Un appareil qui apparaît hors ligne alors que quelqu'un l'utilise clairement a un problème d'inscription, pas de connectivité. Cet article explique ce que signifie chaque statut d'inscription, ce qui le cause et que faire à ce sujet.

Fonctionnalité

Vue d'ensemble

Les problèmes d'inscription se divisent en deux groupes, et ils nécessitent des réponses différentes.

L'inscription n'est jamais terminée. L'appareil est partiellement inscrit : la gestion a été commencée mais jamais complétée, donc aucune de vos politiques ne s'applique. Causes habituelles :

• L'employé s'est arrêté en cours de route.
• L'agent Fleet a été installé de manière incomplète — cela se produit principalement sur macOS.
• L'appareil est devenu hors ligne avant la fin de la première synchronisation.
• L'employé, ou un script, a supprimé ou bloqué l'agent ou le profil de gestion.

L'inscription est terminée puis a échoué. L'appareil était géré et ne l'est plus. Voir les deux sections ci-dessous.

Ce que signifient les statuts

Deux façons de repérer un appareil en difficulté : son statut est l'un des états d'avertissement ci-dessus, ou il apparaît hors ligne alors qu'un employé travaille activement dessus.

Pourquoi l'agent disparaît

L'agent est installé mais a cessé de signaler. Quatre familles de causes :

1. Il a été supprimé ou endommagé. Quelqu'un l'a désinstallé, un script l'a fait, ou une mise à jour du système d'exploitation a corrompu l'installation.
2. Il est installé mais ne fonctionne pas. Le service osqueryd a cessé, ou l'agent ne peut pas démarrer en raison d'un problème de permissions.
3. Il ne peut pas atteindre le serveur. L'appareil est derrière un proxy ou un pare-feu qui bloque la connexion, ou il a été hors réseau assez longtemps pour perdre sa session.
4. Son certificat n'est plus valide. Un certificat Apple Push Notification expiré est le plus courant.

Pourquoi le profil MDM disparaît (Mac uniquement)

Sur macOS, le profil lui-même peut disparaître :

• L'employé l'a supprimé. Sur macOS, toute personne ayant des droits administratifs sur la machine peut supprimer un profil qui n'est pas verrouillé.
• Il n'est plus valide. Si le jeton Apple Push Notification a expiré ou a été révoqué, le Mac ne peut pas confirmer son propre profil.
• La gestion a été désactivée. Quelqu'un a exécuté l'action "désactiver MDM" contre l'appareil.

Comment utiliser

Corriger chaque cas

Attendez 30 minutes après que l'employé ait agi — c'est la fenêtre de synchronisation, donc un appareil qui vient d'être réparé ne se mettra pas à jour instantanément.

Arrêtez de faire cela manuellement

Poursuivre chaque appareil hors ligne individuellement ne scale pas. Allez dans MDM > Paramètres et, sous Désinscription automatique, choisissez combien de temps un appareil peut rester hors ligne avant d'être désinscrit : 30, 60 ou 90 jours. Ensuite, activez Inviter l'employé à se réinscrire. Ensemble, ils gèrent les deux parties : l'appareil est désinscrit une fois le délai écoulé, et l'employé est invité à se réinscrire, sans que vous ayez à faire quoi que ce soit entre-temps.

Dépannage et FAQ

Dépannage

• La réinstallation à distance ne fait rien. L'agent est trop endommagé pour recevoir la commande. Envoyez l'employé sur sa page d'inscription pour l'installer manuellement à la place.
• L'appareil est réapparu puis a de nouveau disparu. Regardez le réseau avant l'appareil : une règle de proxy ou de pare-feu qui bloque l'agent continuera à produire le même résultat après chaque réinstallation.
• Un Mac a perdu son profil et l'employé jure qu'il n'a rien fait. Vérifiez le certificat de notification push. S'il a expiré, le profil est devenu invalide de lui-même et la solution est de votre côté, pas du leur.
• Un appareil est bloqué à "Prêt pour ZTD". Zero touch n'a pas encore été exécuté. Le statut est correct — l'appareil est enregistré et attend son premier démarrage.

FAQ

1. Combien de temps un correctif doit-il prendre pour se montrer ?
   Jusqu'à 30 minutes. C'est la période de synchronisation.
    
2. Quelle est la différence entre "partiellement inscrit" et "agent manquant" ?
   Partiellement inscrit signifie que l'inscription n'est jamais terminée. Agent manquant signifie qu'elle est terminée et que l'agent a depuis cessé de signaler.
    
3. Pouvons-nous prendre en charge un appareil géré par un autre MDM ?
   Pas directement. Il doit d'abord être libéré de l'autre MDM, en suivant la procédure de migration de ce produit.
    
4. Un appareil qui est désinscrit perd-il automatiquement ses données ?
   Non. La désinscription ne le retire que de la gestion. L'appareil et tout ce qu'il contient ne sont pas touchés.