--- title: "Connexion à la base de données sans mot de passe stocké (authentification Windows intégrée)" description: "Comment portier Vision se connecte à Microsoft SQL Server sans mot de passe stocké via l'identité Windows de l'utilisateur connecté, ce dont le compte de service des tâches planifiées a besoin et quelles sont les limites." url: https://help.portiervision.com/fr/articles/124-connexion-a-la-base-de-donnees-sans-mot-de-passe-stocke-authentification-windows-integree collection: "Intégrations et configuration IT" updated: 2026-08-28 language: fr alternates: [de, en] --- # Connexion à la base de données sans mot de passe stocké (authentification Windows intégrée) Comment portier Vision se connecte à Microsoft SQL Server sans mot de passe stocké via l'identité Windows de l'utilisateur connecté, ce dont le compte de service des tâches planifiées a besoin et quelles sont les limites. ## De quoi il s'agit Par défaut, portier Vision enregistre le mot de passe de la base de données, chiffré, dans le fichier `portiervision.ini` sur chaque poste. Dans certains environnements, aucun mot de passe ne doit être stocké, par exemple les serveurs Citrix et Terminal Server, les sessions partagées, les images de référence ou les environnements audités. Pour ces cas, avec Microsoft SQL Server, il existe l'authentification intégrée. portier Vision se connecte à la base avec l'identité Windows de l'utilisateur connecté. Aucun mot de passe n'est stocké ni transmis. À ne pas confondre avec la connexion à portier Vision même. Pour ouvrir le logiciel via votre compte Windows sans mot de passe distinct, voir [Single Sign-On (SSO)](https://help.portiervision.com/fr/articles/108-single-sign-on-sso.md). ## Pour qui - Environnements Citrix, Terminal Server et images de référence, sans identifiants stockés dans le profil - Environnements informatiques audités qui évitent les mots de passe de service stockés - Organisations qui gèrent l'accès à la base via leurs groupes Windows (Active Directory) existants ## Prérequis - Le poste est joint au domaine Active Directory. - Une connexion existe dans Microsoft SQL Server pour l'utilisateur Windows ou, de préférence, pour un groupe AD. - Cette connexion dispose, sur la base portier, des rôles `db_datareader`, `db_datawriter` et `db_ddladmin`. `db_ddladmin` permet à portier Vision d'appliquer ses mises à jour de schéma lors d'une montée de version. Pas `sysadmin`, pas `db_owner`. ## Configuration 1. Ouvrez le portier Vision Companion et allez sur **Configuration de la base de données**. 2. Dans **Type de base de données**, choisissez **Microsoft SQL Server - Connexion Windows**. Les champs nom d'utilisateur et mot de passe disparaissent. 3. Saisissez l'**Hôte**, le **Nom de la base de données** et le **Schéma**. Un port différent du port par défaut se place sur l'hôte, ajouté après une virgule, par exemple `sqlhost, 1444`. Pour le format de l'hôte, voir [Connexion à Microsoft SQL Server](https://help.portiervision.com/fr/articles/116-connexion-de-portier-companion-microsoft-sql-server-configuration-correcte-de-lhte.md). 4. Lancez **Tester la connexion**. En cas de succès, **Enregistrer la configuration**. Le Companion inscrit alors `DBLOGIN=1` dans la section `[Database]` de `portiervision.ini`. portier Vision se connecte ensuite en tant qu'utilisateur Windows connecté (connexion approuvée via Kerberos ou NTLM). Aucun mot de passe n'est écrit dans le fichier. ## Vérifier - Ouvrez `portiervision.ini`. Dans la section `[Database]`, `DBLOGIN=1` est présent, `DBPASSWORD` est vide, et les entrées `DBPASSWORDENCRYPTED` et `DBSHAREDKEY` ont disparu. - Démarrez portier Vision. La base se connecte sans demander de mot de passe. - L'accès s'effectue sous l'identité Windows de l'utilisateur connecté. ## Les tâches planifiées s'exécutent sous leur propre compte L'installation comprend un troisième programme sans interface, `companion-services.exe`. Il exécute les tâches planifiées en arrière-plan, à savoir les courriels de rappel, la synchronisation Entra ID, l'import de personnel planifié et la conservation des données. Il lit le même fichier `portiervision.ini`. Il est démarré par une tâche planifiée Windows, nommée `PortierCompanionServices` par défaut. Le programme d'installation ne crée pas cette tâche. C'est le script `Register-CompanionTask.ps1`, dans le dossier `companion` du répertoire d'installation, qui s'en charge, et c'est là que vous définissez le compte de service sous lequel la tâche s'exécute. Pour la base de données, c'est ce compte qui compte. Avec `DBLOGIN=1`, `companion-services.exe` se connecte sous le compte de service, pas sous votre identifiant. Le compte de service, ou son groupe AD, a donc besoin de la même connexion SQL Server et des mêmes trois rôles que vos utilisateurs. Sans cela, Vision fonctionne parfaitement à l'écran alors que chaque tâche planifiée n'atteint pas la base. Vous pouvez le vérifier directement. Connectez-vous à la machine avec le compte de service et lancez `companion-services.exe --once` depuis le répertoire d'installation. Le code de retour 0 signifie que le diagnostic de démarrage a atteint la base. La zone des tâches du Companion affiche par ailleurs une bannière dès qu'une tâche planifiée a manqué son heure d'exécution ou a échoué. Avec un mot de passe stocké, ce point est plus délicat. Le mot de passe dans `portiervision.ini` est par défaut lié au compte Windows qui l'a enregistré, et la tâche planifiée ne s'exécute que si ce même compte a configuré la connexion. L'authentification intégrée supprime ce lien et demande en échange la connexion SQL Server pour le compte de service. ## Recommandation : une connexion à privilèges minimaux Créez la connexion de base pour portier Vision avec les droits les plus faibles possibles : `db_datareader` et `db_datawriter` pour le fonctionnement courant, plus `db_ddladmin` pour que portier Vision puisse appliquer ses mises à jour de schéma lors des montées de version. `sysadmin` ou `db_owner` ne sont pas nécessaires et ne doivent pas être accordés. Sans `db_ddladmin`, la connexion passe le contrôle au démarrage, mais la montée de version suivante s'arrête à la première modification de schéma. Le plus simple est de gérer l'accès via un groupe AD dédié. Sur les serveurs Citrix et Terminal Server, de nombreux utilisateurs partagent une seule installation, mais chacun se connecte sous sa propre identité Windows. Le groupe AD les couvre tous sans créer chaque connexion à la main. Ajoutez le compte de service des tâches planifiées à ce même groupe. ## Ce qui n'est pas pris en charge L'authentification intégrée nécessite Microsoft SQL Server et une identité de domaine Windows. Dans deux cas, elle n'est pas possible : - **Firebird :** la base Firebird fournie ne connaît pas l'authentification Windows intégrée. Un mot de passe chiffré reste dans `portiervision.ini`. - **SQL Server hors domaine (groupe de travail) :** sans identité de domaine, aucune authentification intégrée n'est possible. Un mot de passe chiffré reste stocké. Pour le cas SQL Server, conservez des privilèges minimaux pour cette connexion stockée : `db_datareader`, `db_datawriter` et `db_ddladmin`. ## Le gain de sécurité Avec l'authentification intégrée, il n'existe aucun mot de passe récupérable, ni dans `portiervision.ini`, ni dans la mémoire du programme. L'authentification repose sur l'identité Windows de l'utilisateur. * * * **Voir aussi :** [Manuel d'installation de portier Vision](https://help.portiervision.com/fr/articles/110-instructions-dinstallation-initiale-et-de-mise-jour-de-portier-vision-5.md) et [Connexion à Microsoft SQL Server](https://help.portiervision.com/fr/articles/116-connexion-de-portier-companion-microsoft-sql-server-configuration-correcte-de-lhte.md).