Vue d'ensemble
Les problèmes d'inscription se divisent en deux groupes, et ils nécessitent des réponses différentes.
L'inscription n'a jamais été terminée. L'appareil est partiellement inscrit : la gestion a été commencée mais jamais complétée, donc aucune de vos politiques ne s'applique. Causes habituelles :
- L'employé a arrêté en cours de route.
- L'agent Fleet a été installé de manière incomplète — cela se produit principalement sur macOS.
- L'appareil est devenu hors ligne avant que la première synchronisation ne soit terminée.
- L'employé, ou un script, a supprimé ou bloqué l'agent ou le profil de gestion.
L'inscription a été terminée puis a échoué. L'appareil était géré et ne l'est plus. Consultez les deux sections ci-dessous.
Ce que signifient les statuts
Statut |
Ce que cela vous dit |
|---|---|
Activé |
Entièrement inscrit, agent rapportant normalement |
Désactivé |
Pas inscrit, ou gestion inactive |
Agent manquant ⚠️ |
L'agent a cessé de communiquer avec le serveur |
Activé dans un autre MDM ⚠️ |
Un MDM différent possède l'appareil |
Prêt pour ZTD |
Enregistré pour zéro touch, en attente du premier démarrage |
Deux façons de repérer un appareil en difficulté : son statut est l'un des états d'avertissement ci-dessus, ou il est affiché comme hors ligne alors qu'un employé travaille activement dessus.
Pourquoi l'agent disparaît
L'agent est installé mais a cessé de rapporter. Quatre familles de causes :
- Il a été supprimé ou endommagé. Quelqu'un l'a désinstallé, un script l'a fait, ou une mise à jour du système d'exploitation a corrompu l'installation.
- Il est installé mais ne fonctionne pas. Le service osqueryd a cessé, ou l'agent ne peut pas démarrer en raison d'un problème de permissions.
- Il ne peut pas atteindre le serveur. L'appareil se trouve derrière un proxy ou un pare-feu qui bloque la connexion, ou il a été hors réseau assez longtemps pour perdre sa session.
- Son certificat n'est plus valide. Un certificat Apple Push Notification expiré est le plus courant.
Pourquoi le profil MDM disparaît (Macs uniquement)
Sur macOS, le profil lui-même peut disparaître :
- Un utilisateur admin l'a supprimé. macOS permet cela chaque fois que le profil n'est pas verrouillé.
- Il n'est plus valide. Si le jeton Apple Push Notification a expiré ou a été révoqué, le Mac ne peut pas confirmer son propre profil.
- La gestion a été désactivée. Quelqu'un a exécuté l'action "désactiver MDM" sur l'appareil.
Comment utiliser
Corriger chaque cas
Statut |
Que faire |
|---|---|
Agent manquant |
Ouvrez le panneau de l'appareil et cliquez sur le bouton de statut pour réinstaller l'agent à distance. Si rien ne se passe, demandez à l'employé de se connecter à sa page d'inscription, de sélectionner son appareil et de télécharger l'agent lui-même. |
Activé dans un autre MDM |
Suivez la procédure de migration pour le MDM qui possède actuellement l'appareil. Vous ne pouvez pas le prendre en charge sans le libérer d'abord. |
Désactivé (hors ligne) |
Demandez à l'employé de s'inscrire à nouveau. |
Attendez 30 minutes après que l'employé a agi — c'est la fenêtre de synchronisation, donc un appareil qui vient d'être réparé ne se mettra pas à jour instantanément.
Arrêtez de le faire manuellement
Les appareils qui restent hors ligne assez longtemps sont purgés, et poursuivre chacun individuellement n'est pas scalable. Allez dans MDM > Paramètres et activez Activer le désinscription automatique et envoyer des invitations MDM. One configuration fait maintenant les deux parties : elle désinscrit l'appareil purgé et invite l'employé à s'inscrire à nouveau, sans rien à faire entre les deux.
Conseils et Meilleures Pratiques
- Traitez "hors ligne mais en cours d'utilisation" comme le signal pour enquêter. Ce n'est presque jamais le réseau. C'est un agent manquant.
- Activez les réinvitations automatiques avant que votre flotte ne grandisse, pas après. Cela transforme une chasse récurrente en quelque chose qui se résout de lui-même.
- Vérifiez la date d'expiration du certificat de notification push dans votre calendrier. Lorsqu'il expire, les Macs de toute la flotte commencent à échouer en même temps, et le symptôme ressemble à des dizaines de problèmes non liés.
- Attendez les 30 minutes complètes avant d'escalader. Beaucoup de rapports "cela n'a pas fonctionné" ne sont que la fenêtre de synchronisation.
- Verrouillez le profil MDM sur les Macs où vous le pouvez. Un profil déverrouillé est à un menu d'être supprimé par quiconque ayant des droits admin.
Dépannage et FAQ
Dépannage
- La réinstallation à distance ne fait rien. L'agent est trop endommagé pour recevoir la commande. Envoyez l'employé sur sa page d'inscription pour l'installer manuellement à la place.
- L'appareil est réapparu puis a de nouveau disparu. Regardez le réseau avant l'appareil : une règle de proxy ou de pare-feu qui bloque l'agent continuera à produire le même résultat après chaque réinstallation.
- Un Mac a perdu son profil et l'employé jure qu'il n'a rien fait. Vérifiez le certificat de notification push. S'il a expiré, le profil est devenu invalide de lui-même et la solution est de votre côté, pas du leur.
- Un appareil est bloqué sur "Prêt pour ZTD". Zero touch n'a pas encore été exécuté. Le statut est correct — l'appareil est enregistré et attend son premier démarrage.
FAQ
-
Combien de temps devrait prendre une solution pour se manifester ?
Jusqu'à 30 minutes. C'est la période de synchronisation.
-
Quelle est la différence entre "partiellement inscrit" et "agent manquant" ?
Partiellement inscrit signifie que l'inscription n'a jamais été terminée. Agent manquant signifie que cela a été terminé et que l'agent a depuis cessé de rapporter.
-
Pouvons-nous prendre en charge un appareil géré par un autre MDM ?
Pas directement. Il doit d'abord être libéré de l'autre MDM, en suivant la procédure de migration de ce produit.
-
Un appareil purgé perd-il ses données ?
Non. La purge ne fait que le retirer de la gestion. L'appareil et tout ce qu'il contient sont intacts.