Ce que couvre ce guide
RMMZit est un outil libre et gratuit (AGPLv3) de supervision et de gestion à distance (RMM). L’accès à distance en fait partie : chaque ordinateur équipé de l’agent RMMZit s’ouvre depuis la console web pour une session de bureau à distance, un terminal ou un gestionnaire de fichiers. Les outils de support à distance hébergés comme TeamViewer ou AnyDesk exploitent leur service pour vous ; RMMZit, vous l’hébergez vous-même — la console tourne sur votre serveur et les sessions passent entre votre serveur et vos agents.
Ce qu’il faut
- Un serveur RMMZit en service — voir le guide d’installation si vous n’en avez pas encore.
- Des ordinateurs avec l’agent RMMZit : Windows 10 / 11 ou Windows Server 2016 et plus récents (64 bits), ou Linux avec systemd (x86-64 ou ARM64).
- Un compte avec le rôle Administrateur ou Technicien. Un technicien ne voit que les clients qu’il a le droit de gérer.
- Un navigateur web récent. Rien n’est installé sur l’ordinateur du technicien.
Comment une session atteint l’ordinateur
Le serveur a deux ports : la console (interface web et API, TCP 8443) et le point d’accès des agents (TCP 8444). Les agents se connectent en sortie au port des agents ; les ordinateurs gérés n’ont donc besoin ni de port ouvert ni de redirection de port. Une session à distance utilise cette même connexion : tout passe par la connexion chiffrée de l’agent et est inscrit au journal d’audit.
À l’inscription, l’agent mémorise l’empreinte du certificat du serveur, si bien qu’un faux serveur ne peut pas en prendre le contrôle. Chaque commande de la console est signée par le serveur et vérifiée par l’agent. Pour les ordinateurs hors de votre réseau, ouvrez TCP 8444 sur le pare-feu et indiquez l’adresse publique des agents dans Paramètres → Réseau et accès ; le port de la console reste fermé.
Lancer une session de bureau à distance
- Ouvrez Appareils et cliquez sur l’ordinateur (la recherche de l’en-tête, Ctrl+K, le trouve par nom, utilisateur, adresse IP et plus).
- Cliquez sur Bureau à distance — sur la page de l’appareil ou dans sa propre fenêtre. Vous voyez l’écran et le contrôlez à la souris et au clavier.
La visionneuse offre ce dont le support a besoin :
- Clavier : cliquez sur l’écran pour taper ; les touches vont à l’ordinateur distant avec sa propre disposition de clavier. Envoyer Ctrl+Alt+Suppr et Envoyer du texte (tape un texte, par exemple un long mot de passe) sont dans la barre d’outils.
- Plein écran : les raccourcis comme Ctrl+W ou la touche Windows vont aussi à l’ordinateur distant ; maintenez Échap pour quitter le plein écran.
- Qualité : Rapide, Équilibrée ou Nette, selon la connexion.
- Moniteurs : un seul moniteur ou Tous les moniteurs.
- Les écrans de connexion et d’UAC sont affichés et utilisables : vous pouvez ouvrir une session et confirmer les demandes d’administrateur.
Ce que voit l’utilisateur de l’autre côté
La session démarre directement ; l’utilisateur n’a pas à l’accepter. Par défaut, la personne devant l’ordinateur voit en haut de l’écran une barre avec votre nom tant que vous êtes connecté. Vous ne voyez pas cette barre dans l’image.
Un administrateur peut désactiver la barre dans Paramètres → Bureau à distance (Afficher un avis sur l'écran distant pendant qu'un technicien est connecté). Chaque session est inscrite au journal d’audit dans tous les cas. Les bonnes pratiques de sécurité de RMMZit recommandent de la laisser activée, pour que les utilisateurs sachent quand quelqu’un est connecté.
Expliquez à vos utilisateurs et clients comment fonctionne le support à distance dans votre entreprise — qu’un technicien peut se connecter et que la barre indique qui c’est. S’il vous faut davantage, par exemple un accord écrit avec le client, cela dépend de vos contrats et des règles locales.
Presse-papiers et copie de fichiers
Sur les ordinateurs Windows, le texte copié passe dans les deux sens avec Ctrl+C et Ctrl+V. Les fichiers copiés dans votre Explorateur se collent sur l’ordinateur distant avec Ctrl+V. Les fichiers copiés sur l’ordinateur distant sont proposés en téléchargement (Télécharger les fichiers copiés), car un navigateur ne peut pas placer de fichiers dans votre presse-papiers. La copie de fichiers par le presse-papiers nécessite un utilisateur connecté sur l’ordinateur Windows.
L’échange du presse-papiers peut être désactivé dans Paramètres → Bureau à distance.
Terminal distant : PowerShell et shell root
Terminal ouvre un shell de l’appareil dans le navigateur, sans se connecter à l’écran — pratique pour les serveurs et pour les corrections rapides pendant que l’utilisateur continue de travailler.
- Linux : un shell root.
- Windows : Windows PowerShell exécuté en SYSTEM sur une pseudo-console. Il faut l’agent 0.12 ou plus récent et Windows 10 1809 / Windows Server 2019 ou plus récent.
Cliquez dans le terminal pour taper ; copiez en sélectionnant le texte, collez avec Ctrl+Maj+V ou Envoyer du texte. Quitter la page met fin au shell et à tous les programmes qu’il a lancés. Le début et la fin de la session sont inscrits au journal d’audit.
Pour les commandes fréquentes, ou sur de nombreux ordinateurs à la fois, utilisez plutôt les Scripts : PowerShell, cmd, bash ou sh, en SYSTEM ou root, sur un appareil, sur plusieurs ou selon une planification, avec la sortie conservée pour chaque exécution.
Fichiers, processus, services, registre et tâches
Beaucoup de tâches de support n’ont pas besoin de l’écran. La page de l’appareil a des onglets pour elles :
- Fichiers parcourt les lecteurs de l’ordinateur : téléverser des fichiers (jusqu’à 4 Go), télécharger des fichiers, télécharger un dossier ou une sélection en ZIP, créer des dossiers, renommer et supprimer. L’agent effectue chaque opération en tant que SYSTEM (Windows) ou root (Linux).
- Processus liste les programmes en cours avec leur mémoire, leurs threads et leur session, et met fin à un processus.
- Services liste les services Windows ou les unités systemd et les démarre, arrête ou redémarre. L’agent RMMZit se protège : il ne peut pas être arrêté ni terminé depuis la console.
- Registre (Windows, agents 0.12 et plus récents) ouvre une clé par son chemin ou depuis les racines HKLM, HKU, HKCR et HKCC ; valeurs et clés peuvent être ajoutées, modifiées et supprimées. Les racines, les clés juste en dessous et les branches propres au système sont protégées. Les registres des utilisateurs sont sous HKU (par leur SID).
- Tâches planifiées (Windows, agents 0.12 et plus récents) liste les tâches du Planificateur de tâches ; une tâche peut être exécutée, arrêtée, activée, désactivée et supprimée.
Les boutons d’alimentation de la page de l’appareil redémarrent ou arrêtent l’ordinateur, maintenant ou après un délai, avec un message facultatif pour l’utilisateur connecté.
Qui peut se connecter, et ce qui est journalisé
Chaque personne se connecte avec son propre compte et la connexion à deux facteurs. Les rôles décident de ce qu’elle peut faire :
- Administrateur — tout, y compris les utilisateurs et les paramètres (comme l’avis et le presse-papiers) ; voit toujours tous les clients.
- Technicien — gère les appareils des clients autorisés : accès à distance, scripts, mises à jour, programmes, alertes.
- Lecture seule — consulte seulement les clients autorisés ; pas d’accès à distance ni de scripts.
Les techniciens et les utilisateurs en lecture seule ont accès à tous les clients ou à certains seulement. Les comptes s’ajoutent dans Utilisateurs, ou viennent d’Active Directory / LDAP ou de l’authentification unique.
Le Journal d’audit liste chaque modification et chaque action à distance avec l’utilisateur, la cible et l’adresse : sessions de bureau à distance, sessions de terminal (début et fin), chaque opération sur les fichiers avec votre nom, chaque modification du registre avec la valeur remplacée, chaque action sur une tâche planifiée. Les entrées sont chaînées par hachage ; la console vérifie la chaîne à chaque affichage et signale si une entrée a été modifiée ou supprimée. Les rapports clients reprennent le travail des techniciens depuis le journal d’audit — sessions de bureau à distance et de terminal, scripts exécutés et opérations sur les fichiers.
Réseau et sécurité
- Ne rendez la console accessible que depuis vos réseaux d’administration ; pour l’accès depuis l’extérieur, utilisez un VPN (par exemple WireGuard) plutôt que d’ouvrir le port de la console.
- N’ouvrez le port des agents que là où se trouvent les agents, et définissez les réseaux des agents si tous viennent d’adresses connues.
- Donnez à chaque personne son propre compte, avec le plus petit rôle et uniquement les clients nécessaires ; désactivez les comptes des personnes qui partent.
- Utilisez un certificat reconnu par les navigateurs (Let's Encrypt ou votre propre AC) dans Paramètres → Certificat.
- Laissez l’avis sur l’écran distant activé et consultez le journal d’audit de temps en temps.
Un terminal, un script ou une opération sur les fichiers s’exécute avec tous les droits (SYSTEM ou root). Quiconque peut se connecter comme technicien peut modifier ces ordinateurs — protégez les comptes en conséquence.
Limites
- Bureaux Linux : le bureau à distance fonctionne avec X11 (Xorg). Wayland ne permet pas à un service en arrière-plan de voir ou de contrôler l’écran : ouvrez-y une session X11, ou utilisez le terminal. Sans bureau graphique, utilisez le terminal.
- Presse-papiers et copie de fichiers via le bureau à distance fonctionnent avec les ordinateurs Windows.
- Terminal sous Windows : agent 0.12 ou plus récent et Windows 10 1809 / Windows Server 2019 ou plus récent.
- Registre et tâches planifiées : Windows uniquement, agents 0.12 et plus récents.
- Téléversements dans le gestionnaire de fichiers : jusqu’à 4 Go par fichier.
Tout ce que fait RMMZit est sur la page des fonctionnalités ; il se télécharge sur la page de téléchargement, et la référence complète est la documentation, avec la page sécurité. Pour installer le serveur et les premiers agents, suivez le guide d’installation. Les questions sont les bienvenues dans les GitHub Discussions. Les entreprises peuvent obtenir un support commercial de MaxZit (en anglais uniquement).