Kontivo : notice d'utilisation

1. Ce que fait l'outil

Kontivo lit la liste des utilisateurs exportée par votre organisation (d'un logiciel RH, d'un ERP, d'un autre annuaire, d'un tableur ou d'un logiciel scolaire) et tient à jour leurs comptes dans Active Directory (l'annuaire du réseau). À chaque import :

• il crée les comptes des nouveaux utilisateurs, avec un identifiant selon le modèle que vous avez choisi (par exemple lea.martin) et un mot de passe provisoire imprimé sur une fiche ;
• il change de groupe les utilisateurs qui ont changé de groupe : groupe de l'annuaire et dossier de l'annuaire (OU) ;
• il met à jour le nom affiché d'un utilisateur qui change de nom ; son identifiant ne change pas ;
• il désactive les comptes des utilisateurs partis et les range à part, dans un dossier « Départs » ; ils sont supprimés plus tard, après un délai que vous choisissez (90 jours par défaut) ;
• il réactive le compte d'un utilisateur qui revient ;
• il crée le dossier personnel de chaque nouvel utilisateur sur le partage réseau et lui donne les droits, si vous indiquez un modèle de chemin (\\srv\utilisateurs$\{sam}).

Ce que l'outil ne fait pas :

• il ne gère que les utilisateurs de la liste importée, dans les dossiers que vous lui confiez ;
• il ne touche ni à Microsoft 365, ni à l'ENT, ni à la messagerie ;
• il ne modifie jamais un compte qu'il n'a pas créé ou repris (voir § 15), ni un compte d'administration ;
• il n'envoie rien sur Internet : le fichier des utilisateurs est lu sur l'ordinateur où tourne l'outil, et l'outil ne se connecte à aucun service extérieur. Seule exception : le bouton Mettre à jour la licence, et seulement quand vous cliquez dessus ; il télécharge la licence, rien d'autre (voir § 3.2).

L'outil s'ouvre dans sa propre fenêtre, Kontivo, comme un programme Windows ordinaire : pas de navigateur, pas de fenêtre PowerShell. Tout se passe sur votre ordinateur. Pour l'arrêter, cliquez sur Quitter, en haut à droite, ou fermez la fenêtre.

La fenêtre est en français, en anglais, en allemand, en espagnol, en portugais ou en italien, selon la langue de Windows ou celle que vous choisissez (voir § 5, « Langue de l'interface »). Cette notice existe dans les mêmes langues.

2. Avant de commencer

Il vous faut :

1. Un ordinateur Windows du domaine : de préférence un poste d'administration sous Windows 10 ou 11. Un contrôleur de domaine convient aussi, mais Windows y limite les droits (contrôle de compte d'utilisateur). RSAT n'est plus nécessaire : la V2 atteint l'annuaire en LDAP, sans le module Active Directory ni PowerShell.
2. .NET Framework 4.8, et rien d'autre : il est déjà présent sur Windows 10 (depuis la version 1903), Windows 11 et Windows Server 2019 à 2025. Sur Windows Server 2016, il s'installe une fois (Windows Update, ou le programme d'installation « .NET Framework 4.8 » de Microsoft) ; l'outil le signale au démarrage s'il manque. Aucun navigateur n'est nécessaire : Kontivo s'ouvre dans sa propre fenêtre (seule l'aide, cette notice, s'ouvre dans le programme qui lit les pages web sur le poste).
3. Un compte Windows avec les bons droits sur les dossiers des utilisateurs dans l'annuaire. Le mieux est un compte délégué, qui n'a de droits que sur ces dossiers : voir Déléguer les droits. Les droits à déléguer sont exactement ceux de la V1 : un droit de plus n'est jamais demandé.
4. La licence de l'organisation : le fichier licence.json envoyé par courriel (lié à l'identifiant et au domaine de l'organisation), une licence par domaine Active Directory, dans le cadre d'un abonnement annuel. Sans licence valable, l'outil démarre en lecture seule (aperçu possible, aucun changement) et le dit ; voir § 3.2 et § 6.
5. La liste des utilisateurs : un tableur ou un CSV de toute source, avec au moins le nom, le prénom et le groupe de chacun (voir § 7.1) ; pour un export SIECLE, ONDE, Pronote ou EcoleDirecte, voir la rubrique Formats scolaires reconnus.
6. L'accord du responsable de l'organisation, et la fiche du registre des traitements remplie avec votre délégué à la protection des données : voir Fiche registre RGPD.

SmartScreen au premier lancement

L'outil est un seul fichier, ComptesAD.exe. Au premier lancement d'un exe téléchargé, Windows peut afficher Windows a protégé votre ordinateur (SmartScreen). Cliquez sur Informations complémentaires, puis sur Exécuter quand même. Si l'exe est signé par un certificat connu de votre organisation, cet avertissement disparaît une fois la réputation acquise. Dans tous les cas, vérifiez l'empreinte SHA-256 de l'exe avant de l'exécuter (voir § 3.1) : c'est elle qui garantit que le fichier n'a pas été modifié.

Antivirus et sécurité du poste

L'exe est obfusqué (son code est brouillé pour gêner la rétro-ingénierie) : certains antivirus ou EDR peuvent le trouver « suspect » même quand il est signé. Si l'outil est bloqué, prévenez votre responsable de la sécurité des systèmes d'information (RSSI) et faites ajouter une exception sur l'empreinte SHA-256 publiée. Un exe signé mais non obfusqué peut être fourni au cas par cas pour un EDR récalcitrant (même comportement, même empreinte publiée pour cette variante).

3. Installation

L'outil ne s'installe pas : c'est un fichier que l'on copie, avec son dossier docs\. Il n'écrit dans le registre que la langue choisie dans les Réglages, pour votre compte Windows (§ 5, « Langue de l'interface »).

3.1 Vérifier l'empreinte, débloquer, puis extraire

1. Vérifiez d'abord l'empreinte de l'archive : le fichier ComptesAD-3.0.0.zip.sha256 livré avec elle contient la valeur attendue. Dans PowerShell, dans le dossier où sont les deux fichiers :

   (Get-FileHash .\ComptesAD-3.0.0.zip).Hash -eq (Get-Content .\ComptesAD-3.0.0.zip.sha256).Split(' ')[0]

   La réponse doit être True (majuscules et minuscules ne comptent pas). La page de téléchargement publie aussi l'empreinte de l'exe signé lui-même, à revérifier après extraction : (Get-FileHash .\ComptesAD\ComptesAD.exe).Hash.
2. Avant d'extraire : clic droit sur ComptesAD-3.0.0.zip, Propriétés, cochez Débloquer en bas de l'onglet Général, puis OK. Sinon, Windows marque chaque fichier extrait comme « venu d'Internet » et SmartScreen avertit au premier lancement (voir § 2).
3. Extrayez l'archive : vous obtenez un dossier ComptesAD-3.0.0 contenant ComptesAD.exe, LISEZMOI.txt (en français), README.txt (en anglais), LICENCE.txt, docs\ (les notices, un dossier par langue, voir ci-dessous) et exemples\ (des fichiers d'utilisateurs inventés, pour le mode essai, § 4). Renommez-le et placez-le directement sous C:\, sur le disque local, pour obtenir C:\ComptesAD\. Pas sur un partage ni sur un lecteur réseau : l'outil refuse alors de démarrer (« Kontivo est lancé depuis un lecteur réseau (Z:\ComptesAD). Copiez ComptesAD.exe sur le disque local du poste, par exemple dans C:\ComptesAD, puis relancez. »). Gardez docs\ à côté de l'exe : le bouton Aide (F1) de la fenêtre ouvre la notice de la langue de l'interface, par exemple docs\fr\Notice.html.

Le dossier docs\ contient un dossier par langue : fr (français), en (anglais), de (allemand), es (espagnol), pt (portugais) et it (italien). Chacun contient Notice.html (cette notice), Deleguer-les-droits.html, LISEZMOI.txt et les captures (img\). Les pages qui n'existent qu'en français, Exporter-les-eleves.html et Fiche-registre-RGPD.html, sont dans docs\fr\.

3.2 Poser et mettre à jour la licence

Posez le fichier licence.json reçu par courriel dans C:\ComptesAD\, à côté de l'exe. Vous pouvez aussi le choisir depuis la fenêtre de Kontivo, bouton Choisir un fichier de licence… de l'écran Licence (ci-dessous) : l'outil le copie alors dans le dossier de données et revérifie. Sans licence valable, l'outil démarre en lecture seule et l'écrit (bandeau bleu, « Licence absente : aperçu possible, aucun changement ne sera fait. ») ; le mode essai, lui, n'en demande pas.

L'abonnement. Une licence couvre un domaine Active Directory ; l'abonnement se renouvelle automatiquement chaque année. La licence est valable jusqu'à la fin de la période payée, plus 14 jours de grâce. Passé ce délai, l'outil passe en lecture seule : l'aperçu reste possible, mais aucun changement n'est fait dans l'annuaire. Le paiement se fait par carte, en ligne, ou sur facture (virement, pour les administrations) ; dans ce cas, une licence provisoire de 60 jours vous est envoyée en attendant le paiement.

L'écran Licence. Sur l'écran d'accueil, le lien Licence est toujours visible. L'écran qu'il ouvre affiche l'état de la licence, l'organisation, le numéro de la licence, la date de fin (« Valable jusqu'au », avec le nombre de jours restants), le domaine de cet annuaire, et le message complet de la vérification. En mode essai, il dit seulement qu'aucune licence n'est nécessaire. Deux boutons :

• Mettre à jour la licence (bouton principal) : télécharge la dernière licence de votre abonnement depuis le service de licences, https://licences.scolatools.com, par exemple après le renouvellement annuel ou un paiement sur facture. La connexion se fait en HTTPS, avec la vérification habituelle du certificat par Windows, et passe par le proxy réglé dans Windows. Elle n'envoie que le domaine Active Directory et le numéro de la licence en place : aucune donnée d'utilisateur. La licence reçue n'est installée qu'après une vérification complète (signature, domaine, dates) ; une licence refusée n'écrase jamais celle en place. Le bouton reste grisé tant qu'aucune licence n'est posée : la première se pose par fichier.
• Choisir un fichier de licence… : pour un poste sans accès à Internet, choisissez le fichier licence.json reçu par courriel ou téléchargé depuis votre espace client.

La licence installée par l'un ou l'autre bouton est copiée dans le dossier de données (C:\ProgramData\ComptesAD\licence.json, § 3.9). Un licence.json posé à côté de l'exe reste reconnu.

L'écran affiche aussi l'adresse de votre espace client, https://licences.scolatools.com/espace : vos licences, vos factures, le changement de domaine (une fois par période d'abonnement) et le portail de facturation. Elle s'ouvre dans un navigateur, depuis n'importe quel ordinateur.

3.3 Protéger le dossier de l'outil

Au premier lancement, l'outil vérifie qui peut modifier son dossier et son exe. Si un compte qui n'est pas administrateur peut y écrire (c'est le cas d'un dossier créé directement sous C:\, où « Utilisateurs authentifiés » peuvent modifier les fichiers), il refuse de démarrer : quelqu'un pourrait remplacer l'exe par du code qui s'exécuterait avec vos droits.

La fenêtre affiche alors : « Le dossier C:\ComptesAD peut être modifié par « Utilisateurs authentifiés ». Quelqu'un pourrait y glisser du code qui s'exécuterait avec vos droits. Corrigez-le dans une invite de commandes ou PowerShell ouverts en administrateur, avec la commande ci-dessous, puis relancez. », puis, seule sur sa ligne, la commande exacte à taper, avec le bon identifiant de sécurité (SID) de votre compte. Elle ressemble à ceci :

icacls "C:\ComptesAD" /inheritance:r /grant:r "*S-1-5-32-544:(OI)(CI)F" "*S-1-5-18:(OI)(CI)F" "*S-1-5-21-…:(OI)(CI)RX"

Copiez la commande affichée par l'outil, collez-la dans une invite de commandes ou une fenêtre PowerShell, ouvertes en administrateur, puis relancez l'outil. Chaque droit est entre guillemets : la commande passe telle quelle dans les deux. Elle donne le contrôle total aux administrateurs et au système, et seulement la lecture au compte qui a lancé l'outil. Le contrôle porte sur le dossier, l'exe ComptesAD.exe, son fichier de configuration ComptesAD.exe.config s'il est présent, et le dossier docs\.

Le même contrôle porte sur le dossier de données C:\ProgramData\ComptesAD quand il a été créé à la main avec des droits trop larges. La commande proposée pour ce dossier se termine par (OI)(CI)F" : votre compte doit pouvoir y écrire. Si ce dossier appartient à un compte qui n'est ni administrateur ni le vôtre, l'outil propose icacls "C:\ProgramData\ComptesAD" /setowner "*S-1-5-32-544" /T. Ce dossier doit être sur un disque local fixe : sinon, « Le dossier C:\… est sur un lecteur réseau : il contiendrait le secret de l'organisation et des données d'utilisateurs (DONNEES_SUR_PARTAGE). Indiquez un dossier du disque local fixe du poste, par exemple ComptesAD.exe -DossierDonnees "C:\ComptesAD-donnees", puis relancez. » (ou « un partage réseau », « un support amovible (clé USB, disque externe) », « un CD ou un DVD »).

3.4 Quel compte utiliser

L'outil agit dans l'annuaire avec le compte Windows qui le lance. Il ne demande jamais de mot de passe pour agir dans l'annuaire ; seul le déverrouillage de sa fenêtre après une absence demande celui du compte qui l'a lancé (§ 3.5).

• Recommandé : un compte délégué (par exemple DEMO\adm-comptes), qui n'a de droits que sur les dossiers des utilisateurs. Voir Déléguer les droits. Il n'a besoin d'aucun droit d'administrateur sur le poste.
• Un compte « Admins du domaine » fonctionne aussi, mais l'outil affiche alors le conseil « utilisez un compte délégué sur les seules OU des utilisateurs ».

Pour lancer l'outil avec le compte délégué alors que vous êtes connecté avec un autre compte :

• maintenez la touche Maj enfoncée, faites un clic droit sur ComptesAD.exe, choisissez Exécuter en tant qu'autre utilisateur, puis saisissez le compte délégué et son mot de passe ;
• ou, dans une invite de commandes :

runas /user:DEMO\adm-comptes "C:\ComptesAD\ComptesAD.exe"

Les options se mettent dans les guillemets, après le chemin de l'exe : runas ne prend qu'un seul argument de programme (par exemple runas /user:DEMO\adm-comptes "C:\ComptesAD\ComptesAD.exe -LectureSeule", voir § 6). La fenêtre de Kontivo reste ouverte et affiche le message si l'outil refuse de démarrer : vous pouvez lire la raison et copier la commande qu'il propose.

3.5 Lancer l'outil

Double-cliquez sur ComptesAD.exe (ou lancez-le avec le compte délégué, voir ci-dessus). La fenêtre de Kontivo s'ouvre directement, à la taille de 1 280 × 800 (ou à celle de l'écran s'il est plus petit) ; vous pouvez la déplacer, l'agrandir ou la réduire comme toute fenêtre. Il n'y a ni navigateur, ni lien à copier, ni seconde fenêtre à garder ouverte.

Le bandeau du haut rappelle toujours où vous êtes : « Domaine DEMO · contrôleur DC1 · compte DEMO\adm-comptes » (orange « MODE ESSAI » en essai, bleu « LECTURE SEULE » en lecture seule). À droite, Aide (F1) ouvre cette notice, dans la langue de l'interface, et Quitter arrête l'outil. Tout se fait aussi au clavier : Tab passe d'une commande à l'autre, Entrée lance l'action principale de l'écran, Espace coche une case ; les écrans se lisent avec le Narrateur de Windows.

Pour arrêter, cliquez sur Quitter, en haut à droite, ou fermez la fenêtre (croix, Alt+F4) : l'outil demande « Quitter Kontivo ? ». Pendant une application de changements, la fermeture propose d'abord de mettre l'application en pause : elle s'arrête proprement et pourra reprendre au lancement suivant (voir § 13). Si vous fermez votre session Windows ou arrêtez le poste pendant une application, Windows affiche « Kontivo applique un plan : mettez l'application en pause dans Kontivo avant de fermer la session (elle pourra reprendre). » : l'outil retient la fermeture le temps de mettre l'application en pause ; refaites ensuite la fermeture de session.

Si vous relancez ComptesAD.exe alors qu'il est déjà ouvert, aucune seconde fenêtre ne s'ouvre : la fenêtre déjà ouverte revient au premier plan.

Verrouillage après une absence. Après 30 minutes sans action au clavier ni à la souris, la fenêtre se verrouille : « Kontivo est verrouillé après 30 minutes sans action. » Les données des utilisateurs sont masquées et l'aperçu d'impression est fermé ; une application en cours continue. Cliquez sur Déverrouiller et donnez le mot de passe du compte Windows qui a lancé Kontivo, dans la boîte d'identification de Windows. Après trois mots de passe refusés, la fenêtre reste verrouillée : quittez Kontivo et relancez-le. Le délai se change au lancement : ComptesAD.exe -InactiviteMinutes 15 (de 1 à 1 440).

Options de lancement. Elles se tapent après le chemin de l'exe (dans les guillemets de runas, § 3.4), ou à la fin de la Cible d'un raccourci :

• -LectureSeule : rien n'est écrit dans l'annuaire (§ 3.6 et § 6) ;
• -Mode Essai : l'annuaire simulé (§ 4), avec -AujourdhuiSimule AAAA-MM-JJ pour simuler une autre date (en mode essai seulement) ;
• -Serveur dc1.demo.local : le contrôleur de domaine à utiliser (§ 5.4) ;
• -DossierDonnees "C:\ComptesAD-donnees" : un autre dossier de données, sur un disque local fixe (§ 3.3) ;
• -InactiviteMinutes 15 : le délai de verrouillage (ci-dessus) ;
• -Langue fr (ou en, de, es, pt, it) : la langue de l'interface pour ce lancement, avant celle des Réglages (§ 5, « Langue de l'interface »). Une autre valeur est refusée : « Langue inconnue : « … ». Langues disponibles : fr, en, de, es, pt, it. » ;
• -Aide : la liste complète des options.

Par exemple : runas /user:DEMO\adm-comptes "C:\ComptesAD\ComptesAD.exe -LectureSeule -Langue en".

La fenêtre suit le thème clair ou sombre de Windows, et le contraste élevé ; les captures de cette notice sont en thème clair, ou en thème sombre si votre lecteur de pages est réglé ainsi. Elles sont faites en mode essai (bandeau orange, voir § 4).

Au démarrage, la fenêtre de Kontivo peut aussi signaler :

• « Information : Kontivo est lancé en administrateur (jeton élevé). L'élévation n'est jamais nécessaire : préférez un double-clic sur ComptesAD.exe avec le compte délégué, sans « Exécuter en tant qu'administrateur ». » Ne lancez l'outil en administrateur que sur un contrôleur de domaine ;
• « Attention : Windows a ouvert votre session avec un profil TEMPORAIRE (C:\Users\TEMP…). Tout ce qui est rangé dans ce profil, dont les clés qui chiffrent les fiches de mots de passe et les fiches elles-mêmes, disparaîtra à la fermeture de session. Imprimez les fiches avant de fermer la session, ou faites réparer le profil avant d'appliquer un plan. » ;
• l'état de la licence (voir § 6) : valable, ou « expire bientôt », ou lecture seule imposée ; le détail est sur l'écran Licence (§ 3.2).

3.6 Mode lecture seule pour le premier passage

Pour un premier passage sur votre annuaire sans rien y changer, lancez l'outil avec l'option -LectureSeule : C:\ComptesAD\ComptesAD.exe -LectureSeule (ou, avec le compte délégué, dans les guillemets de la commande runas). L'outil calcule l'aperçu et le montre, mais n'écrit rien dans l'annuaire. Voir § 6.

3.7 Migrer depuis la V1 (PowerShell)

Aucune migration de données : la V2 lit les mêmes fichiers et le même annuaire que la V1. Pour passer de la V1 à la V2 :

1. Quittez la V1 (bouton Quitter).
2. Copiez ComptesAD.exe et le dossier docs\ dans C:\ComptesAD.
3. Supprimez les anciens fichiers de la V1 : les .ps1, .psm1, .cmd, et les dossiers modules\, simulation\, web\.
4. Posez licence.json (voir § 3.2).
5. Lancez l'exe avec le même compte qu'avant.

Le dossier C:\ProgramData\ComptesAD et ses droits sont réutilisés tels quels ; votre configuration, votre secret, vos comptes marqués, vos journaux et vos fiches sont conservés. Un plan interrompu par la V1 est reprenable par la V2 (même format, même règle des 12 heures). Une configuration existante (V1, V2) garde ses noms d'OU, ses modèles de groupes et ses descriptions : les valeurs neutres de la V3 (Utilisateurs, Utilisateurs-{classe}, « {classe} (géré par Kontivo) »…) ne concernent qu'une installation neuve. À sa première ouverture, la V3 écrit dans configuration.json la description que l'outil appliquait implicitement (celle de la V2), si bien qu'aucun compte existant ne change.

3.8 Désinstaller

Supprimez le dossier C:\ComptesAD. Les données de l'organisation (C:\ProgramData\ComptesAD) et les fiches de %LOCALAPPDATA%\ComptesAD sont à supprimer à part, après avoir exporté la configuration avec le secret si vous voulez la garder (voir § 12).

3.9 Où l'outil range ses fichiers

3.10 Préparer le partage des dossiers personnels

Pour que l'outil crée le dossier personnel de chaque utilisateur (§ 5.4), le partage qui les accueille doit exister sur le serveur de fichiers. Kontivo le prépare en une fois : un administrateur du serveur de fichiers y copie ComptesAD.exe (par exemple dans C:\ComptesAD) et tape, sur ce serveur, dans une invite de commandes ou une fenêtre PowerShell ouvertes en administrateur :

C:\ComptesAD\ComptesAD.exe -PreparerPartage -Dossier D:\Utilisateurs -Partage utilisateurs$ -GroupeDelegue DEMO\GG-ComptesAD

Sans paramètre, une petite fenêtre demande ces valeurs, avec les boutons Vérifier (rien n'est changé) et Préparer. L'outil crée le dossier s'il manque, coupe l'héritage des droits et pose ceux qu'il faut (le groupe délégué peut créer et archiver les dossiers des utilisateurs ; chaque utilisateur atteint son dossier sans voir ceux des autres), crée le partage avec l'énumération basée sur l'accès, puis affiche le modèle de chemin à coller dans les réglages, par exemple \\srv-fichiers.demo.local\utilisateurs$\{sam}. Il dit, ligne par ligne, ce qu'il a fait ([FAIT]) et ce qui était déjà en place ([OK]) : vous pouvez le relancer sans risque. Ajoutez -LectureSeule pour seulement vérifier, -Langue en (ou une autre langue) pour les messages, et -GroupeEleves DEMO\Utilisateurs-Tous si les utilisateurs ont leur propre groupe (sinon : « Utilisateurs authentifiés »). Rien n'est écrit dans l'annuaire et aucune licence n'est demandée pour cette étape. Le détail des droits posés est dans Déléguer les droits, § 6.

4. Premier lancement en mode essai

Avant de toucher à votre annuaire, essayez l'outil sur un annuaire simulé : l'« Organisation de démonstration », avec des fichiers d'exemple fictifs (jusqu'à environ 400 utilisateurs inventés). Rien n'est modifié dans votre vrai annuaire, et aucun contrôleur de domaine n'est contacté.

1. Lancez ComptesAD.exe en mode essai : dans une invite de commandes, C:\ComptesAD\ComptesAD.exe -Mode Essai ; ou créez un raccourci vers ComptesAD.exe (clic droit, Créer un raccourci), puis, dans ses Propriétés, ajoutez -Mode Essai à la fin de la Cible, après le guillemet fermant. Sur un poste qui n'atteint aucun domaine, la fenêtre de Kontivo propose aussi l'essai d'elle-même. Le bandeau du haut est orange : « MODE ESSAI : annuaire simulé, rien n'est modifié dans votre vrai annuaire ».
2. Cliquez sur Commencer les réglages (2 minutes) et suivez les quatre étapes (voir § 5). Dans l'arbre de l'annuaire simulé, les dossiers Utilisateurs, Departs et Groupes existent déjà, sous Organisation (ce sont les noms de l'annuaire d'essai : les vôtres peuvent être tout autres).
3. Importez d'abord le fichier fictif exemples\rh-fictif.csv, livré avec l'outil dans C:\ComptesAD\exemples\ : un export de type RH de 49 personnes inventées, avec les colonnes Matricule, Nom, Prénom et Service. Le service devient le groupe de chaque utilisateur, et le matricule son identifiant externe.
4. Le même dossier contient aussi des exemples de formats scolaires : exports SIECLE, ONDE et Pronote, et tableurs (.xlsx, .xls, .ods, avec ou sans identifiant, ou une feuille par groupe). Ils sont listés dans la rubrique Formats scolaires reconnus. Tous les noms sont inventés.
5. Appliquez les changements, imprimez quelques fiches, regardez le journal.
6. Pour simuler une mise à jour périodique, partez de l'import de exemples\rh-fictif.csv (au besoin, Remettre l'annuaire d'essai à zéro, puis refaites les réglages et cet import). Quittez Kontivo, puis relancez-le à une date simulée plus tardive, par exemple quelques mois après : C:\ComptesAD\ComptesAD.exe -Mode Essai -AujourdhuiSimule 2027-07-06 (date au format AAAA-MM-JJ ; l'option n'existe qu'en mode essai). Importez alors exemples\rh-fictif-2.csv : la même organisation fictive plus tard, 41 personnes, avec les mêmes colonnes Matricule, Nom, Prénom et Service. 13 personnes sont parties, 3 ont changé de service et 5 sont arrivées : l'aperçu propose 13 départs, 3 changements de groupe et 5 nouveaux comptes (voir § 8). Les départs dépassent 25 % des comptes : l'outil fait taper DÉSACTIVER 13 avant d'appliquer, c'est voulu. Les captures de cette notice sont faites ainsi. Après un autre fichier d'exemple, cette simulation n'a pas de sens (autres utilisateurs, autre organisation).

En mode essai, les réglages, les journaux, les fiches de compte et l'annuaire simulé sont rangés dans %LOCALAPPDATA%\ComptesAD\essai\, dans le profil de votre compte Windows, et les dossiers personnels sont simulés dans son sous-dossier dossiers\. Rien de l'essai ne se mélange donc aux fiches du mode réel, et rien n'est écrit dans le dossier de l'outil : ComptesAD.exe -Mode Essai suffit, avec n'importe quel compte, sans « Exécuter en tant qu'administrateur » et sans licence. Pour ranger l'essai ailleurs : ComptesAD.exe -Mode Essai -DossierDonnees "C:\ComptesAD-essai" (toujours un disque local fixe : c'est l'exemple que donne l'outil s'il refuse un lecteur réseau ou une clé USB). Le lien Remettre l'annuaire d'essai à zéro efface tout cela et repart de l'exemple. Les réglages faits en essai ne servent pas pour le vrai annuaire : vous les referez en mode réel.

5. Les réglages

Au premier lancement, les réglages se font en quatre étapes (environ deux minutes). Ensuite, ils se présentent sur une seule page à onglets (Réglages depuis l'accueil). Ils sont gardés d'un import à l'autre et ne contiennent aucune donnée d'utilisateur. L'écran le dit en tête : « Premier lancement : quatre étapes, environ deux minutes. Rien n'est écrit dans l'annuaire avant votre premier import, sauf si vous cliquez sur « Créer ce dossier ici ». »

Langue de l'interface

En tête de l'écran Réglages, la liste Langue de l'interface propose « Langue de Windows (…) », Français, English, Deutsch, Español, Português et Italiano. L'écran le rappelle : « Enregistrée pour votre compte Windows sur ce poste, pas dans la configuration partagée. Elle s'applique au prochain lancement de Kontivo. » Le choix est rangé dans le registre (HKCU\Software\ComptesAD, valeur Langue), et non dans configuration.json : il ne suit pas l'export des réglages, et chaque compte Windows garde le sien. Après un changement, l'écran affiche « La langue choisie s'appliquera au prochain lancement de Kontivo. »

Au démarrage, l'outil prend, dans l'ordre : l'option -Langue fr|en|de|es|pt|it (§ 3.5), puis la langue choisie dans les Réglages, puis la langue de l'interface de Windows. Si cette langue n'est pas livrée, il prend l'anglais.

• Les dates et les nombres suivent la langue.
• Les phrases de confirmation à taper sont dans la langue de l'interface : DÉSACTIVER 20 ET DÉPLACER 48 en français, DISABLE 20 AND MOVE 48 en anglais… ; comme toujours, majuscules et accents ne comptent pas (§ 7.4).
• Les données écrites dans l'annuaire ne dépendent pas de la langue : descriptions des comptes, noms des OU, marques de l'outil (§ 15). Changer de langue ne modifie aucun compte.
• Les journaux CSV gardent les mêmes en-têtes de colonnes ; leurs messages sont dans la langue de l'interface (§ 11).
• L'aide (Aide (F1)) ouvre la notice de la langue de l'interface, dans docs\<langue>\ (§ 3.1).

5.1 Où sont les utilisateurs ?

Indiquez le nom de l'organisation (il figure sur les fiches) et, si vous l'avez, son identifiant (facultatif) : il sert à refuser un fichier qui vient d'une autre organisation (voir la rubrique Formats scolaires reconnus).

Les comptes sont rangés dans des dossiers de l'annuaire, appelés OU (unités d'organisation). L'outil en utilise trois, distincts :

• Dossier des utilisateurs : les comptes des utilisateurs présents, avec, selon votre choix, un sous-dossier par groupe (recommandé), un sous-dossier par niveau, ou tous les utilisateurs au même endroit ;
• Dossier des comptes partis : la « quarantaine » des utilisateurs partis. Il doit être en dehors du dossier des utilisateurs (l'outil le refuse dès le choix du dossier) ;
• Dossier des groupes de l'annuaire : les groupes créés par l'outil. Réservez-lui un dossier (le nom proposé est Groupes, modifiable) : pas celui où sont rangés vos autres groupes.

Au premier lancement, l'outil remplit d'office les trois dossiers avec des OU de votre annuaire dont le nom ressemble aux noms proposés (Utilisateurs, Departs, Groupes…, ou les noms de la V2), et l'écrit sous chaque champ : « Proposé d'après les noms trouvés dans l'annuaire : vérifiez. » Ce ne sont peut-être pas les bonnes. Regardez le chemin complet affiché sous chaque champ (« Organisation › Utilisateurs » dans l'annuaire d'essai) et changez-le si besoin.

Pour choisir un dossier : dans l'arbre de l'annuaire à gauche, cliquez sur le nom d'un dossier : il est sélectionné et déplié (la flèche ▸ devant le nom plie ou déplie seulement), puis cliquez sur Utiliser le dossier sélectionné. S'il n'existe pas encore, sélectionnez dans l'arbre le dossier parent, tapez le nom et cliquez sur Créer ce dossier ici : l'OU est créée tout de suite, protégée contre la suppression accidentelle.

La case Créer automatiquement les sous-dossiers (OU) de groupe manquants est cochée par défaut : l'outil crée à l'import l'OU d'un nouveau groupe. Si vous la décochez, l'aperçu vous demande, pour chaque OU de groupe qui manque, s'il faut la créer. Les groupes de l'annuaire, eux, sont toujours créés quand ils manquent.

En bas de l'étape, la vérification dit, pour chaque dossier, désigné par son chemin complet (« ✓ Votre compte peut créer des comptes dans « Organisation › Utilisateurs » »), si votre compte peut y créer des comptes ou des groupes, et combien de comptes il contient déjà. Un compte d'administration rangé par erreur dans le dossier des utilisateurs est signalé : il ne sera jamais modifié.

5.2 Identifiants et noms

L'identifiant est le nom de connexion de l'utilisateur. Choisissez un modèle ; l'exemple à côté de chaque choix est calculé en direct, et le tableau de droite montre le résultat sur douze utilisateurs fictifs aux noms difficiles (accents, particules, noms composés, homonymes).

Modèle libre : choisissez « Modèle libre… » et tapez votre modèle avec ces jetons :

• {prenom} et {nom} : le prénom et le nom, sans accents ni espaces ;
• {prenom:3}, {nom:5} : les 3 (ou 5…) premières lettres ;
• {p} et {n} : l'initiale du prénom et l'initiale du nom ;
• {aa} ou {annee} : l'année de la période de création du compte (26 ou 2026 pour la période 2026-2027), qui ne change plus ensuite. En juin et en juillet, c'est déjà l'année de la période à venir ;
• entre les jetons : lettres de a à z, chiffres, point, tiret et tiret bas.

Le modèle doit contenir le nom ({nom}, {nom:N} ou {n}) et commencer par une lettre ou par un jeton de nom ou de prénom. {classe} et {niveau} sont refusés : l'identifiant changerait à chaque changement de groupe. Un modèle très court est accepté avec un avertissement : « Beaucoup d'homonymes : suffixes fréquents. »

Les autres choix :

• Prénoms composés (Jean-Pierre) : jean-pierre (par défaut), jeanpierre ou jean. Même chose pour les noms composés (par défaut : dupontmartin).
• Homonymes : « Ajouter un chiffre : lea.martin2 » (par défaut), ou, pour les modèles à initiale, « Plus de lettres du prénom, puis un chiffre : lo.brizard puis lou.brizard ».
• Longueur maximale : entre 8 et 20 caractères (20 par défaut). Un identifiant plus long est raccourci.
• Si le nom d'un utilisateur change : « Garder son identifiant (recommandé) » ou « Proposer un nouvel identifiant (option décochée dans l'aperçu ; le groupe et le nom sont mis à jour quand même) ». Avec le second choix, la ligne de l'utilisateur reste cochée dans l'aperçu, avec la pastille « nouvel identifiant proposé » et une case Appliquer aussi le nouvel identifiant proposé, décochée : cochez-la pour renommer l'identifiant. Changer d'identifiant fait perdre l'accès au dossier personnel et au profil, et oblige à redistribuer une fiche.
• Suffixe des identifiants de connexion : la partie après @ du nom de connexion complet (UPN), par exemple lea.martin@demo.local.
• Nom affiché : nom d'usage (recommandé) ou nom de famille.
• Groupes de l'annuaire : le modèle du nom des groupes (par défaut Utilisateurs-{classe} : le groupe Ventes donne le groupe de l'annuaire Utilisateurs-Ventes), le groupe de tous les utilisateurs (par défaut Utilisateurs-Tous), et, si vous le voulez, un groupe par niveau (par défaut Utilisateurs-niveau-{niveau}). Le niveau est déduit du nom du groupe quand celui-ci suit une forme reconnue (exemples dans la rubrique Formats scolaires reconnus) : sous chaque groupe d'exemple, l'écran écrit « niveau 6e », ou « niveau inconnu : pas de groupe de niveau ». Un nom de groupe trop long ou déjà pris reçoit un « nom court » différent : il est affiché sous l'exemple, « nom court (nom pré-Windows 2000, 20 caractères au plus) : Utilisateurs-1ere-ST », avec la note « nom court raccourci à 20 caractères (nom pré-Windows 2000) » s'il a été raccourci. Ces valeurs par défaut, comme les noms de dossiers proposés au § 5.1 et la description des comptes (§ 15), sont celles d'une installation neuve : elles sont proposées dans la langue de l'interface lors des premiers réglages et écrites dans configuration.json. Une configuration existante (V1, V2) garde les siennes (voir § 3.7).

5.3 Mots de passe

Les mots de passe provisoires sont produits sur le poste et imprimés sur des fiches, groupe par groupe. Ils n'apparaissent que sur les fiches, à l'impression (§ 10), et ne sont écrits dans aucun journal.

• Automatique (recommandé) : court si votre domaine verrouille les comptes après quelques erreurs (entre 1 et 10), renforcé sinon ;
• Court : BoduKife47 (≈ 29 bits, provisoire) ;
• Renforcé : BoduKifeTuvoNesi47 (≈ 52 bits).

Les « bits » mesurent la solidité du mot de passe (le nombre de combinaisons possibles). L'écran le dit à côté du format : « Court : BoduKife47 (≈ 29 bits, provisoire ; solidité du mot de passe : plus c'est grand, mieux c'est) », et dans la lecture de la politique : « … ✓ compatible (mots de passe de 10 caractères, ≈ 29 bits : solidité du mot de passe, plus c'est grand, mieux c'est). »

Ces mots de passe évitent les lettres qui changent de place entre clavier AZERTY et QWERTY (a, q, z, w, m, y), les caractères faciles à confondre (l, 0, 1) et le tiret. La fiche dit à l'utilisateur de taper les chiffres avec le pavé numérique. La longueur est allongée si la politique de mots de passe de votre domaine l'exige : l'écran affiche la politique lue et ce qu'elle donne (« Votre domaine exige 8 caractères minimum, complexité activée, verrouillage après 5 erreurs : ✓ compatible… »).

Mots de passe tirés de la date de naissance

Le choix Origine des mots de passe provisoires propose Tirés au hasard (recommandé), comme ci-dessus, ou Tirés de la date de naissance, selon un modèle, plus faciles à retenir. Le modèle proposé, {P}{n}{jj}{mm}{aaaa}, donne pour un utilisateur fictif, Lou BRIZARD, né le 07/03/2013 : Lb07032013.

• Jetons : {P} ou {p}, initiale du prénom en majuscule ou en minuscule ; {N} ou {n}, initiale du nom ; {jj}, {mm}, {aaaa} ou {aa} : jour, mois et année de naissance. Les initiales perdent leurs accents, comme dans les identifiants (Élodie donne E). Le reste du modèle est recopié tel quel : lettres sans accent, chiffres et signes du clavier, sauf l'espace et " \ < > &. Un jeton mal écrit ({JJ}) est refusé, et le modèle doit contenir au moins un élément de la date.
• Contrôle : l'écran montre l'exemple et vérifie le modèle contre la politique de votre domaine (longueur minimale, complexité, politiques fines, marge de 2 caractères si une politique fine est illisible) ; l'outil refait ce contrôle à l'enregistrement et à chaque aperçu. Un modèle trop court ou pas assez varié est refusé, avec la raison (« Le modèle donne des mots de passe de 6 caractères : votre domaine en exige au moins 8… »).
• Utilisateurs sans date de naissance dans le fichier (ou dont le mot de passe contiendrait l'identifiant ou une partie du nom) : leur mot de passe est tiré au hasard, au format choisi plus haut. L'aperçu le dit sur leur ligne et les compte dans ses avertissements ; leur fiche porte ce mot de passe.
• Données personnelles : la date de naissance n'est jamais écrite sur le disque. Le mot de passe est calculé au moment de l'aperçu, puis rangé, chiffré pour votre compte Windows, dans le plan de l'application : une application interrompue reprend avec les mêmes mots de passe.

• Obliger l'utilisateur à changer son mot de passe à sa première connexion : cochée par défaut. La décocher n'est utile que si la première connexion se fait hors d'un poste du domaine (Wi-Fi 802.1X, tablette, Microsoft 365).
• Nouveau mot de passe pour un utilisateur qui revient : cochée par défaut. Exception : un utilisateur parti depuis 7 jours au plus (départ par erreur, liste partielle) garde son mot de passe, sans nouvelle fiche.

5.4 Départs et dossiers personnels

Départs. Un utilisateur absent du fichier est désactivé et rangé dans le dossier des comptes partis. Son compte est supprimé définitivement quand il est parti depuis au moins le délai choisi : 90 jours par défaut, 7 jours au moins. Le champ s'appelle « Supprimer définitivement les comptes partis après (jours, à fixer avec votre délégué à la protection des données, le DPD) » : fixez ce délai avec votre DPD.

L'encart Avancé : seuils de sécurité et conservation règle les garde-fous (voir § 7.3) : seuils d'alerte, de confirmation et de refus des départs, part maximale de lignes incomplètes, et deux seuils de confirmation en masse, changements de groupe (30 % des comptes retrouvés par défaut) et renommages (20 %) ; il règle aussi la durée de conservation des fiches (7 jours) et des journaux (12 mois), ce que deviennent les utilisateurs sans groupe, et l'option « Retirer la protection contre la suppression accidentelle des comptes à déplacer ou à supprimer » (elle exige un droit en plus, voir Déléguer les droits). Les valeurs par défaut conviennent dans la plupart des organisations.

Contrôleur de domaine. L'outil choisit lui-même un contrôleur inscriptible. Pour en imposer un, lancez ComptesAD.exe -Serveur dc1.demo.local, ou renseignez annuaire.serveur dans le fichier de configuration : le nom complet d'un contrôleur, ou le nom du domaine (l'outil découvre alors un contrôleur et le garde). Tout autre nom est refusé : « « … » n'est pas un contrôleur de domaine de demo.local : indiquez le nom complet d'un contrôleur… ».

Dossier personnel. Si vous indiquez un modèle de chemin, par exemple \\srv\utilisateurs$\{sam} ({sam} est remplacé par l'identifiant de l'utilisateur) :

• l'outil remplit le chemin du dossier personnel et la lettre du lecteur (H: par défaut) de chaque nouveau compte, et des comptes existants qui n'en ont pas encore ;
• la case Créer le dossier sur le partage et donner les droits à l'utilisateur apparaît, cochée d'office : l'outil crée le dossier de chaque nouvel utilisateur sur le partage et donne à l'utilisateur le droit choisi (« Modification », recommandé, ou « Contrôle total »). Si un dossier de ce nom existe déjà, il n'est jamais donné à l'utilisateur en silence : s'il porte déjà les droits de cet utilisateur, rien n'est fait (« Déjà fait ») ; s'il est vide et sans droit explicite (coupure entre deux étapes), les droits sont refaits ; sinon, il est archivé dans _archives\<identifiant>_<date> (rien n'est effacé), puis un dossier neuf est créé. Si l'archivage est impossible (fichier ouvert, droits), le journal le dit et le dossier n'est pas attribué. Décochez la case seulement si une stratégie de groupe (redirection de dossiers) crée déjà les dossiers ;
• à la suppression définitive d'un compte, son dossier personnel est, au choix, archivé (recommandé) : renommé dans le sous-dossier _archives du même partage, avec la date (par exemple \\srv\utilisateurs$\_archives\lea.martin_2027-10-05), rien n'est effacé ; ou laissé en place.

Le dossier d'un utilisateur parti n'est pas touché pendant la quarantaine : s'il revient, il retrouve ses fichiers. Un chemin posé à la main sur un compte, différent du modèle, n'est jamais archivé. Les archives ne sont pas effacées par l'outil : prévoyez de les supprimer vous-même, au terme de la durée fixée avec votre délégué à la protection des données. Le modèle de profil itinérant et le script de connexion sont facultatifs : l'outil remplit seulement ces attributs, il ne crée pas le dossier du profil.

Pour créer les dossiers, le compte qui lance l'outil doit avoir le droit de modification sur la racine du partage : voir Déléguer les droits.

Comptes à ne jamais toucher : une liste d'identifiants (un par ligne), par exemple un compte de démonstration rangé avec les utilisateurs. Ces comptes ne sont jamais modifiés.

5.5 Enregistrer, puis exporter

Cliquez sur Enregistrer les réglages. La première fois, l'outil crée le secret de l'organisation (une clé qui lui permet de reconnaître les utilisateurs d'un import à l'autre) et vous propose aussitôt d'exporter les réglages :

Cliquez sur Exporter et rangez le fichier avec vos sauvegardes, comme un mot de passe. Sans lui, sur un autre poste, l'outil ne reconnaîtra plus les utilisateurs par leur empreinte.

6. Premier passage sur votre annuaire : lecture seule

Avant le premier vrai import, lancez l'outil en lecture seule. Il lit votre vrai annuaire, calcule le vrai aperçu et vérifie les droits de votre compte, mais aucune écriture n'est possible : à l'aperçu, le bouton « Continuer » reste inactif (motif « Mode lecture seule : aucun changement ne peut être fait dans l'annuaire. »), et la création de dossiers est désactivée.

Dans une invite de commandes :

C:\ComptesAD\ComptesAD.exe -LectureSeule

Avec le compte délégué (cmd /k garde la fenêtre ouverte si l'outil refuse de démarrer) :

runas /user:DEMO\adm-comptes "C:\ComptesAD\ComptesAD.exe -LectureSeule"

Le bandeau du haut est bleu : « LECTURE SEULE : aucun changement ne sera fait dans l'annuaire ». Faites les réglages, importez votre liste, et lisez l'aperçu en entier : nombre de comptes créés, comptes repris, questions posées, garde-fous. Les réglages enregistrés en lecture seule restent valables ensuite.

Pour une première mise en service, faites ensuite le premier vrai import sur une OU de test, avec quelques comptes fictifs, avant de l'appliquer à vos vrais utilisateurs.

7. Un import pas à pas

Depuis l'accueil, cliquez sur Importer la liste des utilisateurs. L'import se fait en six étapes, numérotées en haut de l'écran : Fichier, Colonnes, Aperçu, Confirmation, Application, Terminé.

7.1 Fichier

Sur l'écran Fichier des utilisateurs, déposez la liste dans la zone « Déposez ici la liste des utilisateurs, ou choisissez-la », ou cliquez dedans pour la choisir.

Tableur ou CSV (toute source)

C'est le cas général : un tableur ou un CSV, de toute source (logiciel RH, ERP, autre annuaire…), avec une ligne par utilisateur et au moins le nom, le prénom et le groupe (service, équipe, unité…). Formats acceptés : CSV, TXT et TSV, Excel (.xlsx, .xls) et LibreOffice (.ods). Un matricule ou un numéro interne, s'il existe, devient l'identifiant externe de l'utilisateur : il rend la reconnaissance plus sûre d'un import à l'autre. Une date de naissance, facultative, joue le même rôle. Exemple fictif livré avec l'outil : exemples\rh-fictif.csv (colonnes Matricule, Nom, Prénom, Service), et exemples\rh-fictif-2.csv pour une mise à jour (§ 4).

L'aide repliable Comment obtenir ce fichier ? rappelle ce qu'il faut ; les exports scolaires sont décrits dans la rubrique suivante.

Si l'outil a été lancé avec un autre compte que celui de votre session (§ 3.3), le fichier doit être dans un dossier que ce compte peut lire. Un fichier CSV en ISO-8859-15 (accents de certains exports) est reconnu comme les autres.

Formats scolaires reconnus

Cette rubrique regroupe ce qui est propre aux exports des logiciels de l'Éducation nationale et de vie scolaire. L'écran Fichier les cite sous le même titre : « Formats scolaires reconnus : SIECLE (Élèves sans adresse, .zip ou .xml), ONDE, Pronote, EcoleDirecte ». Pour ces fichiers, le « groupe » est la classe (la division), l'« organisation » est l'établissement, et l'identifiant de l'organisation est son UAI. Le pas à pas de chaque export est dans Exporter les élèves.

• SIECLE « Élèves sans adresse » : le .zip tel quel, ou le .xml. Dans SIECLE : Base élèves établissement → Mise à jour → Exportations → En XML → Élèves sans adresse. Vous pouvez déposer le fichier .zip tel quel. Une extraction SIECLE en CSV est lue aussi.
• ONDE, Pronote, EcoleDirecte : leurs exports CSV ou TXT sont reconnus comme des tableurs (« ONDE, Pronote ou un tableur conviennent aussi : la notice détaille chaque export (« Exporter les élèves (pas à pas) »). »).
• Identifiant externe : SIECLE et ONDE donnent l'INE (identifiant national de l'élève), et SIECLE le numéro SIECLE (colonne « Numéro SIECLE (identifiant élève) ») ; l'outil s'en sert comme identifiant externe, sans jamais les écrire dans l'annuaire (§ 15).
• Résumé d'un export SIECLE : à l'étape Colonnes, l'outil reconnaît le fichier (« Fichier SIECLE reconnu ») et le résume en une phrase (« Fichier SIECLE du 18/10/2026, organisation 0999999X, année 2026-2027 : 416 utilisateurs, 16 groupes. »), suivie du bouton Voir les changements.
• Colonne du niveau : la colonne MEF (« 6EME », « 2NDE GT »…) n'est jamais prise pour la classe, et l'outil la refuse si vous la choisissez : « La colonne « … » donne le niveau (6EME, 2NDE GT…), pas la classe : choisissez la colonne de la classe (Division). »
• Niveaux : le niveau est déduit du nom de la classe (601 → 6e, 1ERE G2 → 1re, TERM → Tle, 2NDE → 2de ; CP, CM2… gardés), pour les groupes de niveau (§ 5.2).
• UAI : dans les réglages (étape 1), l'identifiant de l'organisation, s'il est donné, suit le format UAI de l'Éducation nationale : 7 chiffres et une lettre majuscule (exemple : 0999999X). Un export SIECLE d'un autre établissement (autre UAI) est refusé : « Ce fichier vient d'une autre organisation (identifiant …). »
• Mauvais export SIECLE : « Ce fichier STS-Web décrit les personnels : la version 1 importe les élèves. » Dans SIECLE, choisissez l'export « Élèves sans adresse » (un .zip qui contient un .xml).
• Date de sortie : un élève dont la date de sortie SIECLE est future reste dans la carte « Sortie prévue » ; son compte partira lors d'un import après cette date.
• Année du fichier : un export SIECLE de l'année suivante, importé en juin ou en juillet, est signalé (« Fichier de préparation de la rentrée 2027-2028. »). À partir d'août, c'est simplement l'année en cours. Un export d'une autre année demande votre confirmation : « Ce fichier concerne l'année 2027-2028 : vérifiez que c'est bien l'export voulu (année choisie dans SIECLE). »
• Export ancien : un export SIECLE de plus de 30 jours est signalé (« Export du … : pensez à refaire l'export. »).
• La rentrée : dans un collège, le départ des 3e (ou des terminales dans un lycée) approche ou dépasse 25 % des comptes, et presque tous les élèves changent de classe : la phrase à taper est alors le plus souvent DÉSACTIVER n ET DÉPLACER m (voir § 8). Un export de juillet ou de début septembre contient souvent des élèves pas encore répartis dans une division : ils sont traités comme des utilisateurs sans groupe.
• Exemples de formats scolaires livrés dans C:\ComptesAD\exemples\ : ElevesSansAdresses-fictif.zip, extraction-siecle-fictif.csv, onde2-fictif.csv, pronote-EXP_ELEVE-fictif.txt, tableur-fictif.xlsx, tableur-sans-identifiant-fictif.xlsx, une-feuille-par-classe-fictif.xlsx, et rentree-fictif.zip (le même collège fictif un an plus tard). Pour simuler une rentrée en mode essai, comme au § 4 avec l'exemple RH : importez ElevesSansAdresses-fictif.zip, quittez, relancez avec -AujourdhuiSimule 2027-07-06 (l'export fictif date du 04/07/2027), puis importez rentree-fictif.zip. Il contient des élèves sans classe et le départ de tout un niveau : l'outil demande une phrase comme DÉSACTIVER 102 ET DÉPLACER 294. C'est voulu.

7.2 Colonnes

L'outil reconnaît seul les colonnes (nom, prénom, groupe, date de naissance, identifiant externe…). Ce qu'il affiche dépend du fichier :

• Export SIECLE (XML) : une phrase résume le fichier, puis le bouton Voir les changements (voir Formats scolaires reconnus).
• Colonnes reconnues avec certitude, ou déjà retenues lors d'un import précédent : « Tout est juste ? », les cinq premières lignes telles que l'outil les comprend, et le bouton Oui, voir les changements (le lien « Corriger les colonnes » reste disponible).
• Sinon : « Vérifiez que l'outil a bien compris votre fichier ». Pour chaque information, choisissez dans la liste la colonne du fichier qui la contient ; le tableau montre aussitôt le résultat. Les colonnes inutiles (sexe, adresse…) sont ignorées. Une colonne de niveau n'est jamais prise pour le groupe.

Autres choix de cet écran :

• Feuille : si le classeur a plusieurs feuilles. Les colonnes sont reconnues par leur titre dans chaque feuille (l'ordre peut différer). Une feuille qui n'a pas les colonnes de la première est laissée de côté, et l'outil le dit : « La feuille … n'a pas les colonnes de la feuille … : elle n'est pas lue, et ses utilisateurs n'auront pas de compte. » Si chaque feuille porte le nom d'un groupe (6A, 6B…), la case « Une feuille par groupe » est proposée, déjà cochée.
• Ma première ligne contient déjà des utilisateurs : si le fichier n'a pas de ligne de titres.
• Retenir ces colonnes pour les prochains fichiers : le prochain fichier qui a les mêmes titres de colonnes passera directement à « Tout est juste ? ».
• Que contient ce fichier ? C'est le choix le plus important :
  • « Le fichier contient tous les utilisateurs de l'organisation » (par défaut) : les comptes des utilisateurs absents du fichier partiront ;
  • « Seulement les groupes présents dans le fichier » : seuls les utilisateurs de ces groupes peuvent partir. Un utilisateur absent de la liste de son groupe a peut-être seulement changé de groupe : ces départs sont donc décochés dans l'aperçu (pastille « import partiel »), et si vous en cochez, il faudra taper la phrase de confirmation ;
  • « Seulement les niveaux présents dans le fichier » : même chose par niveau ;
  • « Arrivées et changements seulement (aucun départ) » : le choix à faire pour un fichier qui ne contient que des nouveaux utilisateurs.

7.3 Aperçu des changements

L'outil lit l'annuaire (jusqu'à une demi-minute), compare avec le fichier, et montre tous les changements prévus. Rien n'est encore modifié dans l'annuaire.

Les cartes du haut comptent les lignes de chaque sorte ; cliquez sur une carte pour voir ses lignes :

Les questions (carte « À vérifier ») : plusieurs comptes peuvent correspondre à un utilisateur, un utilisateur figure dans deux groupes, un compte existant porte une valeur posée par un autre outil, un identifiant ne peut pas être calculé (nom dans un autre alphabet)… Choisissez la bonne réponse. Une question sans réponse ne bloque pas : rien n'est fait pour cet utilisateur, et son compte ne part pas.

• « Même utilisateur ? » : quand un nouvel utilisateur du fichier ressemble à un compte qui va partir ou qui est parti (même nom mais autre date de naissance, nom corrigé avec le même prénom et la même date, même nom dans un autre groupe), l'outil ne décide jamais seul : sans réponse, un nouveau compte est créé et l'autre suit son cours. Répondez « oui » pour relier les deux : l'utilisateur garde son compte. Deux identifiants externes différents, ou deux jumeaux (prénoms différents), ne sont jamais réunis.
• Plusieurs comptes possibles : l'outil ne choisit jamais un compte d'après le groupe seul. Sans réponse, rien n'est fait pour l'utilisateur.
• « Numéro d'employé déjà posé par un autre outil » (attribut employeeNumber) : la première réponse proposée est « Non : ne pas reprendre ce compte (la valeur est gardée) », et rien n'est remplacé sans réponse. Si un autre outil s'en sert (logiciel RH, School Data Sync, valeur commençant par « SDS: », ENT…), répondez « Non » et voyez avec la personne qui gère cet outil. « Oui, remplacer cette valeur » efface définitivement la valeur : cet outil ne reconnaîtra plus le compte.

Ce que vous pouvez changer :

• décocher une ligne : elle ne sera pas appliquée ;
• modifier l'identifiant proposé d'un nouveau compte : il est vérifié dès que vous quittez le champ (un identifiant déjà pris est refusé) ;
• cocher Appliquer aussi le nouvel identifiant proposé sur la ligne d'un utilisateur qui change de nom, si vous avez choisi « Proposer un nouvel identifiant » dans les réglages (§ 5.2) ;
• changer « Ce que contient le fichier » ;
• Exporter cet aperçu (CSV) pour le relire dans un tableur (il contient des noms d'utilisateurs : supprimez-le après usage) ;
• Relire l'annuaire, si quelqu'un a modifié l'annuaire entre-temps.

Les garde-fous. En haut de l'aperçu, des messages vous alertent. Certains exigent une confirmation, d'autres bloquent l'application :

• plus de 10 % des comptes (ou plus de 50 comptes) vont partir : alerte ;
• plus de 25 % : il faudra taper une phrase de confirmation, par exemple DÉSACTIVER 102. Une mise à jour périodique (fin d'année, de contrat ou de saison) peut déclencher ce message : vérifiez que ces départs sont attendus ;
• plus de 60 % : refus. C'est presque sûrement un fichier incomplet ou d'une autre organisation ;
• en import partiel (« Seulement les groupes présents »), des départs cochés : phrase de confirmation ;
• plus de 30 % des comptes retrouvés changent de groupe, ou plus de 20 % changent de nom (à partir de 10 comptes retrouvés) : phrase de confirmation DÉPLACER n ou RENOMMER n. Les phrases se combinent : DÉSACTIVER 102 ET DÉPLACER 294, ce qui est normal lors d'une réorganisation (presque tout le monde change de groupe). Sinon, vérifiez la colonne choisie pour le groupe (une colonne de niveau, d'option ou de sous-groupe n'est pas le groupe), et que Nom et Prénom ne sont pas inversés ;
• le fichier contient moins de la moitié des utilisateurs gérés, ou tous les utilisateurs sont dans le même groupe : refus, sauf si vous choisissez « Seulement les groupes présents » ;
• trop de lignes sans nom ou sans prénom : refus (la colonne choisie est-elle la bonne ?) ;
• fichier d'une autre organisation (autre identifiant) : refus ;
• un groupe à reprendre ou à remplir est membre d'un groupe d'administration (ou porte adminCount = 1) : refus, car y ajouter les utilisateurs leur donnerait des droits d'administration. Retirez-le de ce groupe, puis refaites l'aperçu ;
• un groupe du même nom existe hors du dossier des groupes : alerte orange (voir l'encadré du § 5.2).

Les seuils des départs, des lignes incomplètes, des changements de groupe et des renommages se règlent dans Réglages, encart « Avancé ». Le bouton Continuer reste inactif tant qu'un blocage demeure ; le motif est écrit à côté. Si l'aperçu ne prévoit rien, l'outil affiche « Tout est déjà à jour. »

7.4 Confirmation

L'écran résume en phrases ce qui va être fait : « 100 comptes seront créés… », « 102 comptes seront désactivés et rangés dans « Départs » (restaurables, suppression dans 90 jours) »… Il rappelle le contrôleur de domaine utilisé et les alertes. Si une phrase est demandée, tapez-la (majuscules et accents ne comptent pas) ; elle peut combiner plusieurs confirmations : DÉSACTIVER 102 ET DÉPLACER 294 ET RENOMMER 12. Les mots de la phrase sont ceux de la langue de l'interface (§ 5, « Langue de l'interface »). La case « J'ai lu les avertissements » n'apparaît que s'il y a au moins un avertissement et qu'aucune phrase à taper ne couvre la confirmation demandée ; elle dit lequel : « (1 avertissement ci-dessus) », « (3 avertissements ci-dessus) » ; cochez-la, le bouton reste inactif sans elle (motif « Cochez « J'ai lu les avertissements ». »). Sans avertissement ni phrase, le bouton est actif tout de suite. Une photo de l'annuaire est enregistrée avant de commencer. Cliquez sur Appliquer les changements.

7.5 Application

Une barre d'avancement et un journal défilant montrent chaque opération (« ✓ Création… », « = Déjà fait… », « ✗ … : droits insuffisants »). Ne fermez pas la fenêtre pendant l'application : si elle se ferme quand même, l'accueil propose de reprendre là où elle s'est arrêtée. Le bouton Mettre en pause arrête proprement après l'opération en cours ; vous pouvez ensuite reprendre ou arrêter là.

L'outil se met aussi en pause tout seul après 5 erreurs de suite, ou si plus de 10 % des opérations échouent, ou si le contrôleur ne répond plus. Corrigez la cause (souvent un droit manquant), puis Reprendre.

Si la fenêtre est fermée ou l'ordinateur redémarre en pleine application, rien n'est perdu : voir § 13, « L'application a été interrompue ».

7.6 Terminé

L'écran « C'est fait » résume le résultat (« 386 comptes créés, 21 modifiés, 1 erreur »). Cliquez sur (voir) pour lire les erreurs. Puis :

• Imprimer les fiches des nouveaux comptes (voir § 10), ou plus tard le lien Voir les fiches de mots de passe, qui mène à l'écran des fiches (§ 10) ;
• Ouvrir le journal ;
• suivez les rappels : supprimer le fichier des utilisateurs que vous venez d'importer, supprimer les fiches après la distribution, faire la première connexion des nouveaux utilisateurs sur un poste du domaine.

Une opération en erreur n'est pas perdue : le prochain aperçu la proposera de nouveau.

7.7 Ajouter un utilisateur à la main

Pour une arrivée en cours d'année, sans attendre un nouvel export : accueil, Ajouter un utilisateur à la main. Saisissez le nom, le prénom, le groupe et, si vous les avez, l'identifiant externe et la date de naissance (ils permettront de reconnaître l'utilisateur au prochain import complet). + une autre ligne ajoute un utilisateur. Cliquez sur Voir le compte proposé : l'aperçu suit, et aucun autre compte ne sera modifié (aucun départ).

8. La mise à jour suivante (nouvelle période)

À chaque nouvelle période (nouvelle année, nouvelle saison, réorganisation), importez simplement la nouvelle liste complète. L'outil reconnaît chaque utilisateur par une empreinte de son identifiant externe ou de sa date de naissance (voir § 15) : les utilisateurs qui restent changent de groupe, les nouveaux sont créés, les partis sont désactivés.

• Départs en nombre (fin d'année, de contrat ou de saison) : ils peuvent approcher ou dépasser 25 % des comptes. Au-delà de 25 %, l'outil demande de taper DÉSACTIVER n : c'est normal lors d'une mise à jour périodique, si ces départs sont attendus. S'il annonce « Aucun utilisateur de … dans le fichier : … comptes partiront. », c'est aussi normal si ces utilisateurs sont partis.
• Presque tout le monde change de groupe : au-delà de 30 % de changements de groupe, l'outil demande aussi DÉPLACER n. Lors d'une réorganisation, la phrase à taper est donc le plus souvent DÉSACTIVER n ET DÉPLACER m.
• Utilisateurs sans groupe : un export fait avant la répartition contient souvent des utilisateurs pas encore affectés à un groupe. Leur compte existant reste en place, sans changement de groupe ; un nouvel utilisateur sans groupe reçoit un compte « en attente de groupe », rangé directement dans le dossier des utilisateurs, dans le seul groupe de tous les utilisateurs. Refaites un import quand les groupes sont connus : les comptes seront rangés dans leur groupe.
• Exports scolaires : l'année du fichier et l'ancienneté de l'export SIECLE sont contrôlées (voir la rubrique Formats scolaires reconnus).

Pour essayer une mise à jour sans risque, le mode essai la simule avec les exemples rh-fictif.csv puis rh-fictif-2.csv, à une date simulée plus tardive (§ 4).

Avant la nouvelle période, pensez aussi à vérifier que le délai de suppression vous convient : les comptes partis lors de la période précédente seront proposés à la suppression définitive.

9. Départs, retours, annulation

9.1 Ce qui arrive au compte d'un utilisateur parti

Un utilisateur absent du fichier n'est pas toujours parti : erreur d'export, inscription tardive, retour après un déménagement. Son compte n'est donc pas supprimé tout de suite. Au départ, en une seule opération, l'outil :

1. désactive le compte ;
2. le retire des groupes créés par l'outil (jamais des autres groupes) ;
3. remplace sa description par « Parti le jj/mm/aaaa (absent de l'import) », en gardant son groupe (cette description est la même quelle que soit la langue de l'interface) ;
4. le déplace dans le dossier des comptes partis.

Le dossier personnel n'est pas touché. Un compte que vous aviez désactivé vous-même part aussi, mais il ne sera jamais réactivé automatiquement.

9.2 Suppression définitive

Quand un compte est parti depuis au moins le délai choisi (90 jours par défaut : dès le 90e jour), l'aperçu suivant le range dans « À supprimer définitivement » (« n comptes partis depuis au moins 90 jours seront supprimés. »). Il faut taper SUPPRIMER n pour confirmer. Le bouton Ne pas supprimer cette fois écarte toutes les suppressions de cet import. Si l'archivage est réglé, le dossier personnel est ensuite renommé dans _archives.

Un identifiant supprimé reste réservé deux ans : il n'est pas donné à un autre utilisateur. Si l'utilisateur lui-même revient, il retrouve son identifiant.

9.3 Un utilisateur revient

S'il figure de nouveau dans un export, ou si vous l'ajoutez à la main, son compte parti est réactivé. Un ajout à la main retrouve le compte d'une personne partie par son identifiant externe (INE ou matricule), saisi dans le champ « Identifiant externe » du formulaire, ou, sans identifiant, par son nom et sa date de naissance quand le fichier d'origine en donnait une. Sinon, une saisie à la main crée un nouveau compte. Au retour, l'utilisateur revient dans son groupe, ses groupes de l'annuaire et, si la case « Nouveau mot de passe pour un utilisateur qui revient » est cochée, il reçoit un nouveau mot de passe (et une fiche). Exception : parti depuis 7 jours au plus (départ par erreur, liste partielle), il garde son mot de passe, et l'aperçu le dit (« Parti le … (il y a 3 jours) : le compte est réactivé, et l'utilisateur garde son mot de passe. »). Si le compte était réglé « le mot de passe n'expire jamais », ce réglage est retiré au retour, et le journal le note. Le compte reste désactivé s'il avait été désactivé à la main avant son départ (pastille « désactivé à la main »).

9.4 Annuler les départs d'un import

Si un import a fait partir des utilisateurs à tort (mauvais fichier, export partiel), vous pouvez annuler ses départs en un clic, tant que les comptes n'ont pas été supprimés :

1. À l'accueil, cliquez sur Annuler les départs d'un import : les dix dernières applications avec des départs sont listées.
2. Cliquez sur Annuler ces départs en face de l'import voulu.
3. L'aperçu « Annulation des départs » montre les comptes qui seront réactivés dans leur groupe (carte « Reviennent »). Continuez, puis appliquez : sans avertissement, il n'y a ni case « J'ai lu les avertissements » ni phrase à taper, le bouton Appliquer les changements est actif tout de suite.

Les comptes reviennent dans leur groupe et leurs groupes de l'annuaire, avec leur ancien mot de passe (aucune nouvelle fiche).

Revenir en arrière sur tout un import : réimportez le fichier précédent. Les utilisateurs retrouvent leur groupe, et les comptes partis sont réactivés. Les comptes créés par l'import annulé, eux, partiront en quarantaine comme des départs.

10. Les fiches de compte (mots de passe provisoires)

Chaque nouveau compte (et chaque utilisateur qui revient avec un nouveau mot de passe) a une fiche de compte : un coupon à découper, avec le nom de l'organisation, le nom et le groupe de l'utilisateur, son identifiant et son mot de passe provisoire. Une page par groupe.

1. Sur l'écran « C'est fait », cliquez sur Imprimer les fiches des nouveaux comptes (tous les groupes), ou sur le bouton d'un seul groupe.
2. La fenêtre Aperçu des fiches s'ouvre par-dessus celle de Kontivo, avec le rappel « Ces pages contiennent des mots de passe. Imprimez-les, puis fermez cet aperçu : rien n'est enregistré sur ce poste. » Feuilletez les pages, puis cliquez sur Imprimer… : c'est la boîte d'impression de Windows, où vous choisissez l'imprimante et ses préférences.
3. Quand l'imprimante a fini, l'outil demande « Les fiches sont-elles bien imprimées ? ». Répondez Oui, c'est fini : l'aperçu se ferme. Répondez Pas encore s'il manque des pages : l'aperçu reste ouvert pour les réimprimer. Fermer ferme l'aperçu sans imprimer.

L'impression n'écrit aucun fichier : ni page HTML, ni PDF, ni fichier temporaire. Les fiches restent chiffrées dans leur dossier et ne sont déchiffrées qu'en mémoire, le temps de l'aperçu ; les mots de passe y sont dessinés, pas écrits en texte. L'aperçu se ferme aussi quand la fenêtre se verrouille (§ 3.5).

Plus tard, l'écran Fiches de mots de passe de l'accueil permet de les réimprimer (Imprimer…, ou un seul groupe) ou de les supprimer.

Coupons ou planches d'étiquettes

Sur l'écran Fiches de mots de passe, le cadre Impression choisit la forme des pages, avant Imprimer… :

• Coupons à découper, avec les consignes (par défaut, comme sur l'écran « C'est fait »), rangés dans l'ordre du nom affiché ou par NOM, puis prénom ;
• Planches d'étiquettes autocollantes au format A4 : Avery L7160 (21 étiquettes de 63,5 × 38,1 mm, par défaut), L7159 (24 étiquettes de 63,5 × 33,9 mm) ou L7163 (14 étiquettes de 99,1 × 38,1 mm), ou leurs équivalents d'autres marques. Chaque étiquette porte le NOM et le prénom, le groupe, l'identifiant et le mot de passe provisoire, et rien d'autre. Une planche par groupe (un groupe nombreux en remplit plusieurs), utilisateurs rangés par NOM puis prénom.

Pour que les étiquettes tombent juste, dans la fenêtre d'impression : échelle 100 % (taille réelle, sans « Ajuster à la page »), marges Aucune. Faites d'abord un essai sur une feuille blanche, posée sur une planche, à contre-jour. Les étiquettes suivent les mêmes règles que les coupons : aucun fichier écrit, jamais d'impression dans un fichier (PDF, XPS), étiquettes non distribuées détruites.

Page de calibrage des étiquettes

Avant la première planche, et à chaque changement d'imprimante, vérifiez que les étiquettes tombent juste avec la page de calibrage. Elle ne contient aucune donnée d'utilisateur : vous pouvez l'imprimer et la jeter librement.

1. Sur l'écran Fiches de mots de passe, cadre Impression : choisissez Planches d'étiquettes autocollantes, puis le modèle de planche.
2. Cliquez sur Imprimer une page de calibrage. L'aperçu montre un cadre à la place de chaque étiquette, deux règles graduées de 100 mm et la consigne. Cliquez sur Imprimer…, à l'échelle 100 % (taille réelle), marges « Aucune », format A4.
3. Mesurez les deux règles imprimées (en haut et à gauche) : chacune doit faire 100 mm. Sinon, l'imprimante met la page à l'échelle : corrigez ses préférences et recommencez.
4. Posez la feuille sur une planche vierge, bords alignés, à contre-jour : chaque cadre doit tomber sur une étiquette, à 0,5 mm près aux quatre coins de la planche.

Si tous les cadres sont décalés du même écart, l'imprimante a une marge physique ou décale la page : essayez l'option « sans bordure » ou un autre bac. Si l'écart grandit vers le bas ou vers la droite, la page est agrandie ou réduite : revoyez l'échelle. Les coupons, eux, n'ont pas besoin de calibrage : ils se découpent aux ciseaux.

11. Les journaux

Chaque application laisse un journal : un fichier CSV (séparateur point-virgule, lisible dans Excel ou LibreOffice) dans C:\ProgramData\ComptesAD\journaux\, nommé par la date, l'heure et le numéro du plan, par exemple 2026-10-19_1440_p20261019-1440-7f3a9c.csv. Il contient, pour chaque opération : l'heure, l'opérateur, le poste, le contrôleur, l'action, l'identifiant, le nom affiché, le groupe avant et après, l'emplacement avant et après, les groupes de l'annuaire retirés, le résultat (OK, Déjà fait, Ignoré, Erreur) et le message. Les en-têtes des colonnes sont les mêmes quelle que soit la langue ; les messages sont écrits dans la langue de l'interface (§ 5, « Langue de l'interface »).

À côté, la photo avant (photo-avant_…csv) liste tous les comptes concernés tels qu'ils étaient juste avant l'application : identifiant, nom, emplacement, actif ou non, groupe, groupes de l'annuaire. Elle permet de retrouver l'état d'un compte avant un import.

Les journaux ne contiennent jamais de mot de passe, d'identifiant externe ni de date de naissance. Le fichier technique.log (erreurs internes de l'outil) ne contient aucune donnée d'utilisateur.

Depuis l'accueil, l'écran Journaux liste les journaux, ouvre leur dossier avec le bouton Ouvrir le dossier des journaux, à côté duquel le chemin est affiché (« Dossier des journaux : C:\ProgramData\ComptesAD\journaux », à copier si l'outil a été lancé avec un autre compte que celui de votre session), et supprime ceux de plus de 12 mois (avec leurs photos avant).

12. Sauvegarde de la configuration et du secret

Pour reconnaître chaque utilisateur d'un import à l'autre sans écrire son identifiant externe dans l'annuaire, l'outil utilise un secret propre à l'organisation. Ce secret est sur le poste, dans C:\ProgramData\ComptesAD\. S'il est perdu, l'outil ne reconnaît plus les utilisateurs par leur empreinte.

12.1 Exporter

Dans Réglages, cliquez sur Exporter les réglages et choisissez « Les réglages et le secret (recommandé pour une sauvegarde) ». La boîte « Enregistrer sous » de Windows propose le nom ComptesAD-configuration-AAAA-MM-JJ.json : choisissez où le ranger.

12.2 Changer de poste

Sur le nouveau poste, l'outil voit que l'annuaire est déjà géré par Kontivo (un groupe ComptesAD-Etat est rangé dans le dossier des groupes ; ne le supprimez pas). L'accueil affiche en rouge : « Cet annuaire est déjà géré par Kontivo depuis un autre poste ou une autre installation… ».

1. Cliquez sur Importer la configuration et choisissez le fichier exporté.
2. Relisez les réglages importés, puis cliquez sur Enregistrer les réglages.

12.3 Si le fichier est perdu

Cliquez sur J'ai perdu ce fichier, tapez REMPLACER LE SECRET (en français ; la phrase est dans la langue de l'interface), puis Remplacer le secret. L'outil crée un nouveau secret et vous fait importer la liste des utilisateurs : il reconnaît alors les utilisateurs une fois par leur nom et leur groupe, et réécrit leur empreinte. Pendant cet import, aucun compte ne part. Les comptes non retrouvés sont listés ; ils seront traités au prochain import normal.

13. Que faire si…

L'outil ne démarre pas

La fenêtre de Kontivo affiche la raison et reste ouverte, avec la commande à copier quand il y en a une (bouton Copier). Voir le tableau des messages ci-dessous.

« Ce dossier de données appartient à un autre compte »

Message « Le dossier de données C:\ProgramData\ComptesAD a été créé pour un autre compte Windows (propriétaire : …) : votre compte ne peut pas y accéder. … » : un seul compte par dossier de données (§ 3.3, où le message est cité en entier). Trois issues, dans l'ordre du message : relancer l'outil avec ce compte ; faire transférer le dossier par un administrateur avec la commande icacls … /T proposée (après avoir exporté la configuration avec le secret depuis le compte propriétaire, à réimporter ensuite) ; supprimer le dossier s'il ne contient rien d'utile.

« Aucun contrôleur … n'a répondu » au démarrage

L'outil cherche un contrôleur de domaine qui répond en LDAP (port TCP 389). Le message dit : « Aucun contrôleur de domaine n'a répondu en LDAP (port TCP 389). Vérifiez que le poste est dans le domaine et ouvert avec un compte du domaine, ou indiquez un contrôleur : ComptesAD.exe -Serveur dc1.demo.local ». Les causes habituelles : port 389 filtré entre le réseau d'administration et les contrôleurs, poste hors du domaine, session ouverte avec un compte local.

La fenêtre de Kontivo n'apparaît pas

Si Kontivo est déjà ouvert, un second lancement ramène sa fenêtre au premier plan ; si elle reste cachée, cherchez-la dans la barre des tâches. Si Kontivo est ouvert par un autre compte sur le même serveur, le lancement le dit (« Kontivo est déjà ouvert par un autre utilisateur sur cette machine. ») : attendez qu'il l'ait quitté.

« Kontivo est verrouillé »

La fenêtre s'est verrouillée après 30 minutes sans action (§ 3.5). Cliquez sur Déverrouiller et donnez le mot de passe du compte Windows qui a lancé Kontivo (celui que le message cite, par exemple le compte délégué, et non celui de votre session). Une application en cours a continué pendant le verrouillage. Après trois mots de passe refusés, quittez Kontivo (bouton Quitter du calque) et relancez-le : une application interrompue se reprend depuis l'accueil.

L'application a été interrompue

Fenêtre fermée, coupure de courant, redémarrage : au lancement suivant, l'accueil affiche « Une application a été interrompue le … (140 sur 612). »

• Reprendre : l'outil reprend là où il s'était arrêté, sur le même contrôleur. Les opérations dont on ne sait pas si elles ont abouti sont rejouées sans risque. Un mot de passe dont on ne sait pas s'il a été posé est remplacé par un nouveau, avec une nouvelle fiche.
• Abandonner : les changements déjà faits restent en place ; refaites un aperçu pour voir ce qu'il reste.

Reprenez sans tarder. Après 12 heures, ou si une autre application a eu lieu entre-temps, la reprise est refusée : l'accueil n'offre plus que Abandonner, avec l'explication (« Elle date de plus de 12 heures : la reprendre referait des changements calculés sur un fichier et un annuaire périmés. »). Rien n'est perdu : le nouvel aperçu propose ce qui reste à faire.

Un compte n'est pas reconnu, un doublon est créé

Le compte existant n'est peut-être pas dans le dossier des utilisateurs, ou le fichier n'a ni identifiant externe ni date de naissance. Regardez dans l'aperçu la carte « À vérifier » : l'outil y pose une question quand plusieurs comptes peuvent correspondre, et il ne reprend jamais par le nom seul un compte douteux (autre date de naissance, compte parti) : il propose alors un nouveau compte et la question « Même utilisateur ? ». Répondez-y avant d'appliquer, sinon le nouveau compte est créé (voir § 7.3). Un compte géré par l'outil mais déplacé hors du dossier des utilisateurs n'est pas dédoublé non plus : sa ligne dit « Le compte de cet utilisateur a été déplacé hors de l'OU des utilisateurs (…) : il n'est pas modifié, et aucun autre compte n'est créé. Remettez-le dans l'OU des utilisateurs pour que l'outil le suive. »

Un compte créé à la main n'est jamais modifié

C'est voulu : un compte que l'outil n'a ni créé ni repris n'est jamais modifié, et ne part jamais. L'aperçu les signale (« Comptes non gérés dans l'OU des utilisateurs : 3 (jamais modifiés) »). L'outil reprend un tel compte quand il reconnaît l'utilisateur (carte « Comptes repris ») : identifiant et mot de passe gardés.

Un compte est « protégé contre la suppression accidentelle »

Il ne peut pas être déplacé (changement de groupe, départ) ni supprimé ; l'outil le vérifie avant d'y toucher, le compte n'est donc ni renommé ni modifié à moitié. Le message dit quoi faire : « Ce compte est protégé contre la suppression accidentelle : dans « Utilisateurs et ordinateurs Active Directory », menu Affichage > Fonctionnalités avancées, propriétés du compte, onglet Objet, décochez la case ; ou utilisez « Retirer la protection de ces comptes » dans l'aperçu. Puis refaites un aperçu. » (le bouton de l'aperçu exige le droit de modifier les autorisations). Un compte géré mais protégé d'une autre façon (exclusion des réglages, adminCount) n'est pas touché non plus : l'aperçu l'écrit sur sa ligne (§ 7.3).

Un groupe de l'annuaire porte un nom court avec « -2 »

L'outil limite à 20 caractères le nom court (nom pré-Windows 2000) d'un groupe, qui doit être unique dans le domaine. S'il est déjà pris par un autre objet, l'outil ajoute -2, -3… Les réglages (étape 2) montrent ces noms courts. Vous pouvez renommer un groupe créé par l'outil : il le reconnaît à une marque interne, pas à son nom.

Une autre personne utilise l'outil en même temps

Une seule application à la fois est possible : « Une application est en cours depuis PC-ADM1 par DEMO\adm2 (depuis 14 h 40). ». Attendez la fin. Le verrou expire 30 minutes après le dernier signe de vie de l'autre poste ; un bouton permet alors de le forcer (en tapant FORCER, dans la langue de l'interface), si vous êtes sûr qu'aucune application n'y tourne encore.

Microsoft 365, ENT et autres services

L'outil ne gère que l'annuaire local. Si une synchronisation vers Microsoft 365 existe, vérifiez que le dossier « Départs » est dans son périmètre si vous voulez garder les données Microsoft 365 des utilisateurs en quarantaine.

L'antivirus ou la sécurité du poste bloque l'outil

Kontivo est un seul exe, ComptesAD.exe, sans script à autoriser. Trois cas :

• SmartScreen affiche « Windows a protégé votre ordinateur » au premier lancement : voir § 2. Pour éviter que chaque fichier extrait soit marqué « venu d'Internet », cochez Débloquer dans les propriétés de l'archive avant de l'extraire (§ 3.1).
• Un antivirus ou un EDR bloque l'exe ou le met en quarantaine (l'exe est obfusqué, voir § 2) : demandez à votre responsable de la sécurité des systèmes d'information (RSSI) une exception sur l'empreinte SHA-256 publiée, ou la variante non obfusquée.
• AppLocker ou WDAC n'autorisent que les programmes approuvés : demandez à votre administrateur une règle qui autorise C:\ComptesAD\ComptesAD.exe (par son éditeur s'il est signé, sinon par son empreinte), ou utilisez un poste d'administration qui n'a pas cette restriction.

L'outil est lancé depuis un partage ou un lecteur réseau

Il refuse de démarrer, et la fenêtre le dit. Depuis un partage (chemin \\serveur\…) : « Kontivo est lancé depuis un partage réseau (\\srv\outils$\ComptesAD). Copiez ComptesAD.exe sur le disque local du poste, par exemple dans C:\ComptesAD, puis relancez. » Depuis un lecteur réseau (Z:) : « Kontivo est lancé depuis un lecteur réseau (Z:\ComptesAD). Copiez ComptesAD.exe sur le disque local du poste, par exemple dans C:\ComptesAD, puis relancez. » Le dossier de données aussi doit être sur un disque local fixe (§ 3.3).

Windows a ouvert un profil temporaire

Si Windows affiche « Vous avez été connecté avec un profil temporaire », l'outil vous avertit au démarrage (« Attention : Windows a ouvert votre session avec un profil TEMPORAIRE (…) », texte complet au § 3.5) : tout ce qui est dans votre profil (fiches de mots de passe, clé qui les chiffre) disparaîtra à la fermeture de session. Imprimez les fiches avant de fermer la session, et ne faites pas d'import tant que le profil n'est pas réparé.

14. Messages d'erreur principaux

15. Ce que l'outil écrit dans l'annuaire

Nom, prénom, nom affiché, groupe, identifiant et nom de connexion, description (selon le modèle de la clé nommage.description de configuration.json : pour une installation neuve, « {classe} (géré par Kontivo) », et « En attente de groupe (géré par Kontivo) » pour un utilisateur sans groupe ; une configuration venue de la V1 ou de la V2 garde sa description, voir § 3.7), et, si c'est réglé, le dossier personnel, la lettre du lecteur, le profil et le script de connexion. Plus deux attributs techniques :

• employeeType : une marque qui dit que le compte est géré par l'outil, et son état (présent, parti…). Ne la modifiez pas ;
• employeeNumber : des empreintes chiffrées de l'identifiant externe (et, pour un export SIECLE, du numéro SIECLE), et du nom avec le prénom et la date de naissance, calculées avec le secret de l'organisation. Elles permettent de reconnaître l'utilisateur aux imports suivants, mais ne permettent pas de retrouver ces informations tant que le secret reste secret.

L'outil n'écrit jamais la date de naissance ni l'identifiant externe dans l'annuaire : tous les comptes du domaine, utilisateurs compris, peuvent lire ces informations. Il ne touche pas aux attributs info et employeeID des utilisateurs (sauf si vous demandez d'effacer un identifiant externe trouvé en clair dans employeeID). Il n'écrit pas non plus l'identifiant externe, le numéro SIECLE ni la date de naissance dans ses propres fichiers (journaux, plans, fiches).

Les groupes créés par l'outil sont des groupes de sécurité globaux, dans le dossier des groupes, reconnus par une marque dans leur attribut adminDescription. Le groupe de distribution ComptesAD-Etat, sans membre, garde l'état de l'outil : ne le supprimez pas.

Rien de ce que l'outil écrit dans l'annuaire ne dépend de la langue de l'interface : descriptions, noms des OU, marques. Deux postes réglés dans deux langues gèrent donc le même annuaire de la même façon. Seules les valeurs proposées à une installation neuve (noms des OU et des groupes, descriptions) suivent la langue des premiers réglages ; une fois écrites dans configuration.json, elles ne changent plus avec la langue.

Ne sont jamais modifiés : les comptes d'administration (même rangés par erreur avec les utilisateurs), les comptes de votre liste « à ne jamais toucher », les comptes du dossier des utilisateurs que l'outil n'a ni créés ni repris, et tout ce qui est hors des trois dossiers choisis.

16. Les autres documents

• Exporter les fichiers scolaires : le pas à pas des exports SIECLE, ONDE, Pronote et EcoleDirecte, et les colonnes attendues (voir aussi la rubrique Formats scolaires reconnus).
• Déléguer les droits : les droits exacts du compte qui lance l'outil, dans l'annuaire et sur le partage des dossiers personnels.
• Fiche registre RGPD : la fiche de traitement à remplir avec votre délégué à la protection des données.
• Les mêmes documents dans les autres langues : docs\en\, docs\de\, docs\es\, docs\pt\ et docs\it\ (Notice.html, Deleguer-les-droits.html, LISEZMOI.txt) ; à la racine de l'archive, LISEZMOI.txt (en français) et README.txt (en anglais). Les deux pages ci-dessus sur les fichiers scolaires et le registre RGPD n'existent qu'en français, dans docs\fr\.
• Le premier passage sur une OU de test, avant la mise en service : voir § 6.

Kontivo 3.0.0, pour Active Directory · © 2026 · logiciel propriétaire (voir LICENCE.txt) · les noms des captures sont inventés · Active Directory est une marque de Microsoft.