Guide d'installation rapide LMbox

J+1 — Premier boot, SSO, premier modèle

3.1 Boot initial

Câble réseau branché, alimentation branchée, premier POWER ON. La Box met ≈ 90 secondes à atteindre l'écran d'init.

# Sur le poste admin du VLAN, première connexion via le hostname interne
$ ssh admin@lmbox.local
# Le mot de passe initial est dans le runbook papier — à changer immédiatement
lmbox$ lmbox init
→ Génération de l'identité de la Box (UUID + clé Curve25519)
→ Création du coffre age-chiffré
→ Premier audit log signé : "lmbox-init"
✓ Init terminé. Hostname interne : lmbox.local
  Empreinte cert : SHA256:9f3a:c1...:bd84  (vérifier avec le runbook)

3.2 Configuration hostname et TLS

lmbox$ lmbox config set hostname lmbox.acme.local
lmbox$ lmbox tls install /tmp/wildcard-acme-local.crt /tmp/wildcard-acme-local.key
✓ Caddy reconfiguré avec le certificat fourni
✓ HTTPS opérationnel sur https://lmbox.acme.local

3.3 Branchement SSO

Authentik est embarqué dans la Box (couche 02). On enregistre l'IDP en quelques commandes :

# Active Directory Federation Services (ADFS) — exemple
lmbox$ lmbox sso configure \
    --type oidc \
    --issuer https://login.microsoftonline.com/{tenant-id}/v2.0 \
    --client-id {client-id} \
    --client-secret-file /run/secrets/azuread \
    --groups-claim groups \
    --admin-group ai-admins \
    --user-group ai-users
✓ Authentik provider créé : azure-ad
✓ 247 utilisateurs synchronisés (groupe ai-users)
✓ 4 admins synchronisés (groupe ai-admins)
lmbox$ lmbox sso test --user alice.dupont@acme.com
✓ login OK · groupes mappés · session JWT signée

3.4 Premier modèle local

lmbox$ lmbox models pull mistral-large-2
→ Téléchargement local (≈ 24 Go)
✓ Modèle chargé · prêt à servir
lmbox$ lmbox models test mistral-large-2 "Bonjour, fais une phrase de test"
[mistral-large-2] Bonjour, ceci est une réponse de test générée localement…
  ↳ 78 ms TTFT · 41 tokens/s · 0 sortie réseau

3.5 Activation du routeur cascade (optionnel ce jour)

Si la stratégie inclut le tier frontier (Bedrock EU), c'est le moment de stocker la clé AWS dans le coffre :

lmbox$ lmbox vault set bedrock_access_key_id     AKIA...
lmbox$ lmbox vault set bedrock_secret_access_key  ...
lmbox$ lmbox router config --frontier=enabled --bedrock-region=eu-west-3
lmbox$ lmbox router test "Plan agentic 20 tours sur le module billing"
{ "tier": "frontier", "score": 18, "would_route_to": "bedrock/anthropic.claude-sonnet-4-5" }

J+3 — Validation et cohorte pilote

5.1 Lancer lmbox doctor

lmbox$ lmbox doctor
▶ Services         19/19 ✓
▶ TLS              cert valide jusqu'au 2026-08-04 ✓
▶ SSO              Azure AD · 247 users · last login 12 min ago ✓
▶ Modèles          mistral-large-2 ✓ · qwen-2.5-coder:32b ✓ · mistral-small-3 ✓
▶ Connecteurs      4/4 ready · 15 485 docs indexés ✓
▶ Routeur          frontier=enabled · 0 erreurs sur les 100 dernières requêtes ✓
▶ MCP              4 tools registered · 9 sources mappées ✓
▶ Audit logs       écriture OK · vector → loki OK · rétention 90 j ✓
▶ Backup           dernier snapshot Restic : 2 h 14 min ago ✓
▶ Disque           SSD 78 % libre · backup 92 % libre ✓
✓ Tout est vert. La Box est prête à recevoir des utilisateurs.

5.2 Smoke test cascade Claude Code

# Sur le poste d'un dev pilote
$ export ANTHROPIC_BASE_URL=https://lmbox.acme.local
$ export ANTHROPIC_API_KEY=$(lmbox vault get claude_code_key)
$ claude
> Refactor le module auth pour utiliser l'injection de deps
[claude] OK, je vois 3 fichiers à toucher…
# Côté Box, lmbox router stats devrait montrer 1 requête, tier=medium
lmbox$ lmbox router stats 1
TIER    REQ  COST€   ratio_local
medium    1   0.00   100 %

5.3 Cohorte pilote

• Sélectionner 5 à 15 utilisateurs (mix dev + métier) — typiquement 1 cabinet juridique + 2 dev + 2 RH/conseil
• Briefing 30 min sur les patterns d'usage et la confidentialité
• Activer le suivi : lmbox audit follow --user-group ai-pilot pour voir les requêtes en temps réel
• Recueil structuré au bout de 5 jours (template fourni dans le runbook)

5.4 Brancher le SIEM

lmbox$ lmbox audit export --target splunk \
    --hec-url https://splunk.acme.com:8088 --hec-token-file /run/secrets/splunk
lmbox$ lmbox audit export status
→ Pipeline Vector → Splunk HEC : actif · 23 events/s · 0 retry

Référence rapide

Variables d'environnement principales

Variable	Default	Effet
LMBOX_HOSTNAME	lmbox.local	Hostname interne
LMBOX_DOMAIN	.local	Domaine pour cert wildcard
LMBOX_MCP_KEY	(vide)	Master key MCP — généré au init
LITELLM_MASTER_KEY	(vide)	Clé interne gateway → généré au init
RAGNIGHT_URL	http://ragnight:3000	URL du backend RAG (interne)
LMBOX_PRELOAD_MODELS	mistral-small-3	Liste des modèles à charger au boot (CSV)

Commandes lmbox les plus utiles

lmbox doctor                 # diagnostic global, à lancer avant chaque démo
lmbox router stats 7         # usage par tier sur 7 jours · ratio_local · coût frontier
lmbox connectors sync <name> # sync manuelle d'un connecteur
lmbox mcp tools              # lister les outils MCP exposés
lmbox audit search "..."     # recherche full-text dans l'audit log
lmbox backup snapshot        # Restic snapshot manuel (auto toutes les 4 h sinon)
lmbox backup restore --to /tmp/restore --snapshot latest
lmbox vault rotate --name {key}
lmbox failover status        # si HA actif/passif
lmbox gdpr erase user@acme.com  # effacement RGPD complet, traçable

Support et SLA

• Hotline : +33 ... · 24×7 sur contrat LMbox managed, heures ouvrées sinon
• Email : support@lmbox.eu
• Console support : https://support.lmbox.eu (SSO same as la Box)
• Status page : https://status.lmbox.eu
• Engagement réponse : P1 (Box down) ≤ 1h · P2 (dégradation) ≤ 4h · P3 (question) ≤ 1 j ouvré

Pour les détails sur la stratégie de souveraineté, le pricing détaillé et les FAQ RSSI, voir le livre blanc dédié. Pour la version commerciale de ce processus avec photos d'installations clients, voir /box/installation.