Vue d'ensemble
Les problèmes d'inscription se divisent en deux groupes, et ils nécessitent des réponses différentes.
L'inscription n'est jamais terminée. L'appareil est partiellement inscrit : la gestion a été commencée mais jamais terminée, donc aucune de vos politiques ne s'applique. Causes habituelles :
- L'employé a arrêté le processus en cours de route.
- L'agent Fleet a été installé de manière incomplète — cela se produit principalement sur macOS.
- L'appareil est passé hors ligne avant que la première synchronisation ne soit terminée.
- Quelqu'un a supprimé ou bloqué l'agent ou le profil MDM.
L'inscription est terminée puis a échoué. L'appareil était géré et ne l'est plus. Voir les deux sections ci-dessous.
Ce que signifient les statuts
Statut |
Ce que cela vous dit |
|---|---|
Actif |
Entièrement inscrit, agent rapportant normalement |
Inactif |
Non inscrit, ou gestion inactive |
Agent manquant ⚠️ |
L'agent a cessé de communiquer avec le serveur |
Actif dans un autre MDM ⚠️ |
Un autre MDM possède l'appareil |
Prêt pour ZTD |
Enregistré pour un démarrage sans intervention, en attente du premier démarrage |
Deux façons de repérer un appareil en difficulté : son statut est l'un des états d'avertissement ci-dessus, ou il apparaît comme hors ligne alors qu'un employé travaille activement dessus.
Pourquoi l'agent disparaît
L'agent est installé mais a cessé de rapporter. Quatre familles de causes :
- Il a été supprimé ou endommagé. Quelqu'un l'a désinstallé, un script l'a fait, ou une mise à jour du système d'exploitation a corrompu l'installation.
- Il est installé mais ne fonctionne pas. Le service osqueryd a cessé, ou l'agent ne peut pas démarrer en raison d'un problème de permissions.
- Il ne peut pas atteindre le serveur. L'appareil se trouve derrière un proxy ou un pare-feu qui bloque la connexion, ou il a été hors du réseau assez longtemps pour perdre sa session.
- Son certificat n'est plus valide. Un certificat de notification push Apple expiré est le plus courant.
Pourquoi le profil MDM disparaît (Macs uniquement)
Sur macOS, le profil lui-même peut disparaître :
- Un utilisateur admin l'a supprimé. macOS permet cela lorsque le profil n'est pas verrouillé.
- Il n'est plus valide. Si le token de notification push Apple a expiré ou a été révoqué, le Mac ne peut pas confirmer son propre profil.
- La gestion a été désactivée. Quelqu'un a exécuté l'action "désactiver MDM" sur l'appareil.
Comment utiliser
Résoudre chaque cas
Statut |
Que faire |
|---|---|
Agent manquant |
Ouvrez le panneau de l'appareil et cliquez sur le bouton de statut pour réinstaller l'agent à distance. Si rien ne se passe, demandez à l'employé de se connecter à sa page d'inscription, de sélectionner son appareil et de télécharger l'agent lui-même. |
Actif dans un autre MDM |
Suivez la procédure de migration pour le MDM qui possède actuellement l'appareil. Vous ne pouvez pas le prendre en charge sans le libérer d'abord là-bas. |
Inactif (hors ligne) |
Demandez à l'employé de s'inscrire à nouveau. |
Attendez 30 minutes après que l'employé ait agi — c'est la fenêtre de synchronisation, donc un appareil qui vient d'être réparé ne se mettra pas à jour instantanément.
Arrêtez de faire cela manuellement
Les appareils qui restent hors ligne suffisamment longtemps sont purgés, et poursuivre chacun individuellement ne fonctionne pas à grande échelle. Allez dans Paramètres > MDM, activez l'Auto-Désinscription, et activez l'option pour renvoyer l'invitation MDM automatiquement à quiconque dont l'appareil a été purgé.
Conseils et meilleures pratiques
- Considérez "hors ligne mais en cours d'utilisation" comme un signal à enquêter. Ce n'est presque jamais le réseau. C'est un agent manquant.
- Activez les réinvitations automatiques avant que votre flotte ne grandisse, pas après. Cela transforme une chasse récurrente en quelque chose qui se résout de lui-même.
- Vérifiez la date d'expiration du certificat de notification push dans votre calendrier. Lorsqu'il expire, les Macs de toute la flotte commencent à échouer en même temps, et le symptôme ressemble à des dizaines de problèmes sans rapport.
- Attendez les 30 minutes complètes avant d'escalader. Beaucoup de rapports "cela n'a pas fonctionné" ne sont que la fenêtre de synchronisation.
- Verrouillez le profil MDM sur les Macs où vous le pouvez. Un profil déverrouillé est à un menu d'être supprimé par quiconque ayant des droits d'administrateur.
Dépannage et FAQ
Dépannage
- La réinstallation à distance ne fonctionne pas. L'agent est trop endommagé pour recevoir la commande. Envoyez l'employé à sa page d'inscription pour l'installer manuellement à la place.
- L'appareil est réapparu puis a disparu à nouveau. Vérifiez le réseau avant l'appareil : une règle de proxy ou de pare-feu qui bloque l'agent continuera à produire le même résultat après chaque réinstallation.
- Un Mac a perdu son profil et l'employé jure qu'il n'a rien fait. Vérifiez le certificat de notification push. S'il a expiré, le profil est devenu invalide de lui-même et la solution est de votre côté, pas du leur.
- Un appareil est bloqué à "Prêt pour ZTD". Le démarrage sans intervention n'a pas encore été exécuté. Le statut est correct — l'appareil est enregistré et attend son premier démarrage.
FAQ
-
Combien de temps faut-il pour qu'une solution se manifeste ?
Jusqu'à 30 minutes. C'est la période de synchronisation.
-
Quelle est la différence entre "inscrit partiellement" et "agent manquant" ?
Inscrit partiellement signifie que l'inscription n'est jamais terminée. Agent manquant signifie que l'inscription est terminée et que l'agent a depuis cessé de rapporter.
-
Pouvons-nous prendre en charge un appareil géré par un autre MDM ?
Pas directement. Il doit d'abord être libéré de l'autre MDM, en suivant la procédure de migration de ce produit.
-
Un appareil purgé perd-il ses données ?
Non. La purge ne fait que le supprimer de la gestion. L'appareil et tout ce qu'il contient restent intacts.