Aquesta referència explica cada estat d'assumpte que pots trobar a la pàgina Compliment > Problemes de compliment: què està informant realment el dispositiu, les causes darrere d'això a macOS i Windows, i com resoldre-ho. Per triar quins estats generen problemes, consulta Configura les opcions d'assumpte de compliment; per al flux de triatge en si, consulta Triatge de la llista de problemes.

Les plataformes mòbils (iOS, iPadOS, Android) i Linux estan cobertes per un subconjunt d'aquestes regles — consulta Plataformes compatibles per veure què s'aplica on.

Com Factorial IT decideix que un dispositiu no és compliant

• Cada vegada que un dispositiu sincronitza, Factorial IT torna a executar cada regla de compliment i calcula un estat per regla — no hi ha un escaneig separat.
• Un dispositiu genera un problema només si el seu estat actual és un que has configurat per generar un problema a Compliment > Opcions d'assumpte de compliment. Un estat configurat a Apagat mai genera res.
• Els problemes es resolen automàticament a la següent sincronització un cop l'estat millora. No hi ha reconeixement o tancament manual.

Consulta Visió general del compliment per al model d'evaluació complet.

Descarta dades obsoletes primer

Un estat de compliment és una instantània de la última sincronització del dispositiu. Abans de tractar un problema com una violació real, comprova si les dades són obsoletes:

Estat d'inscripció

Una regla global que s'aplica a cada dispositiu gestionat. Comprova si el dispositiu està completament inscrit i si l'agent MDM encara es comunica amb el servidor.

Per què els dispositius es desplacen fora de la inscripció

Causes que s'apliquen a ambdues plataformes:

• L'empleat no va completar tots els passos d'inscripció, o no va romandre connectat prou temps per acabar la sincronització.
• L'agent va ser desinstal·lat manualment, o una actualització del sistema o un error de configuració va corrompre la instal·lació.
• El servei osqueryd utilitzat per l'agent s'ha aturat, o l'agent no pot iniciar-se a causa de problemes de permisos.
• El dispositiu es troba en una xarxa que bloqueja l'accés al servidor MDM — un proxy o tallafoc talla la comunicació. Consulta els requisits de xarxa.

macOS

• Un usuari administrador pot eliminar un perfil MDM desbloquejat de la Configuració del sistema. El dispositiu llavors informa MDM_APAGAT encara que l'agent pugui seguir responent.
• Un token APNs caducat o revocat impedeix que el dispositiu validi el seu perfil — el perfil esdevé invàlid sense que ningú toqui el dispositiu.
• Una acció de desactivar mdm executada des del costat del servidor MDM elimina la gestió.
• La instal·lació de l'agent Factorial IT és incompleta — la causa més comuna d'inscripció parcial a macOS.

Windows

• El dispositiu encara està inscrit en un MDM anterior i informa MDM_EN_UN_ALTRE_MDM — migra'l fora de l'antic MDM abans de tornar a inscriure'l.
• Un proxy o tallafoc corporatiu que bloqueja la connexió del servidor deixa un agent instal·lat silenciós (AGENT_MISSING).

Resolució de problemes d'inscripció

• AGENT_MISSING — al panell del dispositiu, fes clic al botó d'estat del dispositiu per activar remotament la instal·lació de l'agent. Si això falla, demana a l'empleat que obri la seva pàgina d'inscripció de Factorial IT, faci clic al seu dispositiu assignat i descarregui l'agent.
• MDM_EN_UN ALTRE_MDM — migra el dispositiu des del MDM anterior primer.
• MDM_APAGAT — demana a l'empleat que torni a inscriure's. Pots automatitzar això: a MDM > Configuracions, estableix Desinscripció automàtica a un retard fora de línia i activa Convida l'empleat a tornar a inscriure's.

Permet fins a 30 minuts perquè l'estat s'actualitzi després de la solució. Detalls complets: Resolució de problemes d'inscripció.

Estat en línia

Una regla global que rastreja si el dispositiu es connecta amb el servidor.

Per què els dispositius es van fora de línia

• El dispositiu està apagat o adormit — un empleat de baixa, o un de recanvi guardat en un calaix.
• La xarxa bloqueja la connexió de l'agent amb el servidor (VPN, proxy, regles de tallafoc). Consulta els requisits de xarxa.
• L'agent ja no s'està executant. Un dispositiu que sembla fora de línia mentre és activament utilitzat per un empleat indica típicament un agent desaparegut o un problema de xarxa, no un dispositiu realment fora de línia — comprova el problema d'estat d'inscripció per al mateix dispositiu.

Resolució de problemes en línia

Confirma amb l'empleat si el dispositiu està en ús. Si ho està, tracta-ho com un cas de AGENT_MISSING (veure més amunt). Si el soroll prové de buits curts, genera problemes només a Fora de línia 7+ dies.

Suport de plataformes

Una regla global que comprova el sistema operatiu del dispositiu contra la línia base que Factorial IT suporta com a font de senyal MDM. Un dispositiu per sota d'aquesta línia base no pot inscriure's de manera fiable, informar telemetria o respectar polítiques — aquest problema és la teva llista d'actualització.

COMPLEIX_REQUISITS és l'estat compliant. La regla roman en silenci fins que el dispositiu hagi informat la seva informació del sistema operatiu, així que un dispositiu recentment inscrit mai es marca com desconegut.

Resolució de problemes de suport de plataformes

• PER_SOTA_DE_LA_VERSIÓ_MÍNIMA — actualitza el sistema operatiu. Les línies base actuals per plataforma es troben a Plataformes compatibles.
• EDICIÓ_SOS_NO_SUPORTADA — actualitza l'edició, no només la versió: consulta les limitacions de Windows Home i Actualitza a Windows 11.

Encriptació

Comprova l'encriptació de disc complet: FileVault a macOS, BitLocker a Windows. L'encriptació no està activada per defecte — comença quan habilites el control de Encriptació de disc, que s'aplica globalment als dispositius inscrits un cop creat.

ENCRIPTAT és l'estat compliant. Els dispositius iOS i iPadOS sempre informen ENCRIPTAT — el seu emmagatzematge està encriptat per hardware per disseny. Un dispositiu Windows Home no genera cap estat d'encriptació: no pot executar BitLocker i apareix sota el suport de plataformes com EDICIÓ_SOS_NO_SUPORTADA en el seu lloc.

macOS

• FileVault s'activa un cop el control d'Encriptació de disc s'adreça al dispositiu, però l'encriptació només entra en vigor després del següent reinici. Un Mac que mai reinicia es manté NO_ENCRIPTAT — demana a l'empleat que reiniciï.
• La clau de recuperació es guarda dins de les 24 hores després d'aquest reinici. Un Mac recentment encriptat que mostra CLAU_DE_RECUPERACIÓ_MISSING en aquesta finestra es resol sol.
• Un Mac encriptat abans de la inscripció té una clau que Factorial IT mai va veure — l'escrow no és retroactiu. L'empleat ha d'introduir la seva contrasenya quan se li demani perquè es pugui generar i escrowar una nova clau (ACCIONS_REQUERIDES).

Windows

• BitLocker comença a encriptar tan aviat com el control arriba al dispositiu, sense necessitat de reinici, i la clau es guarda tan aviat com l'encriptació s'activa. Un dispositiu Windows que es queda en NO_ENCRIPTAT normalment té un bloqueig, no un retard.
• BitLocker necessita un TPM funcional. Un TPM desaparegut o deshabilitat per firmware fa que l'encriptació no pugui començar.

Detalls del control: Encriptació de disc.

Actualització del sistema operatiu

Comprova que els dispositius instal·lin les actualitzacions del sistema operatiu requerides abans de la data límit que imposes.

ACTUALITZAT és l'estat compliant. Entre el llançament d'una actualització i la seva data límit, el dispositiu es manté compliant — NO_ACTUALITZAT només s'activa un cop ha passat la data límit. Un dispositiu el sistema operatiu del qual és massa antic per a Factorial IT mateix és un problema de suport de plataformes, no un d'Actualització del sistema operatiu.

Per què els dispositius es queden enrere en les actualitzacions

• La data límit compta a partir de la data de disponibilitat de l'actualització, no des de quan vas configurar la política. Habilitar la política en una flota que executa versions més antigues marca immediatament aquells dispositius — espera una onada de problemes el primer dia.
• Espai de disc baix bloqueja l'actualització a cada plataforma, i cap d'elles allibera espai automàticament. A macOS 14+ l'empleat veu una notificació del sistema; a macOS 13 i anteriors, la finestra Nudge continua apareixent mentre la descàrrega falla; a Windows l'empleat se li informa que l'actualització ha fallat. Un administrador pot necessitar intervenir.
• El dispositiu estava apagat quan va passar la data límit. A macOS 14+ l'actualització es programa per 1 hora després que torni a encendre; a Windows l'empleat obté el període de gràcia configurat abans del reinici automàtic.
• L'empleat continua ajornant dins de la finestra permesa — la pressió augmenta a mesura que s'apropa la data límit (notificacions horàries 24 hores abans, més freqüents en l'hora final).

Resolució de problemes d'actualització

Demana a l'empleat que alliberi espai de disc si aquest és el bloqueig, després deixa que el flux d'aplicació s'executi — s'escalfa per si mateix. Detalls i l'horari exacte de notificació per plataforma: Aplicar la versió mínima del sistema operatiu.

Protecció de punts finals (SentinelOne, ThreatDown)

Disponible un cop la integració corresponent estigui connectada. Comprova que l'agent de protecció de punts finals estigui instal·lat i informant.

ACTIU és l'estat compliant per a ambdues eines.

Per què els dispositius apareixen com a no protegits

• El control acaba de ser habilitat — l'agent s'instal·la a la següent sincronització del dispositiu.
• L'agent va ser desinstal·lat localment o no s'està executant.
• La integració mateixa està obsoleta. Els tokens d'usuari del servei SentinelOne caduquen; un cop el token caduca, la sincronització s'atura i els estatus de protecció es tornaran obsolets a nivell de flota. Crea un nou token i contacta amb el nostre equip per substituir-lo. Consulta Renovar el token d'usuari del servei.
• El dispositiu està fora de línia, així que el seu veritable estat de protecció és desconegut.

Configuració i remediació: SentinelOne, ThreatDown.

Accounts d'administrador (Gestió d'usuari administrador, Rotació de contrasenya d'administrador)

Comprova que el compte d'administrador local gestionat existeixi, tingui els privilegis esperats i rotaci la seva contrasenya segons el previst.

Per què les accions del compte d'administrador es bloquegen

• CREACIO_PENDENT en un dispositiu fora de línia es resol un cop sincronitza.
• A macOS, la despromoció espera fins que el Factorial IT-gestionat compte d'administrador tingui un SecureToken — el token del qual depèn FileVault. Factorial IT deliberadament no despromou ningú abans d'això, així que el dispositiu no es queda mai sense un administrador que tingui un token, i DEMOCIÓ_PENDENT persisteix (el dispositiu registra l'esdeveniment ADMIN_DEMOTION_BLOCKED_SECURE_TOKEN_NOT_GRANTED). L'administrador gestionat rep el seu token al seu primer inici de sessió al dispositiu — fes que algú iniciï sessió en aquest compte una vegada, o atorga el token manualment. Consulta les regles de SecureToken.
• El tauler de control pot trigar fins a 24 hores a actualitzar l'estat del compte local a la pestanya Usuaris del dispositiu — verifica al dispositiu abans de concloure un fracàs.

Quan el nom d'usuari ja existeix al dispositiu i Factorial IT no va crear el compte, Gestió d'usuari administrador ho reporta com a creat (ADMIN_ACCOUNT_PRE_EXISTING). Factorial IT no manté la seva contrasenya fins que un control de rotació de contrasenya d'administrador la substitueix.

La regla de Rotació de contrasenya d'administrador informa els seus propis estats: PENDENT, ÈXIT, ERROR. ÈXIT és compliant; PENDENT es neteja un cop el dispositiu aplica la rotació, així que ERROR és l'estat que val la pena generar un problema.

Un ERROR sense un estat addicional significa que la rotació està endarrerida.

Detalls del control: Gestió d'administradors, Rotació de contrasenya d'administrador.

Bloqueig d'iCloud (Bloqueig d'activació)

Només macOS — El bloqueig d'activació també existeix a iOS i iPadOS, però aquesta regla de compliment només avalua Macs. Comprova que quan el bloqueig d'activació està activat, Factorial IT té el codi de bypass, de manera que el dispositiu es pugui recuperar després d'un esborrat sense el compte d'Apple de l'empleat.

ACTIVAT (bloqueig activat, codi escrowat) i DESACTIVAT (bloqueig desactivat) són ambdós compliant. La regla no produeix cap estat mentre el dispositiu no estigui completament inscrit o el seu estat de bloqueig encara sigui desconegut.

Per què falta un codi de bypass

L'escrow passa en el moment que s'activa el bloqueig d'activació — no és retroactiu. Tots aquests han de ser veritats perquè el codi s'escrowi:

• El dispositiu està supervisat a través de MDM.
• El dispositiu va ser inscrit abans que s'activés el bloqueig d'activació. Si l'empleat va activar Troba el meu abans de la inscripció, no es pot recuperar el codi — el camí de recuperació únic són les seves credencials del compte d'Apple.
• El dispositiu és propietat de l'empresa (els dispositius BYOD no són elegibles).
• El perfil MDM està instal·lat a nivell de sistema (la inscripció aprovada per l'usuari sense Apple Business no escrowa els codis de manera fiable).

Anàlisi i remediació escenari per escenari: Escrow del codi de bypass del bloqueig d'activació.

Recuperació OS

Només macOS. Comprova que la configuració de protecció recoveryOS s'apliqui. Només es valoren els Macs amb Apple Silicon — els Macs Intel no poden suportar la protecció recoveryOS i no produeixen cap estat en absolut.

PROTEGIT és l'estat compliant. L'aplicació completa requereix que el dispositiu estigui inscrit amb el nivell de supervisió adequat — un Mac no supervisat és la primera cosa a comprovar en FALLIDA. Detalls del control: protecció recoveryOS.

Per què falla la protecció recoveryOS

A més de la supervisió, dues causes deixen un Mac en FALLIDA:

• La opció de Contrasenya de bloqueig de recuperació de la flota està activada. La flota es nega llavors al comandament de Factorial IT i estableix la seva pròpia contrasenya a Macs recentment inscrits.
• El Mac ja té una contrasenya de bloqueig de recuperació, establerta per una altra eina o un altre MDM. El Mac es nega a acceptar la contrasenya de Factorial IT mentre aquesta estigui vigent.

Què fer per a cada causa: Solucionar la protecció recoveryOS.

Controls entregats per perfil

Tallafoc, Política de contrasenya, Wi-Fi, Bloqueig USB, Bloqueig d'aplicacions, Captura de pantalla, Desactivar AirDrop, Bloquejar pestanya de perfils, Google Chrome, Nomenclatura de dispositius, Fitxer de configuració personalitzat, Web Clip, AirPrint, Actualització de programari (macOS), i els controls SSO (Entra SSO, Okta SSO, Factorial IT SSO) funcionen de la mateixa manera: Factorial IT lliura una configuració al dispositiu, i el dispositiu informa de tornada. Compartixen els mateixos estats de lliurament:

APLICAT és l'estat compliant.

Per què falla l'aplicació d'una configuració

macOS

• Un usuari administrador va eliminar el perfil MDM que porta la configuració (a menys que Bloquejar pestanya de perfils ho impedeixi).
• Problemes amb APNs impedeixen que el dispositiu rebi o validi perfils — comprova el problema d'estat d'inscripció per al mateix dispositiu.
• El control s'adreça a una capacitat que el dispositiu no té: els controls SSO de plataforma requereixen versions recents de macOS (el registre de Mac amb Factorial IT necessita macOS 27 o posterior), i l'empleat ha de completar el missatge de registre del proveïdor d'identitat en la seva sessió.

Windows

• Windows Home / Familiar només aplica parcialment polítiques de seguretat — diverses configuracions requereixen Pro, Enterprise o Educació, i fallen sense un error explícit a Home. Consulta les limitacions de Windows Home.
• Una configuració conflictiu d'un MDM anterior o una política de grup local sobreescriu el valor lliurat.

PENDENT que persisteix normalment significa que el dispositiu està fora de línia — soluciona la connectivitat primer. Per a ERROR, obre el calaix del dispositiu i salta al control MDM relacionat per verificar la seva configuració. Després torna a enviar el perfil a aquell dispositiu: a la secció Controls MDM del calaix, fes clic a Reenviar perfil a la fila del control. El dispositiu instal·la el perfil a la seva pròxima connexió. Un iPhone o iPad l'instal·la un cop desbloquejat.

El tauler de control rebutja un reenviament quan cap perfil de configuració aplica el control, quan el perfil és una declaració, quan no està assignat a aquest dispositiu, o quan encara s'està lliurant. En aquest últim cas, espera que el dispositiu es connecti.

Accés remot (RustDesk)

A diferència dels controls entregats per perfil, la regla d'Accés remot rastreja una instal·lació de programari, no un perfil de configuració.

INSTAL·LAT és l'estat compliant. Un PENDENT persistent normalment significa que el dispositiu està fora de línia o que la instal·lació encara està en cua — comprova l'estat d'instal·lació de programari des del panell del dispositiu, després deixa que la següent sincronització esborrat el problema.

Resolució de qualsevol problema: el bucle general

1. Obre el calaix del dispositiu. Fes clic a la fila del problema a Compliment > Problemes de compliment. Revisa l'estat complet del dispositiu a través de cada regla — diversos problemes en un mateix dispositiu sovint comparteixen una sola causa arrel (fora de línia, agent desaparegut, perfil eliminat).
2. Separar obsolet de real. Comprova quan va sincronitzar per última vegada el dispositiu. Si ha estat fora de línia, resol la connectivitat abans de res més.
3. Soluciona la causa arrel. Utilitza les seccions anteriors. Les accions de remediació (empeny perfil, bloquejar, esborrar) estan disponibles des del calaix del dispositiu — consulta Gestiona els teus dispositius.
4. Deixa que el problema es resolgui sol. Els problemes es resolen automàticament a la següent sincronització del dispositiu un cop l'estat millora. Si un problema no hauria d'haver-se generat mai, configura aquest estat a Apagat a Compliment > Opcions d'assumpte de compliment en canvi.

Permisos