Resumen
Los problemas de inscripción se dividen en dos grupos, y necesitan respuestas diferentes.
La inscripción nunca terminó. El dispositivo está parcialmente inscrito: la gestión se inició pero nunca se completó, por lo que ninguna de tus políticas se aplica. Causas habituales:
- El empleado se detuvo a mitad de los pasos.
- El agente de Fleet se instaló de manera incompleta — esto sucede mayormente en macOS.
- El dispositivo se desconectó antes de que finalizara la primera sincronización.
- Alguien eliminó o bloqueó el agente o el perfil MDM.
La inscripción terminó y luego se rompió. El dispositivo estaba gestionado y ya no lo está. Consulta las dos secciones a continuación.
Lo que significan los estados
Estado |
Qué te dice |
|---|---|
Encendido |
Totalmente inscrito, el agente reporta normalmente |
Apagado |
No inscrito, o la gestión está inactiva |
Agente faltante ⚠️ |
El agente ha dejado de comunicarse con el servidor |
Encendido en otro MDM ⚠️ |
Un MDM diferente posee el dispositivo |
Listo para ZTD |
Registrado para cero toque, esperando el primer arranque |
Dos formas de detectar un dispositivo en problemas: su estado es uno de los estados de advertencia anteriores, o aparece como desconectado mientras un empleado está trabajando activamente en él.
Por qué el agente desaparece
El agente está instalado pero ha dejado de reportar. Cuatro familias de causas:
- Fue eliminado o dañado. Alguien lo desinstaló, un script lo hizo, o una actualización del sistema operativo corrompió la instalación.
- Está instalado pero no en funcionamiento. El servicio osqueryd se ha detenido, o el agente no puede iniciar debido a un problema de permisos.
- No puede alcanzar el servidor. El dispositivo está detrás de un proxy o firewall que bloquea la conexión, o ha estado fuera de la red el tiempo suficiente para perder su sesión.
- Su certificado ya no es válido. Un certificado de notificación push de Apple caducado es el más común.
Por qué el perfil MDM desaparece (solo Macs)
En macOS, el perfil en sí puede desaparecer:
- Un usuario administrador lo eliminó. macOS permite esto siempre que el perfil no esté bloqueado.
- Ya no es válido. Si el token de notificación push de Apple ha caducado o ha sido revocado, la Mac no puede confirmar su propio perfil.
- La gestión fue desactivada. Alguien ejecutó la acción "desactivar MDM" en el dispositivo.
Cómo usar
Solucionar cada caso
Estado |
Qué hacer |
|---|---|
Agente faltante |
Abre el panel del dispositivo y haz clic en el botón de estado para reinstalar el agente de forma remota. Si no sucede nada, pide al empleado que inicie sesión en su página de inscripción, seleccione su dispositivo y descargue el agente por sí mismo. |
Encendido en otro MDM |
Sigue el procedimiento de migración para el MDM que actualmente posee el dispositivo. No puedes tomarlo sin liberarlo allí primero. |
Apagado (desconectado) |
Pide al empleado que se inscriba nuevamente. |
Dale 30 minutos después de que el empleado actúe — esa es la ventana de sincronización, por lo que un dispositivo que acaba de ser reparado no se actualizará instantáneamente.
Deja de hacer esto manualmente
Los dispositivos que permanecen desconectados el tiempo suficiente son purgados, y perseguir cada uno individualmente no es escalable. Ve a Configuración > MDM, activa Auto-desinscripción, y activa la opción para reenviar automáticamente la invitación MDM a cualquier persona cuyo dispositivo haya sido purgado.
Consejos y Mejores Prácticas
- Considera "desconectado pero en uso" como la señal para investigar. Casi nunca es la red. Es un agente faltante.
- Activa las reinvitaciones automáticas antes de que tu flota crezca, no después. Convierte una persecución recurrente en algo que se resuelve por sí mismo.
- Revisa la fecha de caducidad del certificado de notificación push en tu calendario. Cuando caduca, las Macs de toda la flota comienzan a fallar al mismo tiempo, y el síntoma se parece a docenas de problemas no relacionados.
- Espera los 30 minutos completos antes de escalar. Muchos informes de "no funcionó" son solo la ventana de sincronización.
- Bloquea el perfil MDM en las Macs donde puedas. Un perfil desbloqueado está a un menú de ser eliminado por cualquiera con derechos de administrador.
Resolución de problemas y FAQ
Resolución de problemas
- La reinstalación remota no hace nada. El agente está demasiado dañado para recibir el comando. Envía al empleado a su página de inscripción para instalarlo manualmente en su lugar.
- El dispositivo reapareció y luego desapareció nuevamente. Revisa la red antes del dispositivo: una regla de proxy o firewall que bloquee al agente seguirá produciendo el mismo resultado después de cada reinstalación.
- Una Mac perdió su perfil y el empleado jura que no hizo nada. Revisa el certificado de notificación push. Si ha caducado, el perfil se volvió inválido por sí mismo y la solución está de tu lado, no del suyo.
- Un dispositivo está atascado en "Listo para ZTD". Cero toque aún no se ha ejecutado. El estado es correcto: el dispositivo está registrado y esperando su primer arranque.
FAQ
-
¿Cuánto tiempo debería tardar una solución en mostrarse?
Hasta 30 minutos. Ese es el período de sincronización.
-
¿Cuál es la diferencia entre "parcialmente inscrito" y "agente faltante"?
Parcialmente inscrito significa que la inscripción nunca terminó. Agente faltante significa que terminó y el agente ha dejado de reportar desde entonces.
-
¿Podemos tomar control de un dispositivo que está gestionado por otro MDM?
No directamente. Tiene que ser liberado del otro MDM primero, siguiendo el procedimiento de migración de ese producto.
-
¿Un dispositivo purgado pierde sus datos?
No. Purgar solo lo elimina de la gestión. El dispositivo y todo lo que hay en él permanecen intactos.