Un dispositivo que aparece como offline mientras alguien lo está utilizando claramente tiene un problema de inscripción, no de conectividad. Este artículo explica qué significa cada estado de inscripción, qué lo causa y qué hacer al respecto.

Funcionalidad

Descripción general

Los problemas de inscripción se dividen en dos grupos, y necesitan respuestas diferentes.

La inscripción nunca finalizó. El dispositivo está parcialmente inscrito: la gestión se inició pero nunca se completó, por lo que ninguna de tus políticas se aplica. Causas habituales:

• El empleado se detuvo a mitad de los pasos.
• El agente de Flota se instaló incompletamente — esto sucede principalmente en macOS.
• El dispositivo se desconectó antes de que finalizara la primera sincronización.
• El empleado, o un script, eliminó o bloqueó el agente o el perfil de gestión.

La inscripción finalizó y luego se rompió. El dispositivo fue gestionado y ya no lo es. Consulta las dos secciones a continuación.

Qué significan los estados

Dos formas de detectar un dispositivo en problemas: su estado es uno de los estados de advertencia anteriores, o aparece como offline mientras un empleado está trabajando activamente en él.

Por qué falta el agente

El agente está instalado pero ha dejado de reportar. Cuatro familias de causas:

1. Fue eliminado o dañado. Alguien lo desinstaló, un script lo hizo, o una actualización del sistema operativo corrompió la instalación.
2. Está instalado pero no en funcionamiento. El servicio osqueryd se detuvo, o el agente no puede iniciarse debido a un problema de permisos.
3. No puede alcanzar el servidor. El dispositivo está detrás de un proxy o firewall que bloquea la conexión, o ha estado fuera de la red el tiempo suficiente para perder su sesión.
4. Su certificado ya no es válido. Un certificado de notificación push de Apple expirado es el más común.

Por qué falta el perfil MDM (solo Macs)

En macOS el perfil en sí puede desaparecer:

• El empleado lo eliminó. En macOS, cualquier persona con derechos de administrador en la máquina puede eliminar un perfil que no esté bloqueado.
• Ya no es válido. Si el token de notificación push de Apple ha expirado o ha sido revocado, la Mac no puede confirmar su propio perfil.
• La gestión fue desactivada. Alguien ejecutó la acción "desactivar MDM" contra el dispositivo.

Cómo usar

Solucionar cada caso

Déjalo 30 minutos después de que el empleado actúe — esa es la ventana de sincronización, así que un dispositivo que acaba de ser reparado no se actualizará instantáneamente.

Deja de hacer esto manualmente

Perseguir cada dispositivo offline individualmente no escala. Ve a MDM > Configuración y, bajo Desinscripción automática, elige cuánto tiempo puede estar offline un dispositivo antes de ser desinscrito: 30, 60 o 90 días. Luego activa Invitar al empleado a re-inscribirse. Juntos manejan ambas partes: el dispositivo es desinscrito una vez que pasa el retraso, y el empleado es invitado a inscribirse nuevamente, sin que tú tengas que hacer nada en el medio.

Solución de problemas y FAQ

Solución de problemas

• La reinstalación remota no hace nada. El agente está demasiado dañado para recibir el comando. Envía al empleado a su página de inscripción para instalarlo manualmente en su lugar.
• El dispositivo reapareció y luego desapareció nuevamente. Mira la red antes del dispositivo: una regla de proxy o firewall que bloquea el agente seguirá produciendo el mismo resultado después de cada reinstalación.
• Una Mac perdió su perfil y el empleado jura que no hizo nada. Revisa el certificado de notificación push. Si ha expirado, el perfil se volvió inválido por sí mismo y la solución está de tu lado, no del suyo.
• Un dispositivo está atascado en "Listo para ZTD". Zero touch aún no se ha ejecutado. El estado es correcto: el dispositivo está registrado y esperando su primer arranque.

FAQ

1. ¿Cuánto tiempo debería tomar que se muestre una solución?
   Hasta 30 minutos. Ese es el período de sincronización.
    
2. ¿Cuál es la diferencia entre "parcialmente inscrito" y "agente faltante"?
   Parcialmente inscrito significa que la inscripción nunca finalizó. Agente faltante significa que finalizó y el agente ha dejado de reportar desde entonces.
    
3. ¿Podemos tomar el control de un dispositivo que está gestionado por otro MDM?
   No directamente. Tiene que ser liberado del otro MDM primero, siguiendo el procedimiento de migración de ese producto.
    
4. ¿Un dispositivo que es desinscrito automáticamente pierde sus datos?
   No. La desinscripción solo lo elimina de la gestión. El dispositivo y todo lo que contiene permanecen intactos.