Déployer des réseaux Wi-Fi sur vos postes en mode D OS

$WifiNetworks = @(
    @{ SSID = 'Etab-Pedago';  Password = 'VotreCle1' }
    @{ SSID = 'Etab-Secours'; Password = 'VotreCle2' }
)

\xEF\xBB\xBF<#
.SYNOPSIS
    Déploie un ou plusieurs profils Wi-Fi (tous utilisateurs) au démarrage de la machine.

.DESCRIPTION
    Prévu pour un script de démarrage GPO (Configuration ordinateur), donc exécuté sous SYSTEM
    sans session interactive : aucune pause, aucune saisie, pas d'affichage console.
    Journalisation dans C:\Windows\Logs\SetWifi\SetWifi.log (avec rotation) et, pour les
    avertissements/erreurs/bilan, dans le journal d'événements "Application" (source SetWifi).

    Les réseaux sont déclarés dans $WifiNetworks. L'ordre du tableau définit la priorité
    de connexion (le premier est préféré).

    Codes de sortie : 0 = tout est OK (ou rien à faire), 1 = au moins un réseau en échec,
                      2 = erreur bloquante.

.NOTES
    Version : 2.0
    - Enregistrer ce fichier en UTF-8 AVEC BOM, sinon PowerShell 5.1 corrompt les caractères
      accentués des SSID/clés.
    - Ce fichier contient des clés Wi-Fi en clair : restreindre ses ACL (SYSTEM + Administrateurs).
#>

#Requires -Version 5.1
[CmdletBinding()]
param()

Set-StrictMode -Version Latest
$ErrorActionPreference = 'Stop'

# =====================================================================
#  CONFIGURATION
# =====================================================================
#  SSID           : nom du réseau (1 à 32 octets)
#  Password       : clé WPA (8 à 63 caractères ASCII, ou 64 caractères hexadécimaux)
#  Authentication : 'WPA2PSK' | 'WPA3SAE' | 'open'   (défaut : WPA2PSK)
#  Hidden         : $true si le SSID n'est pas diffusé            (défaut : $false)
#  AutoConnect    : $true = automatique, $false = manuelle        (défaut : $true)
#
#  Exemples :
#  @{ SSID = 'Corp-WiFi';  Password = 'MotDePasse1'; Authentication = 'WPA2PSK' }
#  @{ SSID = 'Corp-WPA3';  Password = 'MotDePasse2'; Authentication = 'WPA3SAE' }
#  @{ SSID = 'Labo-cache'; Password = 'MotDePasse3'; Hidden = $true }
#  @{ SSID = 'Invites';    Authentication = 'open';  AutoConnect = $false }
# =====================================================================
$WifiNetworks = @(
    @{ SSID = 'A_REMPLACER'; Password = 'A_REMPLACER'; Authentication = 'WPA2PSK'; Hidden = $false; AutoConnect = $true }
    @{ SSID = 'A_REMPLACER'; Password = 'A_REMPLACER'; Authentication = 'WPA2PSK'; Hidden = $false; AutoConnect = $true }
)

$AppName      = 'SetWifi'
$AppVersion   = '2.0'
$LogDir       = Join-Path $env:SystemRoot "Logs\$AppName"
$LogFile      = Join-Path $LogDir "$AppName.log"
$MaxLogSizeKB = 1024     # au-delà, le log courant est renommé en .old
$WlanWaitSec  = 60       # attente max du service WLAN au démarrage
$EventSource  = $AppName

$script:EventLogReady = $false
$script:ExitCode      = 0

# =====================================================================
#  JOURNALISATION
# =====================================================================
function Initialize-Log {
    if (-not (Test-Path -LiteralPath $LogDir)) {
        New-Item -ItemType Directory -Path $LogDir -Force | Out-Null
    }
    if ((Test-Path -LiteralPath $LogFile) -and ((Get-Item -LiteralPath $LogFile).Length / 1KB -gt $MaxLogSizeKB)) {
        Move-Item -LiteralPath $LogFile -Destination "$LogFile.old" -Force
    }
    try {
        if (-not [System.Diagnostics.EventLog]::SourceExists($EventSource)) {
            New-EventLog -LogName Application -Source $EventSource
        }
        $script:EventLogReady = $true
    }
    catch {
        $script:EventLogReady = $false
    }
}

function Write-Log {
    param(
        [ValidateSet('INFO', 'WARN', 'ERROR')]
        [string]$Level = 'INFO',
        [Parameter(Mandatory)]
        [string]$Message,
        [switch]$ToEventLog
    )
    $line = '[{0}] [{1,-5}] {2}' -f (Get-Date -Format 'yyyy-MM-dd HH:mm:ss'), $Level, $Message
    try { Add-Content -LiteralPath $LogFile -Value $line -Encoding UTF8 } catch { }
    Write-Verbose $line

    if ($script:EventLogReady -and ($ToEventLog -or $Level -ne 'INFO')) {
        $type = switch ($Level) { 'ERROR' { 'Error' } 'WARN' { 'Warning' } default { 'Information' } }
        $id   = switch ($Level) { 'ERROR' { 1002 }    'WARN' { 1001 }      default { 1000 } }
        try { Write-EventLog -LogName Application -Source $EventSource -EventId $id -EntryType $type -Message $Message } catch { }
    }
}

# =====================================================================
#  OUTILS
# =====================================================================
function Test-IsAdmin {
    $id = [Security.Principal.WindowsIdentity]::GetCurrent()
    return ([Security.Principal.WindowsPrincipal]$id).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)
}

function Invoke-Netsh {
    param([Parameter(Mandatory)][string[]]$Arguments)
    # En PS 5.1, stderr redirigé + ErrorActionPreference=Stop lève une exception : on l'évite ici.
    $ErrorActionPreference = 'Continue'
    $output = & netsh.exe @Arguments 2>&1 | Out-String
    return [pscustomobject]@{ ExitCode = $LASTEXITCODE; Output = $output.Trim() }
}

function Wait-WlanService {
    $svc = Get-Service -Name WlanSvc -ErrorAction SilentlyContinue
    if (-not $svc) {
        Write-Log INFO 'Service WLAN AutoConfig (WlanSvc) absent : aucune action.'
        return $false
    }
    if ($svc.StartType -eq 'Disabled') {
        Write-Log WARN 'Service WlanSvc désactivé : impossible de déployer les profils Wi-Fi.'
        return $false
    }
    if ($svc.Status -ne 'Running') {
        Write-Log INFO "Service WlanSvc à l'état '$($svc.Status)', démarrage et attente (max $WlanWaitSec s)..."
        try {
            if ($svc.Status -eq 'Stopped') { Start-Service -Name WlanSvc }
            $svc.WaitForStatus('Running', [TimeSpan]::FromSeconds($WlanWaitSec))
        }
        catch {
            Write-Log ERROR "Le service WlanSvc n'a pas démarré : $($_.Exception.Message)"
            return $false
        }
    }
    return $true
}

function Get-WifiAdapters {
    # NdisPhysicalMedium 9 = Native 802.11 (indépendant de la langue du système)
    return @(Get-NetAdapter -Physical -ErrorAction SilentlyContinue |
        Where-Object { $_.NdisPhysicalMedium -eq 9 -and $_.Status -ne 'Disabled' })
}

function Get-NetValue {
    param([hashtable]$Net, [string]$Key, $Default)
    if ($Net.ContainsKey($Key) -and $null -ne $Net[$Key] -and "$($Net[$Key])" -ne '') { return $Net[$Key] }
    return $Default
}

# Retourne $null si la configuration est valide, sinon un message d'erreur.
function Test-WifiConfig {
    param([hashtable]$Net)

    $ssid = [string](Get-NetValue $Net 'SSID' '')
    $auth = [string](Get-NetValue $Net 'Authentication' 'WPA2PSK')
    $pass = [string](Get-NetValue $Net 'Password' '')

    if ($ssid -eq '') { return 'SSID vide.' }
    $ssidBytes = [Text.Encoding]::UTF8.GetByteCount($ssid)
    if ($ssidBytes -gt 32) { return "SSID trop long ($ssidBytes octets, maximum 32)." }
    if ($ssid -match 'A_REMPLACER|remplacer') { return 'SSID non renseigné (valeur exemple).' }

    if ($auth -notin @('WPA2PSK', 'WPA3SAE', 'open')) {
        return "Authentification '$auth' non supportée (WPA2PSK, WPA3SAE ou open)."
    }
    if ($auth -ne 'open') {
        if ($pass -match 'A_REMPLACER|remplacer') { return 'Clé non renseignée (valeur exemple).' }
        if ($pass -notmatch '^[\x20-\x7E]{8,63}$' -and $pass -notmatch '^[0-9A-Fa-f]{64}$') {
            return 'Clé invalide : 8 à 63 caractères ASCII imprimables, ou 64 caractères hexadécimaux.'
        }
    }
    return $null
}

function New-WlanProfileXml {
    param([hashtable]$Net)

    $ssid    = [string](Get-NetValue $Net 'SSID' '')
    $auth    = [string](Get-NetValue $Net 'Authentication' 'WPA2PSK')
    $pass    = [string](Get-NetValue $Net 'Password' '')
    $hidden  = [bool](Get-NetValue $Net 'Hidden' $false)
    $autoCon = [bool](Get-NetValue $Net 'AutoConnect' $true)

    # Échappement XML (&, <, >, ", ') : un caractère spécial ne casse plus le profil
    $ssidXml = [Security.SecurityElement]::Escape($ssid)
    # Forme hexadécimale du SSID : fiable même avec accents ou caractères spéciaux
    $ssidHex = -join ([Text.Encoding]::UTF8.GetBytes($ssid) | ForEach-Object { $_.ToString('X2') })
    $mode    = if ($autoCon) { 'auto' } else { 'manual' }
    $nonBc   = if ($hidden) { 'true' } else { 'false' }

    if ($auth -eq 'open') {
        $security = @"
            <authEncryption>
                <authentication>open</authentication>
                <encryption>none</encryption>
                <useOneX>false</useOneX>
            </authEncryption>
"@
    }
    else {
        $keyType = if ($pass -match '^[0-9A-Fa-f]{64}$') { 'networkKey' } else { 'passPhrase' }
        $passXml = [Security.SecurityElement]::Escape($pass)
        $security = @"
            <authEncryption>
                <authentication>$auth</authentication>
                <encryption>AES</encryption>
                <useOneX>false</useOneX>
            </authEncryption>
            <sharedKey>
                <keyType>$keyType</keyType>
                <protected>false</protected>
                <keyMaterial>$passXml</keyMaterial>
            </sharedKey>
"@
    }

    return @"
<?xml version="1.0" encoding="UTF-8"?>
<WLANProfile xmlns="http://www.microsoft.com/networking/WLAN/profile/v1">
    <name>$ssidXml</name>
    <SSIDConfig>
        <SSID>
            <hex>$ssidHex</hex>
            <name>$ssidXml</name>
        </SSID>
        <nonBroadcast>$nonBc</nonBroadcast>
    </SSIDConfig>
    <connectionType>ESS</connectionType>
    <connectionMode>$mode</connectionMode>
    <MSM>
        <security>
$security
        </security>
    </MSM>
</WLANProfile>
"@
}

function Add-WifiProfile {
    param([hashtable]$Net)

    $ssid = [string]$Net.SSID
    $xml  = New-WlanProfileXml -Net $Net

    # Fichier temporaire au nom aléatoire, créé en exclusif (CreateNew) :
    # impossible à pré-créer ou à lire par un utilisateur standard, supprimé quoi qu'il arrive.
    $tmp = Join-Path $env:SystemRoot ('Temp\{0}.xml' -f [guid]::NewGuid().ToString('N'))
    try {
        $bytes = (New-Object System.Text.UTF8Encoding($false)).GetBytes($xml)
        $fs = [IO.File]::Open($tmp, [IO.FileMode]::CreateNew, [IO.FileAccess]::Write, [IO.FileShare]::None)
        try { $fs.Write($bytes, 0, $bytes.Length) } finally { $fs.Dispose() }

        $r = Invoke-Netsh -Arguments @('wlan', 'add', 'profile', "filename=$tmp", 'user=all')
        if ($r.ExitCode -ne 0) {
            throw "netsh a échoué (code $($r.ExitCode)) : $($r.Output)"
        }
        Write-Log INFO "Profil '$ssid' importé. netsh : $($r.Output)"
    }
    finally {
        if (Test-Path -LiteralPath $tmp) {
            Remove-Item -LiteralPath $tmp -Force -ErrorAction SilentlyContinue
            if (Test-Path -LiteralPath $tmp) {
                Write-Log WARN "Impossible de supprimer le fichier temporaire $tmp (contient une clé en clair)."
            }
        }
    }
}

function Set-WifiPriority {
    param([string[]]$Profiles, [object[]]$Adapters)
    foreach ($adapter in $Adapters) {
        $priority = 1
        foreach ($name in $Profiles) {
            $r = Invoke-Netsh -Arguments @('wlan', 'set', 'profileorder', "name=$name", "interface=$($adapter.Name)", "priority=$priority")
            if ($r.ExitCode -ne 0) {
                Write-Log WARN "Priorité $priority non appliquée pour '$name' sur '$($adapter.Name)' : $($r.Output)"
            }
            $priority++
        }
    }
}

# =====================================================================
#  PROGRAMME PRINCIPAL
# =====================================================================
function Invoke-Main {
    Write-Log INFO "===== $AppName v$AppVersion - $env:COMPUTERNAME - compte : $([Security.Principal.WindowsIdentity]::GetCurrent().Name) ====="

    if (-not (Test-IsAdmin)) {
        Write-Log ERROR 'Droits administrateur requis (le script doit tourner en script de démarrage ordinateur).'
        $script:ExitCode = 2
        return
    }
    if (-not (Wait-WlanService)) { return }

    $adapters = Get-WifiAdapters
    if ($adapters.Count -eq 0) {
        Write-Log INFO 'Aucune carte Wi-Fi active détectée : aucune action.'
        return
    }
    Write-Log INFO ("Carte(s) Wi-Fi : " + (($adapters | ForEach-Object { "$($_.Name) [$($_.InterfaceDescription)]" }) -join ', '))

    $seen     = @{}
    $added    = New-Object System.Collections.Generic.List[string]
    $failures = 0
    $index    = 0

    foreach ($net in $WifiNetworks) {
        $index++
        $label = "Réseau #$index"
        try {
            $err = Test-WifiConfig -Net $net
            if ($err) { throw $err }

            $ssid  = [string]$net.SSID
            $label = "Réseau #$index '$ssid'"
            if ($seen.ContainsKey($ssid)) { throw 'SSID en double dans la configuration.' }
            $seen[$ssid] = $true

            Add-WifiProfile -Net $net
            $added.Add($ssid)
        }
        catch {
            $failures++
            Write-Log ERROR "$label : $($_.Exception.Message)"
        }
    }

    if ($added.Count -gt 1) {
        Set-WifiPriority -Profiles $added.ToArray() -Adapters $adapters
    }

    $summary = "Bilan : $($added.Count) profil(s) importé(s), $failures échec(s) sur $($WifiNetworks.Count) réseau(x) configuré(s)."
    if ($failures -gt 0) {
        Write-Log WARN $summary
        $script:ExitCode = 1
    }
    else {
        Write-Log INFO $summary -ToEventLog
    }
}

try {
    Initialize-Log
    Invoke-Main
}
catch {
    Write-Log ERROR "Erreur bloquante : $($_.Exception.Message)"
    $script:ExitCode = 2
}
exit $script:ExitCode

<#
.SYNOPSIS
    Contrôle l'installation de SetWifi sur le poste (script, droits, profils, journal).
.NOTES
    À lancer dans une console PowerShell ouverte en tant qu'administrateur.
    Enregistrer en UTF-8 avec BOM. Ce script ne modifie rien sur le poste.
#>

$ScriptPath = 'C:\Windows\System32\GroupPolicy\Machine\Scripts\Startup\setWifi_v2.ps1'
$LogPath    = 'C:\Windows\Logs\SetWifi\SetWifi.log'

function Show-Result {
    param([string]$Label, [bool]$Ok, [string]$Detail = '')
    if ($Ok) { Write-Host "  [OK]   $Label" -ForegroundColor Green }
    else     { Write-Host "  [KO]   $Label" -ForegroundColor Red }
    if ($Detail) { Write-Host "         $Detail" -ForegroundColor Gray }
}

Write-Host "`n=== Vérification SetWifi - $env:COMPUTERNAME ===" -ForegroundColor Cyan

# 1. Présence et encodage du script
Write-Host "`n1. Script de démarrage" -ForegroundColor Cyan
$present = Test-Path -LiteralPath $ScriptPath
Show-Result 'Script présent dans le dossier de démarrage' $present $ScriptPath
if ($present) {
    $bytes = [IO.File]::ReadAllBytes($ScriptPath)
    $bom = $bytes.Length -ge 3 -and $bytes[0] -eq 0xEF -and $bytes[1] -eq 0xBB -and $bytes[2] -eq 0xBF
    Show-Result 'Encodage UTF-8 avec BOM' $bom
    $placeholder = Select-String -LiteralPath $ScriptPath -Pattern "SSID\s*=\s*'A_REMPLACER'" -Quiet
    Show-Result 'Aucune ligne d''exemple restante' (-not $placeholder)
}

# 2. Droits d'accès au script
Write-Host "`n2. Protection du script" -ForegroundColor Cyan
if ($present) {
    $acl = Get-Acl -LiteralPath $ScriptPath
    $allowed = @('S-1-5-18', 'S-1-5-32-544')   # SYSTEM, Administrateurs
    $others = @()
    foreach ($rule in $acl.Access) {
        try   { $sid = $rule.IdentityReference.Translate([Security.Principal.SecurityIdentifier]).Value }
        catch { $sid = $rule.IdentityReference.Value }
        if ($sid -notin $allowed) { $others += $rule.IdentityReference.Value }
    }
    Show-Result 'Héritage des droits désactivé' $acl.AreAccessRulesProtected
    Show-Result 'Accès réservé à SYSTEM et aux Administrateurs' ($others.Count -eq 0) `
        $(if ($others.Count) { 'Comptes en trop : ' + (($others | Sort-Object -Unique) -join ', ') })
}
else {
    Show-Result 'Contrôle impossible : script absent' $false
}

# 3. Profils Wi-Fi installés
Write-Host "`n3. Profils Wi-Fi installés" -ForegroundColor Cyan
netsh.exe wlan show profiles | ForEach-Object { if ($_.Trim()) { Write-Host "         $_" } }

# 4. Dernier bilan du journal
Write-Host "`n4. Dernier démarrage" -ForegroundColor Cyan
if (Test-Path -LiteralPath $LogPath) {
    $last = Select-String -LiteralPath $LogPath -Pattern 'Bilan' | Select-Object -Last 1
    if ($last) {
        Show-Result 'Dernier bilan sans échec' ($last.Line -match ' 0 échec') $last.Line
    }
    else {
        Show-Result 'Aucun bilan dans le journal' $false $LogPath
    }
}
else {
    Show-Result 'Journal absent : le script ne s''est pas encore exécuté' $false $LogPath
}

# 5. Derniers événements Windows
Write-Host "`n5. Derniers événements (journal Application, source SetWifi)" -ForegroundColor Cyan
$events = Get-WinEvent -FilterHashtable @{ LogName = 'Application'; ProviderName = 'SetWifi' } -MaxEvents 5 -ErrorAction SilentlyContinue
if ($events) {
    $events | ForEach-Object { Write-Host ("         {0:yyyy-MM-dd HH:mm}  [{1}]  {2}" -f $_.TimeCreated, $_.Id, ($_.Message -split "`n")[0]) }
}
else {
    Write-Host '         Aucun événement trouvé.' -ForegroundColor Gray
}
Write-Host ''