordinateur **privé** (option par défaut, **Vous uniquement**) ne fonctionne que dans les sessions privées de son propriétaire, dans tous les projets auxquels celui-ci appartient. Les autres membres ne peuvent ni le voir ni l’utiliser. - **Partager** sur la ligne de l’ordinateur ouvre la même boîte de dialogue que pour un compte Gmail : choisissez des personnes, des groupes ou tous les membres du projet. Rien ne change tant que vous n’avez pas choisi **Enregistrer**, et vous restez parmi les personnes autorisées tant que vous ne vous retirez pas. Le partage nécessite l’autorisation de gérer les connexions du projet. L’ordinateur reste un seul compte dans ce projet ; la ligne indique alors qui peut l’utiliser. - Un ordinateur partagé avec tout le monde fonctionne pour tous les membres du projet, y compris lors d’exécutions sans surveillance : déclencheurs, planifications et messages Slack sans utilisateur associé. Une exécution sans surveillance ne peut accéder qu’aux ordinateurs partagés. - Votre propre ligne vous suit ; elle ne peut donc pas être supprimée d’un seul projet. **Déconnecter** la supprime de Beeuni et de tous les projets. Pour le garder connecté sans qu’il soit utilisé, désactivez son accès sur l’ordinateur en choisissant **Désactivé**. Pour soumettre les appels à risque à l’approbation d’une personne, définissez une [règle de connecteur](/docs/fr/connect/connectors) dans l’onglet **Outils** du connecteur de l’ordinateur (par exemple, **Demander** pour `shell.exec`). La demande apparaît alors dans les approbations du projet. ## Ce que l’ordinateur autorise Vous choisissez les capacités une fois, lors de l’approbation de l’ordinateur. Pour autoriser une capacité ultérieurement, reconnectez l’ordinateur et sélectionnez-la. La configuration de l’agent local constitue la limite maximale de chaque appel, quels que soient les droits accordés par Beeuni. Elle se trouve dans `~/.agent-tunnel/config.json` sur l’ordinateur : | Champ | Valeur par défaut | Effet | |---|---|---| | `enabledCapabilities` | les capacités que vous avez approuvées | Capacités que la machine accepte. | | `allowedPaths` | votre répertoire personnel | Chemins auxquels les appels au système de fichiers peuvent accéder. | | `blockedPaths` | `/etc/shadow`, `/etc/ssh`, `/proc`, … | Chemins auxquels aucun appel ne peut accéder. | | `allowedCommands` | vide (toutes les commandes) | Si défini, seuls les exécutables que `shell.exec` peut exécuter. | | `blockedCommands` | vide | Exécutables que `shell.exec` n’exécute jamais. | Un shell sans restriction peut exécuter tout exécutable accessible à votre utilisateur. Limitez `allowedPaths` et `allowedCommands` aux besoins du travail. L’utilisation de l’ordinateur nécessite l’installation locale distincte de `cua-driver`. L’agent ne télécharge, n’installe ni ne met à jour cet exécutable. Configurez les profils Computer Tunnel depuis le tableau de bord, et non depuis `beeuni.yaml`. Utilisez l’onglet Comptes du profil pour associer, sélectionner, inspecter, renommer et supprimer des machines. Utilisez son onglet Outils pour configurer la règle du connecteur. ## Transférer des fichiers binaires en toute sécurité Pour les feuilles de calcul, les PDF, les images et autres fichiers binaires, transférez directement les octets depuis un fichier source. Ne demandez jamais à l’agent de copier une chaîne base64 issue du résultat d’un outil. Cela peut modifier les octets sans changer la taille du fichier. Sur la machine ou le bac à sable qui contient la source, configurez `TUNNEL_API_URL`, `TUNNEL_TOKEN` et `TUNNEL_ID`, puis exécutez : ```sh agent-tunnel-cli fs_upload '{"source":"/tmp/report.xlsx","path":"/Users/me/Desktop/report.xlsx"}' ``` La commande prend en charge les fichiers jusqu’à 3 Mio et nécessite la capacité du système de fichiers. Elle calcule le hachage SHA-256 de la source et vérifie le hachage renvoyé par la destination. Mettez à jour l’agent connecté si sa réponse ne contient pas de champ `sha256`. Pour les fichiers plus volumineux, générez l’artefact sur la destination. Vérifiez le format de la source avant la livraison. Un hachage correspondant prouve que les octets sont arrivés sans modification ; la taille du fichier et son extension ne prouvent pas qu’Excel peut ouvrir un classeur.