Connecter des appareils

IronFlock supporte plusieurs façons de connecter des appareils, selon le matériel et le système d’exploitation. Pas de matériel sous la main ? Vous pouvez simuler un appareil sur votre ordinateur portable en quelques minutes.

Prérequis

Avant de connecter un appareil, assurez-vous d’avoir :

Un projet créé sur IronFlock
Une entrée d’appareil créée dans ce projet (cliquez sur NOUVEL APPAREIL dans le panneau Paramètres -> Appareils du projet.)
Le fichier de configuration de l’appareil (.flock) téléchargé

Fichier .flock perdu ? Vous pouvez le télécharger à nouveau à tout moment : ouvrez l’appareil dans la barre latérale du projet, allez dans Maintenance de l’appareil et cliquez sur Télécharger le fichier de configuration. Il s’agit de la même configuration, pas d’un nouvel appareil. Vous avez besoin du privilège Maintenance sur l’appareil. Voir Paramètres des appareils.

Appareil sur un réseau d’entreprise restreint ? Planifiez la configuration réseau avant l’installation — c’est la raison la plus fréquente pour laquelle un appareil fraîchement installé reste hors ligne :

Pare-feu ou proxy sensible à l’identité : la règle qui autorise l’appareil doit être liée à l’appareil lui-même, jamais à un utilisateur connecté — sinon l’appareil perd l’accès au réseau dès que la session de cet utilisateur expire. Voir Pare-feu et proxys sensibles à l’identité.

Proxy HTTP d’entreprise : l’agent et Docker doivent en être informés explicitement — voir Derrière un proxy d’entreprise → Appareils Edge.

Connexion à une Appliance sur site : l’appareil doit atteindre directement les ports de service de l’appliance — ou, lorsque l’appliance fonctionne en HTTPS avec votre certificat d’entreprise, uniquement le port 443, votre CA racine d’entreprise devant alors être approuvée sur l’appareil. Voir Connectivité des appareils dans le guide de l’Appliance.

Dérive de l’horloge : les pare-feu d’entreprise bloquent généralement les serveurs de temps publics fournis avec un système fraîchement installé, et l’horloge de l’appareil dérive alors sans le moindre signe — configurez votre serveur NTP interne. Voir Synchronisation horaire (NTP).

Pare-feu et proxys sensibles à l’identité

Chaque appareil edge exécute l’agent IronFlock en tant que service système sans surveillance. Il démarre avec la machine, reste connecté en permanence et continue d’installer des apps, de télécharger des images et de se mettre à jour lui-même — qu’une session utilisateur soit ouverte ou non sur l’appareil. Cela vaut quel que soit l’endroit où s’exécute votre plateforme : dans le cloud IronFlock, dans votre cloud privé ou sur une appliance sur site.

Les réseaux OT sont de plus en plus protégés par des pare-feu et des proxys sensibles à l’identité (identity-aware), qui accordent l’accès selon l’identité dans l’annuaire plutôt que selon l’adresse réseau. Si la règle qui autorise un appareil edge est liée à l’utilisateur connecté sur celui-ci, l’appareil perd l’accès au réseau dès que la session de cet utilisateur expire :

Les connexions déjà ouvertes continuent de fonctionner ; l’appareil apparaît donc toujours en ligne.
Chaque nouvelle connexion est abandonnée silencieusement — les installations d’apps, les téléchargements d’images, les mises à jour de l’agent et les reconnexions échouent.
Après le prochain redémarrage de l’agent ou de l’appareil, celui-ci ne parvient plus du tout à se reconnecter et reste hors ligne jusqu’à ce que quelqu’un ouvre de nouveau une session sur l’appareil ou que la règle soit modifiée.

Demandez à votre équipe réseau de lier la règle à l’appareil, jamais à une personne :

Appareil	Identité à utiliser dans la règle
Appareil Windows joint à votre domaine	Son compte d’ordinateur — l’objet ordinateur, ou un groupe tel que IronFlock Edge Devices
Appareil Linux ou IronFlockOS, ou Windows hors domaine	Un objet hôte nommé avec une adresse IP réservée, ou l’identité attribuée par votre contrôle d’accès réseau (802.1X ou authentification MAC)

Correspondance avec les produits courants :

Check Point Identity Awareness : dans l’Access Role, sélectionnez la machine (objet ordinateur ou groupe) au lieu d’utilisateurs. Les identités de machine sont rafraîchies par l’activité de l’ordinateur lui-même sur le domaine ; si elles peuvent expirer sur votre passerelle, utilisez plutôt un objet réseau.
Palo Alto Networks User-ID : les comptes d’ordinateur ne produisent pas de correspondances IP-utilisateur ; utilisez donc un objet adresse, un tag ou Device-ID.
Fortinet FSSO et pare-feu similaires basés sur l’annuaire : utilisez un objet adresse pour l’appareil, ou l’adresse dynamique attribuée par votre contrôle d’accès réseau.
Zscaler, Prisma Access et autres passerelles de sécurité cloud : enregistrez le réseau des appareils comme emplacement IoT ou serveur (une source de confiance), afin que le trafic des appareils soit identifié par son emplacement plutôt que par un utilisateur.

Il ne s’agit pas d’une exemption de votre politique d’identité — l’appareil est identifié par l’identité qu’il possède réellement. Si vous exploitez une appliance sur site, il en va de même pour l’hôte de l’appliance : voir Identité réseau des hôtes IronFlock.

Reconnaître la panne. Un appareil qui reste en ligne alors que les installations d’apps, les téléchargements d’images ou les mises à jour de l’agent échouent par dépassement de délai — et que les pings aboutissent toujours — signale une règle d’identité expirée, et non un problème d’appareil. Ne redémarrez ni l’agent ni l’appareil tant qu’une nouvelle connexion depuis celui-ci n’aboutit pas à nouveau : la session encore ouverte est la seule qui fonctionne, et c’est grâce à elle que l’appareil reste gérable à distance en attendant.

Tester d’abord : Simuler un appareil sur votre ordinateur portable

Vous n’avez pas besoin de matériel physique pour explorer IronFlock. L’application FlockFlasher peut exécuter l’agent IronFlock directement sur votre ordinateur portable, qui se fait alors passer pour un appareil réel au sein de votre projet — idéal pour tester des applications et des tableaux de bord avant de déployer sur du matériel réel.

Installez Docker Desktop (ou Docker Engine sous Linux) et assurez-vous qu’il est en cours d’exécution.
Téléchargez et installez l’application FlockFlasher pour votre OS.
Double-cliquez sur le fichier .flock téléchargé de votre appareil — il s’ouvre dans FlockFlasher et l’appareil apparaît dans la liste. (Vous pouvez aussi ouvrir FlockFlasher et ajouter le fichier via le bouton +.)
Cliquez sur Test Device (▶, « Tester l’appareil ») sur l’entrée de l’appareil. FlockFlasher télécharge automatiquement l’agent IronFlock à la première utilisation et le démarre avec la configuration de votre appareil.

Votre ordinateur portable agit désormais comme cet appareil au sein de votre projet IronFlock : il apparaît en ligne, et vous pouvez y installer et y exécuter des applications exactement comme sur un appareil réel. Les applications s’exécutent sous forme de conteneurs Docker sur votre ordinateur portable.

Une fois terminé, arrêtez le test dans FlockFlasher. Vous pourrez ensuite utiliser le même fichier .flock pour provisionner l’appareil réel — assurez-vous simplement qu’une seule machine à la fois exécute une configuration d’appareil donnée.

Méthode 1 : Flasher une carte SD

Idéal pour les Raspberry Pi et autres appareils ARM qui démarrent depuis des cartes SD.

Téléchargez l’application FlockFlasher pour votre OS.
Insérez une carte SD (16 Go minimum) dans votre ordinateur.
Ouvrez FlockFlasher et cliquez sur le bouton + pour charger le fichier .flock.
Sélectionnez le lecteur de carte SD (FlockFlasher détecte automatiquement les lecteurs externes).
Choisissez l’image correcte pour votre appareil (Raspberry Pi 3/4, Zero, etc.).
Configurez optionnellement le WiFi pour que l’appareil puisse se connecter à destination.
Cliquez sur Flash et attendez la fin de l’écriture, de la validation et de la configuration.
Insérez la carte SD dans l’appareil et mettez-le sous tension.

L’appareil devrait passer en ligne dans les 20 minutes.

Avertissement : Le processus de flash efface toutes les données sur le lecteur sélectionné. FlockFlasher masque les lecteurs internes par défaut, mais vérifiez toujours votre sélection.

Méthode 2 : Installateur USB pour PC industriels

Pour les appareils AMD64 avec démarrage EFI (ex. Siemens SIMATIC Box IPC).

Insérez une clé USB (16 Go minimum) et ouvrez FlockFlasher.
Chargez le fichier .flock et sélectionnez la clé USB.
Sélectionnez l’image PC industriel x86_64 (EFI).
Cliquez sur Flash et attendez la fin.
Si nécessaire, modifiez l’ordre de démarrage dans le BIOS de l’appareil pour démarrer depuis la clé USB.
Insérez la clé USB et mettez l’appareil sous tension.

L’appareil devrait passer en ligne dans les 60 minutes.

Flasher depuis la ligne de commande

L’IronFlock CLI prépare les lecteurs des méthodes 1 et 2 sans l’application de bureau. Elle s’exécute sous Linux et macOS et écrit IronFlockOS pour Raspberry Pi 4, 400, 5, CM4 et CM5, ainsi que pour les PC et les machines ARM dotés d’UEFI.

Installez la commande ironflock sur votre ordinateur :


curl -fsSL https://instance-registry.ironflock.com/dl/cli/install.sh | sudo bash

Insérez la carte SD ou la clé USB et trouvez le nom de son lecteur :
```
ironflock os drives
```
Écrivez IronFlockOS et le fichier .flock sur le lecteur. Remplacez /dev/sdb par votre lecteur :
```
sudo ironflock os flash -c mydevice.flock -d /dev/sdb
```
Pour un PC industriel, ajoutez --installer. La clé installe alors IronFlockOS sur le disque interne du PC qui démarre depuis elle :
```
sudo ironflock os flash -c mydevice.flock -d /dev/sdb --installer
```

La commande télécharge l’image correspondant au matériel nommé dans le fichier .flock et la vérifie. Elle affiche ce qu’elle va écrire et demande confirmation avant d’effacer le lecteur. Elle écrit ensuite sur le lecteur et le relit. Pour donner à l’appareil un autre réseau WiFi que celui du fichier .flock, ajoutez --wifi-ssid et --wifi-password-file. Voir Écrire IronFlockOS sur un lecteur pour toutes les options.

La machine tourne déjà sous Linux et vous ne pouvez pas la démarrer depuis une clé ? ironflock os install remplace le Linux en cours d’exécution par IronFlockOS sur le même disque, y compris sur une machine distante via SSH. Tout ce qui se trouve sur ce disque est perdu. Voir Remplacer Linux par IronFlockOS.

Méthode 3 : Installation personnalisée

Pour les appareils conservant leur OS Linux existant. Idéal pour NVIDIA Jetson et le matériel personnalisé.

Note : Cette méthode d’installation manuelle est destinée au matériel de production réel comme les PC industriels, les passerelles et les appareils embarqués — pas aux ordinateurs portables. Si vous souhaitez simplement essayer IronFlock sur votre ordinateur portable, suivez plutôt Tester d’abord : Simuler un appareil sur votre ordinateur portable — aucune installation manuelle de l’agent n’est requise.

Appareils Linux / Unix

Connectez-vous en SSH à l’appareil.
Copiez le fichier .flock de votre ordinateur vers l’appareil :
```
scp mydevice.flock user@device-ip:/home/user/
```
Téléchargez et exécutez l’installateur :
```
curl -fsSL https://instance-registry.ironflock.com/dl/cli/install.sh | sudo bash -s -- agent install -c mydevice.flock
```
Sur une appliance IronFlock ? Les commandes sont les mêmes. ironflock agent install prend l’agent d’appareil sur le miroir de téléchargement de l’appliance que nomme le fichier .flock, et sur internet ce que le miroir ne contient pas. Le script d’installation, ironflock, les paquets de la distribution et Docker viennent toujours d’internet : l’appareil a donc besoin d’un accès internet pendant l’installation. Ensuite, il lui suffit de joindre l’appliance (voir Appareils edge).
Répondez aux questions de l’installateur. Une fois l’installation terminée, l’agent tourne et l’appareil apparaît en ligne dans IronFlock en moins d’une minute. Aucun redémarrage n’est nécessaire.

L’appareil doit exécuter un Linux basé sur Debian ou Ubuntu avec systemd.

install.sh télécharge ironflock, l’outil en ligne de commande d’IronFlock, pour le processeur de l’appareil. Il vérifie la signature du téléchargement avec la clé IronFlock intégrée au script, installe l’outil sous /usr/local/bin/ironflock, puis l’exécute avec les arguments que vous lui passez. Sans argument, il se contente d’installer l’outil ; connectez ensuite l’appareil avec sudo ironflock agent install -c mydevice.flock.

ironflock agent install vérifie d’abord si l’installation peut aboutir. Il installe ensuite Docker (s’il manque) et l’agent de l’appareil, puis configure :

un utilisateur SSH pour le propriétaire du projet — connexion par clé uniquement (la clé de l’appareil) et sudo sans mot de passe ;
le WiFi à partir du fichier .flock, via NetworkManager ;
une bannière de connexion.

Il indique ce qu’il va installer et demande confirmation avant d’agir. Il ne touche pas aux mises à jour de sécurité automatiques et ne redémarre pas l’appareil, sauf si vous passez --reboot. Tout ce qu’il modifie est consigné dans /opt/ironflock/device-init/installed.json, de sorte que agent remove annule exactement cela :


sudo ironflock agent remove

Autres options de ironflock agent install :

--yes — prendre les valeurs par défaut, sans poser de questions
--disable-suspend — empêche l’appareil de se mettre en veille
--reboot — redémarre l’appareil à la fin de l’installation
--http-proxy, --https-proxy, --no-proxy, --proxy-password-file — font passer l’installation, Docker et l’agent par un proxy
--download-base — télécharge depuis un autre serveur (voir Base de téléchargement)

Pour donner un autre fichier .flock à un appareil installé, exécutez sudo ironflock agent configure -c new.flock. Commandes de l’agent de l’appareil décrit chaque commande et chaque option.

Sur l’appareil, l’agent se trouve dans /opt/ironflock/device-agent et s’exécute en tant que service systemd ironflock-device-agent. Vérifiez-le avec sudo ironflock status ou systemctl status ironflock-device-agent. Lisez son journal avec sudo ironflock agent logs ; il se trouve aussi dans journalctl -u ironflock-device-agent et dans /var/log/ironflock/device-agent.log. La configuration est /opt/ironflock/device-agent/device-config.flock (lisible uniquement par root ; il n’y a plus de copie dans /boot), Docker conserve ses données dans /opt/ironflock/device-agent/docker-apps et les données des apps restent dans /apps.

L’agent se met à jour lui-même — il n’y a pas de gestionnaire de mises à jour séparé. Les mises à jour sont signées et vérifiées, et une mise à jour qui échoue est annulée automatiquement. Elles ne sont appliquées qu’au démarrage de l’agent, lorsqu’un utilisateur lance la mise à jour dans Studio, ou lorsque vous exécutez sudo ironflock agent update sur l’appareil.

Les appareils installés avant octobre 2026 utilisaient /opt/reagent et le service reagent.service. Dès qu’un tel appareil exécute l’agent 1.3.x, il passe de lui-même à la disposition décrite ci-dessus — Docker et les apps redémarrent une fois — et /opt/reagent subsiste sous forme de lien.

Derrière un proxy d’entreprise ? Donnez aussi le proxy au téléchargement de l’installateur et ajoutez --http-proxy / --https-proxy aux arguments de l’étape 3 pour qu’ironflock agent install configure Docker et l’agent à votre place. Consultez Derrière un proxy d’entreprise pour la commande complète et les étapes relatives à la CA d’entreprise.

Installer depuis votre ordinateur via SSH

Avec ironflock installé sur votre propre ordinateur Linux ou macOS, vous connectez un appareil sans d’abord ouvrir de session dessus. --host exécute la commande sur l’appareil via SSH et y transmet le fichier .flock, si bien qu’il n’y a rien à copier :


ironflock --host user@device-ip agent install -c mydevice.flock

Le compte de connexion doit être root ou être autorisé à utiliser sudo sur l’appareil. --host utilise le ssh de votre ordinateur, avec vos clés et votre ~/.ssh/config. Il ne laisse aucune commande ironflock sur l’appareil ; les commandes suivantes s’exécutent de la même façon depuis votre ordinateur, par exemple ironflock --host user@device-ip status. Voir Machines distantes via SSH.

Facultatif : vérifier d’abord l’installateur

Pour examiner le script avant qu’il ne s’exécute en tant que root, téléchargez-le avec sa signature et vérifiez-le avec la clé d’amorçage (bootstrap) d’IronFlock :


curl -fsSLO https://instance-registry.ironflock.com/dl/cli/install.sh
curl -fsSLO https://instance-registry.ironflock.com/dl/cli/install.sh.asc
curl -fsSL https://instance-registry.ironflock.com/dl/cli/ironflock-bootstrap.asc | gpg --import
gpg --verify install.sh.asc install.sh

gpg doit signaler une signature valide de IronFlock Bootstrap <[email protected]> avec l’empreinte F6C9 4D96 CE31 5377 ACA7 C8EA 4990 5433 7321 2788. Exécutez ensuite le script vérifié :


sudo bash install.sh agent install -c mydevice.flock

Appareils Windows

Installez Docker Desktop sur l’appareil et activez Start Docker Desktop when you sign in dans les paramètres de Docker Desktop. Pour les appareils sans surveillance, configurez également la connexion automatique de Windows afin que Docker soit disponible après un redémarrage sans qu’aucun utilisateur ne se connecte.
Téléchargez device-agent.exe sur l’appareil. Votre navigateur l’enregistre dans le dossier Téléchargements.
Copiez le fichier .flock sur l’appareil, dans ce même dossier Téléchargements.
Ouvrez PowerShell avec les droits d’administrateur : ouvrez le menu Démarrer, tapez PowerShell, sélectionnez Exécuter en tant qu’administrateur et confirmez l’invite du Contrôle de compte d’utilisateur avec Oui. Le titre de la fenêtre doit commencer par Administrateur :. Dans une fenêtre PowerShell normale, l’installation s’arrête avec le message this command must be run from an elevated (Administrator) prompt.
Une fenêtre PowerShell administrateur s’ouvre dans C:\Windows\System32. Allez dans votre dossier Téléchargements et vérifiez que les deux fichiers s’y trouvent :
```
cd $env:USERPROFILE\Downloads
dir device-agent.exe, *.flock
```
Installez et démarrez l’agent en tant que service Windows :
```
.\device-agent.exe service install -config .\myaccount_myproject_mydevice.flock
```
Remplacez myaccount_myproject_mydevice.flock par le nom de votre fichier — Studio le nomme d’après le propriétaire du projet, le projet et l’appareil. Tapez les premières lettres du nom et appuyez sur Tab pour le compléter. N’omettez pas le .\ devant device-agent.exe : sans lui, PowerShell n’exécute pas un programme du dossier courant.

Le service ironflock-device-agent démarre immédiatement, puis à chaque démarrage du système, redémarre automatiquement en cas d’échec et maintient l’agent à jour. Ajoutez -noStart pour l’installer sans le démarrer. Le programme d’installation copie device-agent.exe et le fichier .flock dans le dossier de l’agent ; vous pouvez ensuite supprimer les deux de votre dossier Téléchargements.

Sur l’appareil, l’agent se trouve dans %ProgramData%\IronFlock\DeviceAgent : device-agent.exe, la configuration device.flock, le journal device-agent.log et les données des apps sous apps\. Les mises à jour sont signées et vérifiées, et une mise à jour qui échoue est annulée automatiquement ; elles ne sont appliquées qu’au démarrage de l’agent ou lorsqu’un utilisateur lance la mise à jour dans Studio.

Vérifier l’agent et lire son journal

Le dossier de l’agent n’est lisible que par les administrateurs : exécutez donc aussi ces commandes dans une fenêtre PowerShell administrateur. Vérifiez que le service est en cours d’exécution :


Get-Service ironflock-device-agent

Status doit valoir Running. Affichez les 100 dernières lignes du journal de l’agent et continuez d’afficher les nouvelles lignes à mesure que l’agent les écrit :


Get-Content "$env:ProgramData\IronFlock\DeviceAgent\device-agent.log" -Tail 100 -Wait

Appuyez sur Ctrl+C pour arrêter de suivre le journal. Pour ne rechercher que les erreurs dans le journal :


Select-String -Path "$env:ProgramData\IronFlock\DeviceAgent\device-agent.log" -Pattern "error" | Select-Object -Last 20

Pour redémarrer l’agent, utilisez ses propres commandes. L’appareil est hors ligne jusqu’à ce que l’agent tourne de nouveau :


& "$env:ProgramData\IronFlock\DeviceAgent\device-agent.exe" service stop
& "$env:ProgramData\IronFlock\DeviceAgent\device-agent.exe" service start

N’utilisez pas Restart-Service pour l’agent. L’agent peut mettre jusqu’à 15 secondes à s’arrêter, et Restart-Service peut abandonner avant et laisser le service arrêté.

Les appareils Windows installés avant l’agent 1.4.0 utilisaient %ProgramData%\IronFlock\Reagent et le service reagent. L’agent 1.4.0 fait passer un tel appareil à l’organisation ci-dessus : l’agent et ses apps redémarrent une fois.

Derrière un proxy d’entreprise ? Ajoutez -proxy http://proxy.example.com:3128 à la commande service install et configurez le proxy de Docker Desktop sous Settings → Resources → Proxies. Consultez Derrière un proxy d’entreprise pour les détails et les étapes relatives à l’autorité de certification d’entreprise.

Appareil Windows joint à votre domaine ? Le service de l’agent s’exécute en tant que LocalSystem, qu’une session utilisateur soit ouverte ou non ; une règle de pare-feu liée à l’utilisateur connecté ne le couvre donc pas. Faites lier la règle au compte d’ordinateur de l’appareil — voir Pare-feu et proxys sensibles à l’identité.

Synchronisation horaire (NTP)

L’agent de l’appareil a besoin d’une horloge exacte. La négociation TLS avec la plateforme, les jetons qui autorisent le téléchargement des images et l’horodatage de chaque point de données publié par l’appareil en dépendent. Un appareil dont l’horloge est décalée de plus de 15 minutes est en outre rejeté par le stockage de fichiers avec CLOCK_SKEW.

Dans un réseau d’entreprise, c’est une étape de configuration et non un acquis : le NTP sortant sur le port UDP 123 est souvent bloqué, les serveurs de temps publics fournis avec le système sont donc injoignables et l’horloge dérive sans erreur visible. Demandez le serveur de temps interne à votre service informatique et configurez-le sur l’appareil, ou faites autoriser l’UDP 123 sortant pour le réseau des appareils.

Linux

Avec systemd-timesyncd (valeur par défaut sur Debian et Ubuntu) :


sudo mkdir -p /etc/systemd/timesyncd.conf.d
sudo tee /etc/systemd/timesyncd.conf.d/corporate.conf > /dev/null <<'EOF'
[Time]
NTP=ntp.your-company.com
EOF
sudo systemctl restart systemd-timesyncd
timedatectl status

Avec chrony :


echo "server ntp.your-company.com iburst" | sudo tee -a /etc/chrony/chrony.conf
sudo systemctl restart chrony
chronyc sources

timedatectl status doit indiquer System clock synchronized: yes.

Windows

Depuis une invite de commandes en mode administrateur :


w32tm /config /manualpeerlist:"ntp.your-company.com" /syncfromflags:manual /update
w32tm /resync
w32tm /query /status

Les appareils flashés avec une image IronFlock prête à l’emploi (méthodes 1 et 2) se synchronisent par défaut sur des serveurs de temps publics. Sur un réseau qui les bloque, autorisez l’UDP 123 sortant pour le sous-réseau des appareils, ou configurez le serveur de temps interne en SSH après le premier démarrage, exactement comme montré ci-dessus pour Linux.

Vérification de la connexion

Après la connexion, vérifiez le statut de l’appareil dans votre projet :

Indicateur vert — L’appareil est en ligne et communique avec IronFlock.
Indicateur rouge — L’appareil est hors ligne. Vérifiez la connexion réseau et assurez-vous que l’agent est en cours d’exécution.
Indicateur vert, mais les installations d’apps, les téléchargements d’images ou les mises à jour de l’agent échouent par dépassement de délai — une règle de pare-feu a peut-être cessé d’autoriser les nouvelles connexions de l’appareil. Lisez Pare-feu et proxys sensibles à l’identité avant de redémarrer quoi que ce soit.

La vue carte des appareils montre l’emplacement géographique de tous les appareils du projet.