# Accès à distance

> La page Accès à distance : ouvrir les tableaux de bord de cette station aux autres appareils du réseau, en HTTPS si vous le souhaitez, qui peut s'en servir, les navigateurs connectés en ce moment et les tablettes et ordinateurs configurés pour s'ouvrir à leur façon, et le redémarrage que coûte chaque modification.

Accès à distance est une page à part entière, l'entrée du groupe du bas de la barre de navigation juste après [Accès agent](agent), dessinée seulement pour un rôle qui détient **Voir l'accès à distance** ; la route `/remote-access` est protégée par la même permission. Désactivé, l'hôte web de la station ne répond qu'à sa propre machine sur l'adresse de boucle locale, ce qui est la façon dont la fenêtre du logiciel de bureau dessine elle-même l'interface, et rien n'écoute sur le réseau. Activé, chaque adresse réseau de la station est écoutée aussi, et une tablette ou un autre PC du même réseau local peut ouvrir la même interface dans un navigateur. La page dit ce qu'il est sous le titre : « Ouvre les tableaux de bord de cette station dans le navigateur des ordinateurs et des tablettes de votre réseau. Il reçoit les connexions et n'en ouvre jamais. » Il porte trois cartes, **État**, **Paramétrage** et **Accès des clients** : **Voir l'accès à distance** les lit, et **Configurer l'accès à distance** met l'accès à distance en marche ou l'arrête et modifie ses réglages. Chaque changement redémarre le serveur web qui dessine la vue même où vous êtes, donc chacun demande d'abord.

## Mise en marche et arrêt {#on-and-off}

La barre en haut de la page affiche son état à côté de son icône : « Arrêté », « À l'écoute sur le port 18760 », « Démarrage… » pendant que le serveur web revient après un changement, « Aucune adresse réseau » ou « Démarrage impossible ». Son point est gris tant que l'accès à distance est arrêté, vert tant que d'autres appareils atteignent la station, ambre pendant qu'il démarre ou qu'il n'a aucune adresse à donner, et rouge quand le réseau a été refusé.

**Activer** et **Désactiver** dans la barre de commandes le mettent en marche et l'arrêtent. Sur une station neuve, il est arrêté. En marche : l'hôte web écoute chaque adresse du réseau local de la station à côté de celle de boucle locale, l'application ajoute une règle du Pare-feu Windows nommée « Ganter Lab Dashboard » (TCP entrant sur le port, profils Privé et Domaine, sous-réseau local seulement) et installe une liste d'autorisation qui refuse toute source hors des plages d'adresses privées. Arrêté : seule la boucle locale est écoutée et la règle est retirée. Un rôle sans Configurer l'accès à distance ne voit pas les deux commandes dessinées et lit les cartes sans les modifier. Chaque commande reste dessinée et grisée avec la raison tant que l'accès à distance est déjà dans son état. Les deux commandes et les réglages sont grisés de la même façon tant qu'une unité tourne ou que le runtime est arrêté, comme dans le [Connector](connector#engineering-boundaries), et dans la démonstration publiée, dont l'adresse est fixée à son démarrage : « L'adresse de cette démonstration est fixée à son démarrage : l'accès à distance ne peut donc pas être modifié ici. »

## Les réglages {#the-settings}

| Champ | Ce que c'est | Valeurs / défaut | Effet |
| --- | --- | --- | --- |
| Servir en HTTPS (certificat auto-signé) | Dessiné seulement tant que l'accès à distance est en marche. Chiffre le trafic du réseau local avec un certificat que la station fabrique pour elle-même. | Activé ou désactivé. Désactivé par défaut. | Activé : les adresses du réseau local servent en HTTPS ; l'adresse de boucle locale reste en HTTP simple, si bien que la fenêtre du logiciel de bureau n'est jamais touchée. Chaque appareil vous demande d'accepter le certificat de la station la première fois. |
| Port réseau | « Le port réseau sur lequel cette station écoute. Le modifier redémarre le serveur web : cette vue se recharge d'elle-même, et les tableaux de bord ouverts ailleurs doivent être rouverts à la nouvelle adresse. » | de 1 à 65535. Défaut 18760. | Le port pour la boucle locale comme pour le réseau local. Le champ valide quand vous le quittez ou appuyez sur Entrée, jamais à chaque frappe. Un texte qui n'est pas un nombre entier, et le port déjà en vigueur, reviennent à la valeur en vigueur sans que rien soit dit. Un port vers lequel la station ne peut pas se déplacer est refusé avant que rien soit enregistré : le motif est dit sous le champ, le champ revient au port en vigueur, et rien ne redémarre. Six entrées sont refusées, dans cet ordre : un nombre hors de la plage, quel que soit son nombre de chiffres (« Le port d'écoute doit être compris entre 1 et 65535. ») ; le port réglé pour l'accès agent sur la page [Accès agent (MCP)](agent), que l'accès agent soit activé ou non (« Le port N est déjà celui de l'accès agent. Choisissez un autre port, ou déplacez d'abord l'accès agent. ») ; le port du serveur OPC UA sur [Paramétrage](connector-opcua-configuration), en marche ou arrêté (« Le port N est déjà celui du serveur OPC UA. Choisissez un autre port, ou déplacez d'abord le serveur. ») ; le port du [serveur Modbus](connector-modbus-server) sur la page Connector, en marche ou arrêté (« Le port N est déjà celui du serveur Modbus. Choisissez un autre port, ou déplacez d'abord le serveur Modbus. ») ; le port du [broker MQTT](connector-mqtt-broker) sur la page Connector, en marche ou arrêté (« Le port N est déjà celui du broker MQTT. Choisissez un autre port, ou déplacez d'abord le broker MQTT. ») ; et un port qu'autre chose sur cette machine retient déjà (« Le port N est occupé sur cette machine. Fermez ce qui le retient, ou choisissez un autre port. »). Le motif reste sous le champ jusqu'à la prochaine entrée que le champ ne refuse pas. |
| Noms sous lesquels cette station répond | « Laissez ce champ vide, sauf si la station est ouverte sous un nom qui lui est propre, par exemple un alias DNS ou le nom d'un proxy inverse placé devant elle : une requête qui arrive sous tout autre nom est refusée. Séparez les noms par des virgules et n'écrivez que le nom, sans http:// devant, sans port et sans chemin. » | Une liste de noms d'hôte séparés par des virgules. Vide par défaut. | Chaque nom rejoint ce à quoi la station répond, à côté des adresses qu'elle a écoutées et de son propre nom de machine, que l'accès à distance soit en marche ou non. Le champ valide quand vous le quittez ou appuyez sur Entrée ; une entrée qui n'est pas un nom d'hôte est refusée sous le champ et rien n'est enregistré. |

La carte **État** montre où la station est atteinte. Tant que l'accès à distance est arrêté, elle affiche « L'accès à distance est arrêté : seul cet ordinateur ouvre les tableaux de bord de la station, et rien n'écoute sur le réseau. » Sur une station qui a une adresse réseau, suivent le code QR et l'adresse qu'elle donnera, grisés, sous **Ouvrir sur un autre appareil, une fois l'accès à distance activé** : « Ce code et cette adresse n'ouvrent rien tant que l'accès à distance n'est pas activé. Ensuite, un navigateur du même réseau ouvre la station en scannant le code ou en saisissant cette adresse : ». Cette adresse est la première adresse réseau de cet ordinateur, lue comme l'hôte les lit quand l'accès à distance s'active, donc celle que l'hôte lie en premier ; sur une station sans adresse réseau, la carte affiche la phrase seule. Tant qu'il est en marche, elle montre l'une de trois choses.

- **Ouvrir sur un autre appareil** : un code QR et l'adresse à saisir, `http://<address>:<port>/` (ou `https://`), où l'adresse est la première adresse de réseau local que l'hôte a écoutée à son démarrage. Scannez-le ou saisissez-le dans un navigateur du même réseau.
- « Cette station n'est pas encore sur un réseau. Raccordez-la au réseau de votre installation pour obtenir une adresse à partager. » : l'accès à distance est en marche, mais la station n'avait aucune adresse de réseau local au démarrage de l'hôte, donc seule la boucle locale est écoutée et aucune règle de pare-feu n'a été créée. Le réglage reste activé, et l'hôte est réécouté dès qu'une adresse apparaît.
- **L'accès à distance est indisponible**, un bandeau de prudence : HTTPS a été demandé et le certificat n'a pas pu être chargé ni créé. Le bandeau porte la raison : « L'accès à distance n'a pas démarré parce que son certificat HTTPS n'a pas pu être chargé ni créé. L'accès par loopback reste disponible ; consultez Événements et modifiez le réglage d'accès à distance pour réessayer. » La station ne retombe jamais d'elle-même en HTTP simple, et une notification « Tableau de bord distant indisponible » dit la même chose au démarrage de l'hôte.

Partout où la carte montre le code, arrêté ou en marche, une ligne en dessous donne l'adresse qui ouvre la station sur son propre ordinateur, `http://localhost:<port>` sur le port où la station écoute. Elle répond quel que soit l'état de l'accès à distance, car c'est l'adresse de boucle locale d'où la fenêtre de la station elle-même est dessinée ; un navigateur y entre avec le rôle Non connecté.

| Où la page est lue | La ligne |
|---|---|
| Dans la fenêtre même de la station | « Ouvrez `http://localhost:<port>` dans un navigateur de cet ordinateur : la station s'y ouvre déjà, sans rien activer. », l'adresse étant un lien qui l'ouvre dans le navigateur par défaut de Windows |
| Dans un navigateur, sur cet ordinateur ou un autre | « Sur l'ordinateur de la station, ouvrez `http://localhost:<port>` dans un navigateur : la station s'y ouvre déjà, sans rien activer. », l'adresse en texte, car sur une tablette localhost est la tablette elle-même |

Dans la démonstration publiée, elle affiche « Ceci est la démonstration publiée : les visiteurs l'atteignent à l'adresse par laquelle ils l'ont ouverte. »

La carte **Accès des clients** dit qui peut entrer : un navigateur d'un autre appareil entre avec sa propre connexion, et seulement tant que son rôle a **Accès à distance (LAN)** (voir [Qui peut ouvrir un tableau de bord](#who-may-open-a-dashboard)). Tant que l'accès à distance est en marche, elle affiche aussi l'état de la règle « Ganter Lab Dashboard » sous **Pare-feu Windows**, et propose **Autoriser le réseau local** tant que cette règle n'est pas en place ; seule la fenêtre de la station elle-même peut l'utiliser (voir [La règle de pare-feu et la surveillance des adresses](#the-firewall-rule-and-the-address-watch)).

## Appliquer un changement : le redémarrage {#applying-a-change-the-restart}

**Activer**, **Désactiver**, l'interrupteur HTTPS, un nouveau port ou une nouvelle liste de noms ouvre la boîte de dialogue **Redémarrer le serveur web ?**. Son paragraphe énonce le coût et se termine par « Cette vue est dessinée par ce serveur : elle s'interrompt quelques secondes et revient d'elle-même. » :

- **Activer** : « Ouvrir les tableaux de bord sur d'autres appareils redémarre le serveur web. » ;
- **Désactiver** : « Fermer les tableaux de bord sur d'autres appareils redémarre le serveur web, et un appareil qui lit cette station par le réseau cesse de l'atteindre. » ;
- HTTPS activé : « Servir en HTTPS redémarre le serveur web, et chaque appareil vous demande d'accepter le certificat propre à cette station la première fois. » ; HTTPS désactivé : « Revenir à HTTP simple redémarre le serveur web. » ;
- un nouveau port : « Déplacer cette station sur le port N redémarre le serveur web. » ;
- des noms déclarés : « Répondre sous ces noms redémarre le serveur web. » ; le champ vidé : « Ne répondre à nouveau que sous les adresses propres à cette station redémarre le serveur web. »

**Annuler** n'enregistre rien : l'accès à distance et l'interrupteur HTTPS restent sur ce que la station écoute, comme pendant la question, et le champ de port et le champ de noms reviennent à ce que la station écoute et à ce sous quoi elle répond. **Appliquer et recharger** enregistre le réglage ; l'application retire ensuite l'ancienne règle de pare-feu, arrête l'hôte, le démarre avec les nouvelles options et recrée la règle. Pendant ce temps, un voile intitulé **Redémarrage du serveur web** se tient par-dessus l'application : « La vue revient d'elle-même dès que la station répond de nouveau. » sur la fenêtre du logiciel de bureau, « La vue revient d'elle-même dès que la nouvelle adresse répond. » dans un navigateur, suivie là de « Quand la vue revient, il faut se connecter de nouveau : la session d'un navigateur prend fin avec le redémarrage. », et dans les deux « L'acquisition, l'enregistrement et le serveur OPC UA continuent de fonctionner pendant toute l'opération. » Un navigateur sonde la nouvelle adresse toutes les demi-secondes pendant trente secondes au plus et s'y rend dès qu'elle répond ; si rien ne répond à temps, le voile s'écarte et la vue de reconnexion ordinaire, avec ses Réessayer et Recharger, prend le relais. La fenêtre du logiciel de bureau repointe sa propre vue. Celui qui a demandé le changement est celui qui attend ; tout autre appareil perd simplement sa connexion et se reconnecte. Un navigateur qui a désactivé l'accès à distance n'a, par son propre choix, plus rien où revenir.

## HTTPS et son certificat {#https-and-its-certificate}

Le certificat est auto-signé, délivré à « Ganter Lab Dashboard », valable cinq ans, et il liste `localhost`, `127.0.0.1` et chaque adresse de réseau local que la station avait au moment de sa fabrication. Il est conservé sous le nom `dashboard-cert.pfx` dans la racine de données de la station et refabriqué quand il manque, qu'il est illisible, qu'il expire dans moins d'un jour, ou qu'il ne couvre plus l'une des adresses de la station. Les navigateurs ne lui font pas confiance d'eux-mêmes : chaque appareil montre son propre avertissement une fois et vous y acceptez le certificat de la station. Sans HTTPS, les codes PIN de connexion traversent le réseau en clair, tout comme le reste de ce que la station montre sur le réseau, y compris le nom d'utilisateur du serveur OPC UA sur [Paramétrage](connector-opcua-configuration) ; un mot de passe tapé là traverse de la même façon à l'aller, mais celui qui est enregistré n'est jamais envoyé au navigateur.

## La règle de pare-feu et la surveillance des adresses {#the-firewall-rule-and-the-address-watch}

La règle « Ganter Lab Dashboard » est créée et retirée avec `netsh` à mesure que l'application applique le réglage. Créer une règle demande une élévation, et l'application ne la présume pas : un échec est journalisé et absorbé, parce que l'écoute et la liste d'autorisation des plages privées confinent quand même l'hôte, et Windows montre alors sa propre demande « autoriser l'accès » à la place. La règle est retirée et recréée à chaque changement, si bien qu'aucune règle périmée pour un ancien port ne reste derrière. Un lancement de démonstration ou de test, dont le dossier de données a été déplacé vers un dossier à lui, ne crée ni ne retire la règle : le nom de la règle appartient à toute la machine, et la retirer priverait le programme installé de son accès à distance. Une copie du programme qui n'a pas été installée, comme une version de développement, n'y touche pas non plus, pour la même raison.

Les adresses de la station peuvent bouger sous un hôte en marche (un nouveau bail DHCP, un passage du Wi-Fi au câble, une station d'accueil). L'application les surveille et, tant que l'accès à distance est activé, réécoute l'hôte sur les adresses en cours, ce qui renouvelle aussi le certificat quand il ne les couvre plus ; la carte des adresses suit.

## Ouvrir la station sous un nom à vous {#opening-the-station-by-a-name-of-your-own}

Une station connaît d'elle-même deux sortes de noms : les adresses qu'elle a liées, et le nom que Windows tient pour la machine. Deux installations lui en donnent un troisième, qu'elle ne peut pas connaître. La première est un alias DNS, où le DNS de l'installation fait pointer un nom parlant vers l'adresse de la station. La seconde est un proxy inverse, où un serveur placé devant la station prend la connexion et la transmet. Dans les deux cas, le navigateur inscrit ce nom dans la requête, la station le compare à ce qu'elle publie, et un nom que personne n'a déclaré est écarté par un `403` avant qu'une vue ne soit dessinée. **Noms sous lesquels cette station répond** est l'endroit où vous l'écrivez : le nom exactement comme le navigateur l'envoie, un nom après l'autre avec une virgule entre eux, et rien d'autre, car un protocole, un port ou un chemin dans le champ serait un nom qu'aucune requête ne peut porter.

La liste est lue à chaque démarrage du serveur web : un changement prend donc effet par le même redémarrage que coûtent les autres réglages d'ici. Elle ne suit pas l'état de l'accès à distance. Un proxy sur la machine même de la station transmet à l'adresse de boucle locale, que la station garde ouverte que l'accès à distance soit activé ou non, tandis qu'un proxy ailleurs sur le réseau a besoin de l'accès à distance activé pour atteindre la station. Ne déclarez que des noms qui mènent vraiment ici : chaque nom ajouté est un nom de plus sous lequel une page dans un navigateur a le droit d'adresser cette station.

## Qui peut ouvrir un tableau de bord {#who-may-open-a-dashboard}

La première question n'est pas qui demande, mais ce que la requête a adressé. La station répond sur `127.0.0.1` sur sa propre machine, sous chaque nom déclaré dans **Noms sous lesquels cette station répond** et, tant que l'accès distant est activé, sur chaque adresse LAN qu'elle a liée et sur le nom réseau de cette machine. Une requête qui nomme un autre hôte, ou qui porte comme origine la page d'un autre site, est refusée par un `403` et par la ligne "Cette station ne répond qu'à l'adresse qu'elle publie." avant qu'une vue, un fichier ou une connexion ne soient servis. C'est ce qui empêche un site que vous visitez par hasard de piloter cette station par votre navigateur. Une telle page peut faire pointer son propre domaine vers cette machine, mais elle ne choisit pas l'adresse que le navigateur inscrit dans la requête qu'il fait pour elle, et la tentative est consignée dans Events. L'endpoint de l'agent refuse ses propres appelants selon la même règle.

L'hôte web sert toute l'interface, pas seulement les tableaux de bord, et chaque navigateur est une connexion à lui avec son propre utilisateur connecté. Le fait qu'une identité puisse entrer depuis le réseau tient à la permission **Accès à distance (LAN)** de son rôle, sur la page [Utilisateurs](users) : un navigateur dont l'identité ne l'a pas ne voit aucune page, seulement le volet de connexion, tant que personne détenant ce droit ne s'est connecté. Le rôle **Non connecté** ne l'a pas par défaut, si bien qu'activer l'accès à distance ne partage rien tant qu'un utilisateur ne s'est pas connecté, à moins que vous n'accordiez délibérément ce droit à ce rôle pour une borne ou une tablette. Un navigateur sur la machine même de la station n'est jamais filtré par lui. À partir de là, le rôle connecté décide de tout le reste, exactement comme sur la fenêtre de la station ; voir [Se connecter](users-signing-in).

## Navigateurs connectés et appareils configurés {#connected-browsers-and-configured-devices}

Une tablette à côté d'une machine ou un ordinateur dans l'atelier ouvre l'adresse de la station tous les jours. La carte **Accès des clients** liste sous **Connectés maintenant** chaque navigateur qui a la station ouverte depuis le réseau, et fait de n'importe lequel d'entre eux un appareil configuré : un appareil que la station reconnaît désormais et ouvre comme sa ligne l'indique, sur une vue à lui, verrouillé dessus si vous le voulez, connecté tout seul, revenu à son départ après être resté sans contact, ou en lecture seule. L'appareil ouvre l'adresse de la station comme il l'a toujours fait : il n'y a ni code QR ni lien d'appairage pour lui.

### Connectés maintenant {#connected-now}

« Chaque navigateur qui ouvre cette station depuis un autre ordinateur ou une tablette en ce moment, connecté ou encore sur l'écran de connexion. La fenêtre de cet ordinateur n'y figure pas. » Un navigateur sur l'ordinateur même de la station n'y figure pas non plus. Chaque ligne nomme le navigateur et son système tels que le navigateur les annonce (« Chrome sous Windows », « Safari sous iPad »), ou le nom de l'appareil s'il est configuré, et une ligne avec son adresse, la page qu'il a ouverte (**Sur l'écran de connexion** tant qu'il ne s'est pas connecté), qui y est connecté (**Non connecté** quand personne ne l'est) et depuis quand. Sans personne, le groupe affiche « Aucun navigateur d'un autre ordinateur ou d'une tablette n'est connecté en ce moment. »

Pour un rôle qui détient Configurer l'accès à distance, chaque ligne porte deux verbes :

| Verbe | Ce qu'il fait |
| --- | --- |
| **Identifier** | « Affiche un grand code sur l'écran de ce navigateur pendant 30 secondes, et le même code sur cette ligne, pour savoir quel appareil est cette ligne. » L'écran de l'appareil affiche **La station identifie cet appareil** et « Vérifiez que ce code figure à côté de la bonne ligne sur l'écran de la station. » à côté du code, avec **Masquer**. Rien n'est enregistré. |
| **Configurer cet appareil** | Dessiné sur un navigateur que la station ne connaît pas encore. « Donne à ce navigateur une clé grâce à laquelle la station le reconnaît désormais, et l'ajoute aux Appareils configurés. Son écran se recharge une fois. » L'appareil figure ensuite sous **Appareils configurés**, au nom de son navigateur, suivi d'un numéro quand un autre appareil porte déjà ce nom, et sa ligne s'ouvre pour être modifiée. |

### La clé de l'appareil {#the-devices-key}

Configurer un appareil ne montre jamais de clé nulle part. La station envoie ce navigateur, par sa propre connexion, vers une adresse à usage unique qui écrit une clé dans un cookie de ce navigateur qu'aucune page ne peut lire, et l'écran se recharge une fois. La station ne garde qu'un hachage de la clé, rien n'est enregistré si le navigateur part avant de se recharger, et chaque page que l'appareil charge renouvelle le cookie, si bien qu'un appareil en service garde sa clé. La clé appartient à ce navigateur et à l'adresse sous laquelle la station a été ouverte : un navigateur effacé ou réinitialisé, un autre navigateur sur la même tablette, ou la station ouverte sous une autre de ses adresses redevient un navigateur inconnu, revient sous Connectés maintenant et se configure de nouveau. En HTTP simple, la clé traverse le réseau comme le fait un code PIN de connexion ; [HTTPS](#https-and-its-certificate) couvre les deux.

### Appareils configurés {#configured-devices}

« Chaque appareil garde une clé que cette station a donnée à son navigateur, et s'ouvre comme sa ligne l'indique. Un navigateur effacé ou remplacé perd sa clé et revient dans Connectés maintenant comme navigateur inconnu. » Chaque ligne porte un point, vert tant que l'appareil est connecté, son nom, et une ligne qui dit comment il s'ouvre : **Connecté en ce moment** ou **Déconnecté** ; puis « S'ouvre sur Vue du four », « Verrouillé sur Vue du four » ou **S'ouvre comme n'importe quel navigateur** ; puis « Se connecte en tant que Vera » ou **Demande de se connecter** ; **Lecture seule** quand c'est le cas ; et « Revient au départ après 5 min sans contact » quand il revient. Quand une chose qu'il désigne a changé, une note sous la ligne dit ce que l'appareil fait à la place :

- « Son utilisateur fixe a été supprimé, il demande donc de se connecter. »
- « Le rôle de Vera n'a plus Accès à distance (LAN), il demande donc de se connecter. »
- « Sa vue de départ a été supprimée, il s'ouvre donc sur View avec tout le programme autour et sans verrou. »

Presser une ligne ouvre ses réglages en dessous. Chacun est enregistré dès que vous quittez le champ ou basculez l'interrupteur, et atteint aussitôt l'écran ouvert de l'appareil.

| Champ | Ce que c'est | Valeurs / défaut | Effet |
| --- | --- | --- | --- |
| **Nom** | « Ce sous quoi la station liste cet appareil, et ce que le journal technique note à côté de tout ce qui est fait depuis lui. » | N'importe quel texte ; au départ, le nom du navigateur. | Renomme l'appareil partout où il figure. |
| **Vue de départ** | « La vue sur laquelle cet appareil s'ouvre et à laquelle il revient. Sans elle, il s'ouvre comme n'importe quel navigateur. » | **Aucune vue de départ** (le défaut) ou l'une des vues de la station. | L'appareil s'ouvre sur elle. Une vue supprimée ensuite laisse l'appareil s'ouvrir sur View, avec la note ci-dessus. |
| **Verrouillé sur sa vue de départ** | L'appareil reste sur ses vues (voir [Sur l'appareil](#on-the-device)). | Désactivé par défaut. | Grisé avec « Choisissez d'abord une vue de départ : c'est sur elle que l'appareil est verrouillé. » tant qu'aucune vue de départ n'est choisie ; retirer la vue de départ le déverrouille. |
| **Connexion sur cet appareil** | Qui est l'appareil tant que personne ne s'y est connecté. | **Demande de se connecter** (le défaut) ou un utilisateur local dont le rôle détient Accès à distance (LAN) ; aucun autre utilisateur n'est proposé. | L'appareil entre sous cet utilisateur, sans connexion. Grisé pour un rôle sans Gérer les utilisateurs locaux : « Choisir sous quel utilisateur un appareil se connecte demande Gérer les utilisateurs locaux en plus de Configurer l'accès à distance. » |
| **Revient après (minutes sans contact)** | « Après ce nombre de minutes sans contact, l'appareil revient à sa vue de départ et à son utilisateur fixe. Vide : jamais. » | De 1 à 1440, ou vide. Vide par défaut. | Un toucher, une touche ou le pointeur qui bouge relance le décompte. |
| **Lecture seule** | « Personne ne commande quoi que ce soit depuis cet appareil, pas même un administrateur connecté par-dessus : les commandes restent dessinées, grisées avec la raison. » | Désactivé par défaut. | Chaque commande de l'appareil affiche « Cet appareil est en lecture seule. » |

**Oublier** sur une ligne supprime l'appareil après « Oublier « Tablette ligne 3 » ? » : « Son navigateur garde la clé, mais cette station ne le reconnaît plus : il demande de se connecter comme n'importe quel navigateur jusqu'à ce qu'il soit configuré de nouveau. Cette action est irréversible. », avec **Oublier** et **Le garder**. Un écran ouvert de cet appareil devient aussitôt un navigateur inconnu.

### Sur l'appareil {#on-the-device}

Un appareil qui a une vue de départ s'ouvre sur elle. Verrouillé, il est dessiné comme le mode Agrandir de View : ni barre de navigation, ni barre de titre, ni autre page, la barre d'état affichée seulement si la vue la garde en plein écran, et toute autre adresse tapée dedans le ramène à sa vue de départ. Les boutons réglés sur **Ouvrir un autre tableau de bord** sont le seul chemin vers une autre vue, et une vue que le rôle en vigueur ne voit pas reste hors d'atteinte. La barre d'état dit toujours la santé, les alarmes et les enregistrements, sans mener nulle part. Une touche discrète **Se connecter** dans le coin supérieur droit ouvre la boîte de dialogue de connexion habituelle ; tant que quelqu'un est connecté par-dessus l'utilisateur de l'appareil, elle porte le nom de cette personne, et sa boîte de dialogue la déconnecte de nouveau. Rien sur l'appareil ne lève le verrou : l'appareil se modifie ici.

Ce que l'utilisateur fixe, la connexion par-dessus, le retour après les minutes sans contact et la lecture seule font à qui est connecté se trouve sur [Se connecter](users-signing-in#configured-devices). Chaque enregistrement que le journal technique garde de ce qui a été fait depuis un appareil configuré porte son nom, lu comme **Appareil distant** dans les détails de l'enregistrement sur [Console](events-console) et exporté dans une colonne à lui.

Un navigateur ne peut pas se mettre lui-même en plein écran, et une page ne peut pas l'y maintenir : c'est le mode kiosque de l'appareil lui-même. Sur un iPad, c'est l'Accès guidé (dans Réglages, Accessibilité, puis un triple appui sur le bouton latéral ou principal avec Safari ouvert) ; sur Android, l'épinglage d'écran dans les réglages de sécurité, ou un navigateur kiosque ; sur un ordinateur Windows, Chrome ou Edge lancé avec `--kiosk` suivi de l'adresse de la station, ou l'accès attribué de Windows.

### Qui peut les modifier {#who-may-change-them}

Voir l'accès à distance lit les deux listes. Configurer l'accès à distance identifie, configure, modifie et oublie les appareils, et choisir un utilisateur fixe demande en plus Gérer les utilisateurs locaux, pour qu'un rôle qui ne fait que configurer l'accès à distance ne puisse pas mettre un administrateur sur une tablette. Une unité en marche ou un runtime arrêté grise les verbes et les champs avec la raison, comme dans le [Connector](connector#engineering-boundaries). L'agent lit les deux listes avec `remote_access_devices` et modifie les réglages d'un appareil, jamais son utilisateur fixe, avec `remote_access_device_update`. La démonstration publiée ne liste ni l'un ni l'autre : « La démonstration ne liste ni les navigateurs qui s'y connectent ni aucun appareil : ses visiteurs sont d'autres personnes. »

## Ce qu'un navigateur distant ne peut pas faire {#what-a-remote-browser-cannot-do}

Quelques actions n'existent que sur le bureau propre à la station et restent grisées dans un navigateur avec « Disponible uniquement sur le bureau local de la station. » : ouvrir le dossier des sauvegardes, redémarrer pour prendre une mise à jour, et ouvrir la fenêtre Événements détachée depuis le compteur d'avertissements. La ligne du zoom de la fenêtre n'est pas dessinée du tout. Accorder la confiance, bloquer, révoquer et importer des certificats sur [Accès des clients](connector-opcua-client-access) et [Accès des équipements](driver-opc-ua#equipment-access), ainsi que le bouton de pare-feu OPC UA, sont refusés dans un navigateur : « L'accès des clients ne peut être modifié que dans l'application de bureau de la station. » Tout le reste, ces réglages d'accès à distance compris, suit le rôle connecté.

## Ce que cette section ne fait pas {#what-this-section-does-not-do}

La station n'est jamais exposée à Internet et n'établit aucun tunnel : l'écoute est une écoute de réseau local, la règle de pare-feu est limitée au sous-réseau local, et la liste d'autorisation refuse les adresses publiques même si les deux étaient mal configurées. Il n'y a pas de liste d'appareils admis ou refusés (tout navigateur qui se connecte sous un utilisateur détenant Accès à distance (LAN) entre toujours), pas de moyen de déconnecter un navigateur d'ici, pas de mot de passe distinct pour consulter (l'identité est l'utilisateur local), et ni langue ni thème par appareil : la langue est celle de la station et le thème celui de chaque navigateur. Le port de l'endpoint de l'agent se règle sur la page [Accès agent (MCP)](agent), pas ici.