NAS Access À quoi sert cette application
PARTIE 1
Deux systèmes qui ne se rencontrent pas naturellement
Votre compte vit dans le cloud. C'est le même compte que pour votre messagerie et pour vous connecter aux sites web professionnels. C'est là que votre organisation le gère.
Vos fichiers vivent dans votre bâtiment. Ils sont sur un serveur de fichiers — la machine d'où viennent vos lecteurs réseau et vos dossiers partagés. Ce serveur est délibérément vieux jeu en matière de sécurité, et il n'a jamais entendu parler du cloud.
Laissés à eux-mêmes, les deux ne peuvent pas s'accorder sur le fait que vous êtes bien vous.
NAS Access fait l'intermédiaire
NAS Access convertit votre connexion cloud en un laissez-passer que le serveur de fichiers comprend et accepte.
Trois choses à savoir
Le laissez-passer a une durée limitée. En général, l'essentiel d'une journée de travail. C'est normal et voulu — c'est précisément ce qui permet à votre organisation de retirer l'accès quand elle en a besoin.
NAS Access en obtient discrètement un nouveau à peu près à mi-parcours, bien avant l'expiration de l'ancien. Un jour ordinaire, vous ne verrez jamais cela se produire.
Il ne peut pas renouveler ce qu'il n'a pas. Si l'application ne peut pas obtenir un nouveau laissez-passer toute seule, elle vous le dit avant l'expiration de l'actuel, pour que vous puissiez cliquer une fois et continuer.
▶ Techniquement les termes exacts, pour qui les veut
Votre compte cloud est une identité OIDC chez un fournisseur d'identité (Entra ID dans la plupart des déploiements). La preuve est un jeton d'accès OIDC, obtenu par un flux authorization code avec PKCE dans le navigateur du système.
Le broker est le service KerBridge qu'exploite votre équipe informatique. Il valide le jeton et demande au KDC d'émettre un véritable TGT Kerberos (ticket-granting ticket) pour votre compte dans le royaume local.
La « poche à laissez-passer » est le cache de tickets de votre session — la session de connexion LSA sous Windows, le cache Heimdal API: sous macOS. Y déposer le ticket s'appelle l'injection. Ensuite, le client SMB standard fait du Kerberos ordinaire : il utilise le TGT pour obtenir un ticket de service pour le serveur de fichiers. Aucune partie du chemin d'accès aux fichiers n'est modifiée.
Le « nouveau laissez-passer à mi-parcours » est une réinjection, pas un renouvellement au niveau Kerberos. D'après nos tests, Windows demande bien au KDC de renouveler un TGT injecté par KerBridge, puis n'installe jamais le résultat — l'agent refait donc tout l'échange et injecte un nouveau ticket.
Ce qu'elle ne fait pas
- Elle ne stocke pas votre mot de passe. Elle n'en voit jamais.
- Elle ne lit ni ne modifie vos fichiers, vos lecteurs ou vos lettres de lecteur.
- Elle ne remplace pas la connexion de votre organisation. Elle s'en sert.
- Elle n'a pas besoin de tourner pour que vous puissiez utiliser votre ordinateur — seulement pour garder vos lecteurs réseau accessibles.
▶ Techniquement ce qui est conservé, et où
Aucun secret au repos. Le jeton d'accès est jeté dès que l'échange de ticket est terminé. Le jeton de rafraîchissement n'est gardé qu'en mémoire du processus et meurt avec lui — il n'est jamais écrit sur disque ni dans le journal. Ce qui est stocké sur disque : l'URL du broker, une copie en cache de la configuration découverte, et l'état d'autorisation de cet appareil. Elle ne connaît d'ailleurs pas vraiment votre NAS ni les autres services Kerberos ; elle ne manipule que des TGT Kerberos.
L'icône
PARTIE 2NAS Access vit dans la zone de notification. L'icône, c'est tout l'état d'un coup d'œil.
NAS Access vit dans la barre de menus. L'icône, c'est tout l'état d'un coup d'œil.
Pâle ne veut pas dire cassé. La pleine intensité est réservée à rien à signaler, pour que, quand il y a quelque chose à voir, cela ressorte.
Les formes comptent autant que les couleurs — un triangle et un cercle restent différents pour qui distingue mal l'ambre du rouge.
Sur un Mac, les mêmes quatre formes apparaissent dans l'unique couleur de la barre de menus, parce que c'est ainsi que la barre de menus dessine tout.
La vue d'état
PARTIE 3Un clic sur l'icône ouvre un petit panneau. Il montre ce qu'on attend de vous, puis qui vous êtes, puis pour combien de temps, puis pourquoi, si quelque chose cloche.
Un clic sur l'icône ouvre le menu. Il montre ce qu'on attend de vous, qui vous êtes, pour combien de temps, et pourquoi vous devez agir, si quelque chose cloche.
Le titre
Une ligne en couleur, qui nomme la situation.
| Titre | Ce que cela signifie | Que faire |
|---|---|---|
| Accès OK | Vos lecteurs fonctionnent, et l'application peut les maintenir ainsi toute seule. | Rien. |
| Renouvellement incertain | Vos lecteurs fonctionnent pour l'instant. L'application a du mal à joindre le serveur de votre équipe informatique. | Généralement rien — cela se résout souvent tout seul. Si cela dure, signalez-le à l'informatique. |
| Accès bientôt terminé | Vos lecteurs fonctionnent, mais l'accès s'arrêtera à une heure connue, et rien ne le renouvellera tout seul. | Utilisez le bouton qui propose de prolonger l'accès, quand cela vous arrange, avant cette heure-là. |
| Aucun accès | Vos lecteurs ne s'ouvriront pas. | Lisez l'explication sous le titre — elle dit pourquoi, et propose le bouton qui corrige. |
| Désactivé | L'application n'est pas en service ici et n'est pas censée l'être — par exemple après une déconnexion. | Rien, sauf si vous voulez retrouver l'accès. |
Un avertissement d'expiration n'est pas une panne. Il signifie que l'application n'a plus de moyen discret de renouveler — souvent simplement parce que la session du navigateur a été fermée, ou parce que l'autorisation de l'appareil doit bientôt être renouvelée. Votre accès reste intact jusqu'à l'heure affichée. Un clic rétablit les renouvellements discrets.
▶ Techniquement à partir de quoi le titre est calculé
Le titre affiche Condition, l'une de Working, Flaky, WillStop, Stopped et NotStarted. C'est une fonction pure de trois faits locaux : détient-on un ticket utilisable, cette machine est-elle censée fonctionner ici, et existe-t-il une source discrète pour le prochain renouvellement.
Aucun fait réseau n'y entre — une panne du broker ne change jamais la condition. Elle apparaît comme un obstacle, et comme Flaky seulement une fois qu'elle a duré.
La ligne d'identité
| Ligne | Ce que cela signifie |
|---|---|
Connecté en tant que you@example.site | Le compte auquel appartient votre accès — et tout ce que vous enregistrez. |
Fonctionne en tant que svc-builder | Cet ordinateur a été configuré pour fonctionner sous un autre compte. |
La seconde mérite d'être relue. Sur un tel ordinateur, les fichiers que vous enregistrez sur les lecteurs réseau le sont au nom de ce compte (souvent partagé), pas au vôtre. Si vous vous connectez ici, vous vous portez garant de la machine — vous n'obtenez pas votre propre accès. C'est normal sur les machines de compilation, les bornes et les postes partagés, et votre équipe informatique l'a mis en place délibérément.
▶ Techniquement les autorisations d'appareil
La machine est déléguée pour obtenir des TGT destinés à un compte précis : une cible grant_for est configurée, de sorte que seule une autorisation d'appareil peut obtenir un ticket et que les tickets portent le principal de la cible. Une connexion déléguée autorise l'accès en tant que l'utilisateur indiqué, et non en tant que la personne qui se connecte — la connexion prouve qui est au clavier, pas le compte avec lequel la machine atteint vos services Kerberos.
Les horloges d'expiration
| Ligne | Ce que cela signifie |
|---|---|
L'accès se termine dans 4h 12m | Quand le laissez-passer actuel expire. En conditions normales, un nouveau laissez-passer arrive vers la mi-parcours ; c'est donc un nombre, pas une échéance. |
L'autorisation expire dans 6 jours | La permission de cet appareil d'ignorer le navigateur touche à sa fin. Connectez-vous une fois via le navigateur d'ici là, et elle est prolongée. |
Les deux n'apparaissent jamais comme des avertissements contradictoires — si l'accès expire réellement, l'horloge d'autorisation n'est pas ce qui doit vous inquiéter.
L'explication
Quand il y a quelque chose à dire, cela apparaît dans son propre bloc, sous les informations. Voici les explications que vous pourriez voir :
| Ce qui est écrit | En clair | Que faire |
|---|---|---|
| Nécessite une connexion via le navigateur | Il est temps de prouver à nouveau que c'est bien vous. | Connectez-vous via le navigateur. Quelques secondes suffisent. |
serveur injoignable |
L'application n'arrive pas à joindre le serveur de votre équipe informatique. | Vérifiez que vous êtes sur le réseau ou le VPN. Les lecteurs déjà ouverts continuent généralement de fonctionner. |
Aucun paramètre reçu de serveur |
L'application a joint le serveur mais n'a pas encore reçu sa configuration. | Attendez. Elle réessaie toute seule. |
Windows n'est pas configuré pour EXAMPLE.SITE |
Une étape de configuration, à effectuer une seule fois sur cet ordinateur, n'a pas été faite. | Utilisez le bouton de configuration. Il demande les droits d'administrateur et un redémarrage. |
| Les lecteurs réseau ne fonctionnent plus (NTLM) | Un hoquet Windows connu après l'expiration d'un laissez-passer. Vos lecteurs sont bloqués. | Enregistrez votre travail, puis utilisez le bouton de réparation. |
| Votre compte a été refusé | Le serveur de votre organisation n'a pas accepté votre compte pour ces lecteurs. | Rien que cet ordinateur puisse corriger — contactez l'informatique. |
Cet appareil n'est pas autorisé à fonctionner en tant que compte |
Une machine à compte partagé qui n'a pas encore été autorisée. | Quelqu'un ayant le droit de l'autoriser doit se connecter ici. |
| Votre organisation a refusé cette autorisation | La politique ne permet pas à cet appareil d'ignorer le navigateur. | Réessayer n'y changera rien. Contactez l'informatique. |
| URL du broker non configurée | Premier lancement — l'application ne sait pas à quel serveur s'adresser. | Saisissez dans les paramètres l'adresse que votre équipe informatique vous a donnée. |
▶ Techniquement obstacles contre actions
Ce sont des obstacles : ce qui manque à l'instant, immédiat et non déduit. C'est une liste et non un classement, car plusieurs peuvent être vrais en même temps, et le modèle les signale tous, plutôt que seulement le plus bruyant.
Les obstacles expliquent ; les actions résolvent. Ce ne sont pas des listes parallèles et rien ne s'aligne de l'une à l'autre. L'obstacle d'injoignabilité regroupe l'injoignable, le refus TLS, la limitation de débit et les 5xx, car ces quatre cas diffèrent par la cause mais pas par ce qu'il y a à faire ; la phrase exacte reste dans le message détaillé.
Détails Kerberos
Une section repliée, pour le moment où quelqu'un vous aide. Elle indique le royaume, l'heure de fin du laissez-passer, ce qu'utilisera le prochain renouvellement, et quand l'application réessaiera.
La ligne la plus utile est celle qui nomme la source du prochain renouvellement :
| Valeur | Ce que cela signifie |
|---|---|
| l'autorisation de cet appareil | Discret. Cet appareil est de confiance pendant un nombre de jours défini. |
| votre compte Windows | Discret. La connexion Windows s'en charge. |
| votre connexion au navigateur | Discret, tant que l'application continue de tourner. |
| rien — a besoin de vous | C'est pourquoi le titre avertit que l'accès expire. |
Les boutons
PARTIE 4Deux conventions à retenir
Un libellé finissant par « … » annonce une étape de plus — une fenêtre de navigateur, ou une question à laquelle répondre. Sans les points, le bouton fait simplement ce qu'il dit. C'est la seule différence entre les deux boutons de renouvellement : ils promettent le même résultat, mais l'un ouvrira un navigateur.
Un bouclier sur un bouton signifie que Windows demandera les droits d'administrateur. Il y est toujours, que vous soyez administrateur ou non.
Obtenir l'accès
| Bouton | Ce qu'il fait |
|---|---|
| Se connecter… | Ouvre votre navigateur, vous connecte, obtient un laissez-passer. La façon ordinaire de commencer. |
| Prolonger l'accès… | La même chose, formulée pour le cas où vous avez déjà l'accès. Obtient un nouveau laissez-passer et rétablit les renouvellements discrets. |
| Renouveler maintenant | Obtient un nouveau laissez-passer sans navigateur, avec ce que l'application a déjà. Proposé seulement quand cela peut réellement marcher. |
| Annuler | N'apparaît que pendant l'attente d'une connexion via le navigateur. Arrête l'attente. |
Si le renouvellement sans navigateur est proposé, préférez-le — c'est le moins coûteux des deux, et il n'est proposé que lorsqu'il fonctionnera.
Partir — trois portes distinctes
Elles se ressemblent mais n'ont pas le même effet. S'il faut retenir un tableau de cette page, c'est celui-ci.
| Bouton | Met fin à votre accès aux lecteurs | Met fin à l'autorisation de cet appareil | Met fin à votre session dans le navigateur |
|---|---|---|---|
Fermer la session Entra |
Non | Non | Oui |
| Supprimer l'autorisation… | Non | Oui | Non |
| Fermer l'accès | Oui | Non | Non |
Fermer la session Entra
Ferme la session de connexion que cette application a laissée dans votre navigateur. C'est une saine habitude sur un ordinateur partagé. Cela ne touche pas à vos lecteurs.
Supprimer l'autorisation…
Renonce à la permission de cet appareil d'atteindre vos lecteurs sans navigateur. Votre accès actuel n'est pas touché — vous repassez simplement par une connexion via le navigateur à chaque fois. C'est irréversible : autoriser à nouveau crée une nouvelle permission au lieu de restaurer l'ancienne.
Sur une machine à compte partagé — celle dont le panneau indique qu'elle fonctionne sous un autre compte — il n'y a pas de « retour au navigateur ». L'autorisation est le seul moyen pour une telle machine d'obtenir l'accès : la retirer signifie que l'accès expire et s'arrête. La confirmation vous dit exactement de combien de temps vous disposez.
Fermer l'accès
Jette le laissez-passer de cet ordinateur. C'est celui du quotidien — ce qu'on fait en fin de journée, ou quand on n'a plus besoin d'accéder aux lecteurs partagés.
Une réserve honnête : les lecteurs réseau déjà ouverts peuvent continuer de fonctionner jusqu'à ce que vous les fermiez ou redémarriez. C'est votre système d'exploitation qui maintient une connexion ouverte, et aucune application ne peut promettre le contraire. Mais rien de nouveau ne peut être ouvert.
▶ Techniquement ce que chaque porte fait réellement
La déconnexion du fournisseur d'identité met fin à la session SSO chez l'autorité et jette le jeton de rafraîchissement conservé en mémoire. Elle ne peut pas vous déconnecter de Windows lui-même ; une application ne peut libérer que sa propre session.
Le retrait de l'autorisation supprime d'abord, dans le TPM de cet appareil, la clé ECDSA P-256 non exportable de l'autorisation d'appareil, puis la révoque auprès du broker — c'est cet ordre qui lui permet de fonctionner hors ligne.
La déconnexion est une purge du cache de tickets limitée au royaume — le TGT et les tickets de service de ce royaume seulement. Les tickets des autres royaumes sont laissés intacts, ce qui la rend sûre sur un locataire en cloud trust. Une session SMB déjà établie continue de servir des fichiers depuis un cache vide sans trafic Kerberos : aucune commande limitée aux tickets ne peut donc honnêtement promettre la fin des connexions.
Réparer
| Bouton | Ce qu'il fait |
|---|---|
| Configurer Windows… | Une seule fois, par ordinateur. Fait connaître à Windows le royaume de votre organisation. Nécessite les droits d'administrateur et un redémarrage ensuite. |
| Réparer les lecteurs réseau… | Débloque un état de lecteur réseau coincé. Enregistrez votre travail d'abord — tous les lecteurs réseau de l'ordinateur seront déconnectés, pas seulement ceux-ci. |
| Configurer Windows à nouveau… | La même configuration, appliquée par-dessus une partielle ou périmée. Dans Paramètres ▸ Avancé. |
| Oublier {realm}… | Retire complètement la configuration. Dans Paramètres ▸ Avancé. |
Tout ce qui est irréversible demande d'abord confirmation, dit exactement ce qu'il va faire, et propose l'annulation par défaut. Vous pouvez fermer cette fenêtre et laisser le travail se faire — il vous dira comment cela s'est passé.
macOS n'a besoin de rien de tout cela. Il trouve le royaume tout seul : pas d'étape de configuration, aucune demande de droits d'administrateur nulle part dans le produit, et pas de réparation — une connexion tombée s'y rétablit simplement.
Réparer
macOS n'a besoin de rien de tout cela. Il trouve le royaume tout seul : pas d'étape de configuration, aucune demande de droits d'administrateur nulle part dans le produit, et pas de réparation — une connexion tombée s'y rétablit simplement.
Autoriser cet appareil
| Bouton | Ce qu'il fait |
|---|---|
| Autoriser l'accès… | Permet à cet appareil d'obtenir des laissez-passer sans connexion via le navigateur, pendant un nombre de jours défini. |
| Autoriser à nouveau… | La même chose, une fois l'autorisation déjà détenue — c'est ainsi qu'on la prolonge. |
Ce qui se passe réellement : une clé est créée à l'intérieur de la puce de sécurité de cet appareil. Elle ne peut pas en être copiée, elle ne couvre que votre compte sur cet appareil, et votre équipe informatique peut la révoquer à tout moment.
Vous recevrez un rappel avant son expiration. Une seule connexion via le navigateur la prolonge.
▶ Techniquement l'autorisation d'appareil
C'est une autorisation d'appareil KerBridge — une clé ECDSA P-256 non exportable dans le TPM, créée via le platform crypto provider de CNG à portée utilisateur, donc sans élévation et disparaissant avec le profil. Le broker détient la clé publique correspondante et applique son propre plafond en jours : abaisser ce plafond raccourcit toutes les autorisations en cours.
Tout le reste
| Élément | Ce qu'il fait |
|---|---|
| Ouvrir l'état | Fait apparaître la vue d'état. |
| Paramètres… | Voir la section Paramètres plus bas. |
| Aide | Cette page. |
| Ouvrir le dossier du journal | Un relevé technique de ce qu'a fait l'application, pour le moment où quelqu'un vous aide. Apparaît quand quelque chose a mal tourné, et toujours dans Paramètres ▸ Avancé ▸ Dépannage. |
| Quitter NAS Access | Arrête l'application. Votre laissez-passer actuel reste valable jusqu'à son expiration, et rien ne le renouvelle ensuite. |
Paramètres
PARTIE 5Général
URL du broker — le serveur que votre équipe informatique vous a donné. C'est la seule chose que l'application doit savoir ; tout le reste, elle le demande à ce serveur.
S'il est indiqué que l'URL a été définie par votre équipe informatique et ne peut pas être changée ici, c'est qu'elle a été fixée de façon centralisée — normal sur un ordinateur géré.
Lancer à l'ouverture de session — vous connecte automatiquement après votre ouverture de session, pour que vos lecteurs soient prêts quand vous l'êtes. Recommandé.
Utiliser la connexion Windows quand c'est possible ignore le navigateur lorsque la connexion Windows peut se porter garante de vous en silence. Laissez cette option active ; si elle ne peut pas aider, l'application se rabat sur le navigateur et rien n'est perdu.
Avancé
Autorisation — montre en tant que quoi cet appareil est autorisé, et contient les boutons pour la créer et la retirer. Le champ permettant d'autoriser cet appareil au nom d'un autre compte est destiné aux machines à compte partagé : laissez-le vide pour votre propre compte.
Modifier ce champ décide pour qui vaudra la prochaine autorisation. Cela ne change rien à celle déjà détenue.
Configuration de Windows — si cet ordinateur connaît le royaume de votre organisation, avec les boutons pour refaire ou retirer la configuration.
Dépannage — ouvre le dossier du journal.
Sous macOS
Les paramètres tiennent en une seule feuille : l'URL du broker, l'option de lancement à l'ouverture de session, et une paire OK / Annuler — les autres sections décrivent des choses que macOS n'a pas.
À propos
Version et licence.
Notifications
PARTIE 6L'application parle rarement, et seulement de ce qui compte.
| Ce qui vous sera signalé | Passé sous silence |
|---|---|
| L'accès rétabli après un problème | Les renouvellements de routine qui ont fonctionné |
| L'accès sur le point de s'arrêter, environ vingt minutes à l'avance | L'horloge du laissez-passer qui s'écoule normalement |
| L'accès qui s'est arrêté | Un problème réseau bref qui s'est résolu tout seul |
| L'autorisation de votre appareil qui doit bientôt être renouvelée | Une machine simplement éteinte |
Rien n'est perdu si vous en manquez une. Une notification est une interruption, jamais un enregistrement — la vue d'état affiche toujours la vérité du moment, et rien ne se périme. Il n'y a ni pastille de non-lus ni liste de ce que vous avez manqué.
Le rappel de renouvellement attend que vous soyez réellement au clavier, plutôt que de se déclencher à trois heures du matin.
Quand quelque chose ne marche pas
PARTIE 7Commencez par l'icône, puis par le panneau. Il nomme presque toujours le problème et met la solution sur un bouton.
| Symptôme | Cause probable | Que faire |
|---|---|---|
| Un lecteur demande un mot de passe | Le laissez-passer a expiré ou n'a jamais été obtenu | Ouvrez le panneau. Il indiquera qu'il n'y a pas d'accès, ou que l'accès expire. |
| Les lecteurs marchaient, puis se sont arrêtés en pleine session | Le hoquet NTLM de Windows | Utilisez le bouton de réparation, après avoir enregistré votre travail |
| Le panneau dit que le serveur est injoignable | Hors du réseau, ou VPN coupé | Reconnectez-vous. L'application réessaie toute seule et se rétablit. |
| L'informatique vient de vous donner accès à un dossier, et il ne s'ouvre toujours pas | Votre laissez-passer a été émis avant le changement | Renouvelez — un laissez-passer porte un instantané de vos groupes, il en faut donc un nouveau |
| Tout a l'air correct, mais un dossier est refusé | Les permissions sur ce dossier | Pas un problème NAS Access — demandez au propriétaire du dossier |
| Le panneau dit qu'un administrateur doit intervenir | C'est le cas | Envoyez le message à l'informatique, exactement tel qu'il est écrit |
Lire un message d'erreur
Chaque message détaillé est écrit en deux moitiés :
Quand vous signalez un problème, citez la ligne entière — le repère suffit souvent à votre équipe informatique.
Réponses rapides
PARTIE 8Les mots de cette application
GLOSSAIRE| Mot | Signifie ici |
|---|---|
| Accès | Pouvoir s'authentifier sur votre serveur de fichiers réseau |
| Se connecter | Prouver qui vous êtes, dans votre navigateur |
| Fermer l'accès | Jeter le laissez-passer actuel pour les lecteurs réseau |
| Autorisation | La permission de cet appareil d'ignorer le navigateur pendant un temps, éventuellement sous un autre utilisateur |
| Renouveler | Obtenir un nouveau laissez-passer sans vous déranger |
| Royaume | Le nom du système local auquel appartiennent vos lecteurs, comme EXAMPLE.SITE |
| Broker | Le serveur de votre équipe informatique — celui à qui NAS Access demande un laissez-passer |
| Ticket | Le laissez-passer lui-même. Terme technique ; il n'apparaît que sous les détails Kerberos |
| Cet appareil | L'ordinateur devant lequel vous vous trouvez |
Demander de l'aide
POUR FINIRAyez ceci sous la main — l'application affiche tout :
Cela suffit généralement à résoudre le problème sans que personne n'ait à toucher à votre ordinateur.