Déploie les agents avec tags, entités et planification contrôlée

L’idée reçue

« Un tag est seulement une étiquette pratique pour filtrer les machines. »

Dans un flux d’inventaire, le tag peut participer à l’affectation d’une entité ou d’un lieu. Une erreur de tag peut donc devenir une erreur de visibilité et de gouvernance.

01Écris la matrice avant l’installation

tag,entity_code,location_code,environment
ORL-USERS,ORLEANS,ORL-F1,production
TOU-USERS,TOURS,TOU-F1,production
ORL-INFRA,ORLEANS,ORL-DC,production
LAB-GLPI,LAB,LAB-ROOM,lab

Un tag exprime une règle stable. Évite les valeurs dépendantes d’une personne, d’une date courte ou d’une campagne temporaire.

02Ordonne les règles d’affectation

1. LAB-GLPI  → entité LAB
2. ORL-INFRA → Orléans / salle technique
3. ORL-USERS → Orléans / étage 1
4. TOU-USERS → Tours / étage 1
5. sinon      → file de qualification

Le moteur de règles s’arrête sur la première correspondance. Les règles spécifiques doivent précéder les règles générales.

03Prépare un pilote représentatif

Vague 1
- 2 postes Windows Orléans
- 1 poste Windows Tours
- 1 serveur Linux de lab
- aucune généralisation automatique

Critères
- inventaire reçu
- bonne entité et bon lieu
- pas de doublon
- fréquence conforme
- logs exploitables
- désinstallation testée

Le pilote doit contenir assez de diversité pour révéler les défauts de règles.

04Contrôle la configuration

platform,server_url,tag,interval_minutes,mode,tls_verify,rollout
windows,https://glpi.lab.soria.invalid/,ORL-USERS,720,service,yes,pilot
linux,https://glpi.lab.soria.invalid/,ORL-INFRA,360,daemon,yes,pilot
macos,https://glpi.lab.soria.invalid/,TOU-USERS,720,daemon,yes,pilot

Le lab refuse HTTP, une URL contenant des credentials, un intervalle inférieur à 60 minutes ou la désactivation de la vérification TLS.

05Adapte les commandes au système

Exemple Windows à compléter avec le package vérifié et la documentation de la version utilisée :

msiexec /i GLPI-Agent-x64.msi /quiet \
  SERVER=https://glpi.lab.soria.invalid/ \
  TAG=ORL-USERS

Exemple Linux après installation contrôlée du paquet :

glpi-agent \
  --server https://glpi.lab.soria.invalid/ \
  --tag ORL-INFRA

Ne place jamais de secret dans la ligne de commande, le tag ou le nom de la cible.

06Gère la fréquence et le jitter

Mauvais scénario
09:00 — 500 agents démarrent simultanément
09:00 — CPU, PHP et base saturent
09:05 — retries amplifient la charge

Scénario contrôlé
- vagues progressives
- intervalles réalistes
- démarrages répartis
- capacité serveur mesurée
- seuil d'arrêt défini

La fréquence doit répondre au besoin métier, pas à la tentation d’obtenir des données « en temps réel ».

07Traite les agents silencieux

agent absent
→ vérifier service ou daemon
→ lire logs locaux
→ tester inventaire autonome
→ vérifier DNS, TLS et proxy
→ vérifier target et tag
→ consulter réception serveur
→ réinstaller seulement après diagnostic

08Valide la politique hors ligne

bash module2-glpi-assets-inventory.sh run "$lab"
cat "$lab/evidence/agent-policy-report.md"

Le rapport prouve la cohérence du plan. Il ne prouve pas qu’un agent réel a été installé ou qu’un serveur a reçu l’inventaire.

Mission

Prépare une vague pilote

Écris la matrice des tags, l’ordre des règles, les commandes par OS, les critères d’acceptation, le seuil d’arrêt, la procédure de désinstallation et le traitement d’un agent silencieux.

✓À retenir

Un déploiement agent fiable est progressif, observable et réversible. Le tag, la règle, la cible et la fréquence font partie du contrôle de sécurité et de qualité.