Connectez votre instance SentinelOne à Factorial IT et l'agent SentinelOne est déployé automatiquement sur les appareils macOS, Windows et Linux. Ce guide couvre également les exclusions, les mises à jour de l'agent, la désinstallation, le renouvellement de jeton et le passage à une autre console SentinelOne.

Fonctionnalité

Vue d'ensemble

Type de déploiement : automatique. Dès que l'intégration est connectée et le contrôle activé, l'agent est envoyé via MDM à chaque appareil ciblé. Personne n'installe quoi que ce soit manuellement, et les employés n'ont rien à faire.

Prérequis

• Factorial IT MDM
• Une licence SentinelOne, soit achetée via Factorial IT, soit déjà en votre possession

Besoin d'une instance SentinelOne ? Contactez-nous ou envoyez un e-mail à support@factorial.it.

Quelle configuration vous concerne

L'origine de votre instance SentinelOne change trois choses. Trouvez votre cas avant de commencer.

Connectez votre instance SentinelOne

Jusqu'à ce que l'intégration soit connectée, les cartes EDR - SentinelOne sont grises dans le catalogue de contrôle. Commencez donc par la connexion.

Instance fournie par Factorial IT

Nous la connectons pour vous. Pendant ce temps, SentinelOne affiche En cours de configuration dans la section Intégrations de MDM > Paramètres.

Votre propre instance

1. Allez dans MDM > Paramètres. Dans Intégrations, cliquez sur Ajouter une intégration, puis sur Connecter sur la carte SentinelOne.
2. La fenêtre Connecter SentinelOne demande trois valeurs :

• URL de SentinelOne : https://xxxxxxxxx.sentinelone.net
• ID de site : dans SentinelOne, allez à Politique & Paramètres > Sites, cliquez sur le site à connecter et copiez son ID de site.
• Jeton d'utilisateur de service : dans SentinelOne, allez à Politique & Paramètres > Utilisateurs de service > Nouvel utilisateur de service, limitez l'utilisateur à votre site, donnez-lui le rôle Admin et copiez le jeton. SentinelOne affiche le jeton une seule fois, lors de sa création, donc copiez-le avant de fermer ce dialogue.

3. Cliquez sur Connecter. Vous saurez que cela a fonctionné lorsque :

• SentinelOne apparaît dans le menu principal de Factorial IT comme un lien direct vers votre console.
• Les cartes EDR - SentinelOne peuvent être sélectionnées dans le catalogue de contrôle.

Comment utiliser : déployer SentinelOne dans votre flotte

Le déploiement passe par vos contrôles MDM.

1. Allez dans MDM > Contrôles > Ajouter un nouveau contrôle et choisissez la plateforme.
2. Activez la carte qui correspond à vos appareils. Chaque carte couvre une plateforme et une architecture :

3. Définissez la cible : tous les appareils, groupes d'appareils spécifiques ou une cible personnalisée. Vous n'avez pas besoin d'un groupe d'appareils par architecture. Une carte ne s'applique qu'aux appareils de sa propre plateforme et architecture, donc des groupes mixtes fonctionnent bien.
4. Confirmez. L'agent s'installe automatiquement sur chaque appareil couvert par le contrôle.

Profil système macOS

Sur macOS, l'agent a besoin d'un profil système qui accorde l'extension système, l'accès complet au disque, les notifications et le filtre réseau. Sans le profil, l'agent s'installe mais reste partiellement inactif, et macOS demande à l'employé d'approuver certaines actions.

• Instance fournie par Factorial IT : rien à faire. Le contrôle envoie le profil avec l'agent, donc il n'y a pas de .mobileconfig à créer ou à télécharger.
• Votre propre instance (BYO) : vous fournissez le profil. Créez-le à partir des charges utiles que SentinelOne publie pour votre version d'agent, puis ouvrez votre contrôle macOS dans MDM > Contrôles et téléchargez-le comme un fichier personnalisé. Cela fonctionne de la même manière que pour CrowdStrike Falcon.

Exclure l'agent Factorial IT de SentinelOne

SentinelOne peut bloquer, ralentir ou mettre en quarantaine l'agent Factorial IT. Lorsqu'il le fait, les appareils apparaissent comme Agent manquant ou hors ligne dans Factorial IT même s'ils sont utilisés (voir Résoudre les problèmes d'inscription).

Sur les instances fournies par Factorial IT, ces exclusions sont déjà sur la politique de SentinelOne. Vous n'avez besoin de cette section que pour votre propre instance (BYO), où vous les ajoutez pour macOS et Windows.

Dans votre console SentinelOne, ajoutez les chemins ci-dessous comme exclusions de Chemin. Limitez-les au site connecté à Factorial IT, activez Inclure les sous-dossiers et définissez le mode sur Interopérabilité.

Les agents Linux se trouvent sous les mêmes chemins /opt/orbit que macOS.

Mettez à jour l'agent

Factorial IT déploie l'agent mais n'a pas de paramètre pour sa version. Les versions des agents sont gérées dans la console SentinelOne, avec une politique de mise à niveau pour chaque plateforme.

1. Ouvrez les politiques de mise à niveau. Dans la console SentinelOne, définissez la portée sur le site connecté à Factorial IT. Dans la barre latérale, sous Configurer, cliquez sur Gestion des agents et ouvrez l'onglet Politique de mise à niveau.
2. Choisissez la plateforme. Sélectionnez Windows, macOS ou Linux. Répétez les étapes suivantes pour chaque plateforme à laquelle vous déployez.
3. Créez la politique. Si Hériter de la politique de mise à niveau est activé, désactivez-le d'abord ; sinon, le site conserve la politique héritée et la vôtre est ignorée. Ensuite, cliquez sur Nouvelle politique de mise à niveau et choisissez la version cible de l'agent.
4. Vérifiez le résultat. Dans Gestion des agents > Points de terminaison, chaque agent affiche la version cible une fois sa mise à niveau terminée.

La politique reste sur la version que vous avez choisie et ne suit pas les nouvelles versions. Lorsque SentinelOne publie une nouvelle version, modifiez la politique et changez la version cible.

Les appareils qui s'inscrivent plus tard reçoivent le package que Factorial IT a téléchargé lorsque vous avez d'abord activé le contrôle, qui était la dernière version généralement disponible à ce moment-là. Si ce package échoue à s'installer sur une nouvelle version d'OS, contactez notre équipe.

Notre équipe peut également configurer la politique pour vous : envoyez un e-mail à support@factorial.it.

Modifier ou supprimer le contrôle

Désactivez la carte dans les paramètres de contrôle. Cela arrête l'application sur les nouveaux appareils, mais l'agent reste sur les appareils où il est déjà en cours d'exécution.

Désinstaller l'agent d'un appareil

Anti-tampering bloque toute suppression non approuvée depuis la console. Si un employé exécute le programme de désinstallation, tout ce qu'il fait est de vous envoyer une demande de désinstallation à approuver ou à rejeter.

1. Obtenez la phrase de passe. Dans la console SentinelOne, allez dans Gestion des agents > Points de terminaison, ouvrez le point de terminaison et cliquez sur Actions > Actions de l'agent > Afficher la phrase de passe.
2. Désinstallez l'agent. Soit depuis la console (Actions > Désinstaller), soit depuis la ligne de commande avec des droits d'administrateur local :

macOS :

1. sudo sentinelctl unprotect --passphrase "phrase_de_passe"
   sudo sentinelctl uninstall --local

Linux : exécutez-le en tant que root, car sudo à lui seul n'est pas suffisant. Laissez de côté --unquarantine et les fichiers mis en quarantaine sont supprimés plutôt que restaurés.

1. /opt/sentinelone/bin/sentinelctl control uninstall --passphrase "phrase_de_passe" --unquarantine

Windows : utilisez le package téléchargé depuis la console, pas celui dans Program Files. Redémarrez l'appareil ensuite.

1. msiexec.exe /quiet /norestart /x Agent_version.msi UNINSTALL_KEY="phrase_de_passe"

Pas de phrase de passe ? Pour un agent qui ne s'est jamais connecté à une console, utilisez une chaîne vide. Pour un agent restant d'une console qui a été arrêtée, obtenez la phrase de passe de cette console si vous pouvez encore vous connecter. Sinon, sur macOS, démarrez l'appareil en mode de récupération et suivez la procédure de désinstallation de SentinelOne à partir de là. Sur Windows et Linux, demandez plutôt l'assistance de SentinelOne au lieu d'utiliser un script d'un forum.

Renouveler le Jeton d'utilisateur de service

Les jetons d'utilisateur de service de SentinelOne expirent ; leur durée de vie est choisie lors de la création de l'utilisateur de service. Lorsque le jeton expire, l'intégration cesse de se synchroniser et les statuts de protection dans Factorial IT deviennent obsolètes.

Créez un nouvel utilisateur de service dans Politique & Paramètres > Utilisateurs de service, puis demandez à notre équipe de remplacer le jeton dans Factorial IT. L'intégration SentinelOne connectée dans MDM > Paramètres n'a pas de champ pour le modifier.

Migrer vers une autre console SentinelOne

Pour déplacer des points de terminaison d'une console SentinelOne à une autre, mettez d'abord à jour les scripts d'installation, puis migrez les points de terminaison.

Un point de terminaison ne peut être déplacé que s'il est en ligne, n'a aucune menace ouverte et n'est pas en train d'effectuer une analyse complète du disque. Les points de terminaison hors ligne attendent jusqu'à ce qu'ils se reconnectent. Vous avez besoin de permissions au niveau Global ou Compte sur la console source. Si un partenaire fournit la console, ce niveau peut appartenir au partenaire plutôt qu'à vous.

Préparez d'abord le site de destination. Les politiques de SentinelOne ne peuvent pas être exportées, donc vous devez les reconstruire là-bas. Pour une migration complète de locataire, le support de SentinelOne peut copier la configuration pour vous.

1. Mettez à jour les scripts d'installation dans Fleet.
   1. Ouvrez votre instance Fleet.
   2. Ouvrez l'onglet Logiciel et recherchez Sentinel (SentinelOne, Agent Sentinel et similaires).
   3. Pour chaque package, cliquez sur Modifier, ouvrez Afficher les options avancées et remplacez l'ancien jeton de site par le nouveau dans le script d'installation.
2. Migrez les points de terminaison existants. Dans votre console SentinelOne, sélectionnez les points de terminaison, allez dans Actions > Actions de point de terminaison > Migrer les points de terminaison, entrez le nouveau jeton de site et confirmez.

Le jeton doit provenir d'un site sur la console de destination. Un jeton de la console source échoue sans aucun message d'erreur, et les points de terminaison restent là où ils étaient.

La migration ne cause aucun dommage : si un agent ne peut pas atteindre la nouvelle console dans quelques minutes, il reste enregistré sur l'ancienne.

1. Confirmez, puis nettoyez la console source. Suivez les progrès avec le filtre État de migration de la console sous Plus de filtres : N/A, En attente ou Migré. Le journal d'activité de la console source enregistre également l'URL de destination de chaque agent qui a été déplacé.

Les points de terminaison migrés restent dans la console source, grisés, et ne disparaissent pas d'eux-mêmes. Décommissionnez-les une fois que la console de destination les affiche comme actifs, ou raccourcissez la fenêtre de décommissionnement afin que les agents hors ligne soient supprimés automatiquement. D'ici là, les mêmes appareils comptent sur les deux consoles, donc convenez-en avec votre fournisseur avant de commencer.

1. Mettez à jour l'intégration Factorial IT. Demandez à notre équipe de modifier l'ID de site, l'URL et le jeton d'utilisateur de service de l'intégration vers la nouvelle console. L'intégration SentinelOne connectée dans MDM > Paramètres n'a pas de champs pour les modifier.

Plateformes non prises en charge

Si votre plateforme n'est pas dans les tableaux ci-dessus, vous pouvez toujours installer SentinelOne manuellement : téléchargez l'installateur depuis la console SentinelOne et déployez-le en tant que logiciel personnalisé.

Dépannage et FAQ

Dépannage

• Les cartes EDR - SentinelOne sont grises. L'intégration n'est pas encore connectée. Connectez-la dans MDM > Paramètres, ou attendez notre équipe si nous fournissons l'instance.
• Les appareils apparaissent comme Agent manquant ou hors ligne mais sont en cours d'utilisation. SentinelOne bloque probablement l'agent Factorial IT. Ajoutez les exclusions de chemin ci-dessus.
• macOS continue de demander des approbations à l'employé. Le profil système est manquant. Sur votre propre instance, téléchargez-le comme un fichier personnalisé dans votre contrôle macOS.
• Les statuts de protection ont cessé de se mettre à jour. Le jeton d'utilisateur de service a probablement expiré. Créez un nouvel utilisateur de service et demandez à notre équipe de remplacer le jeton.
• Les agents ne se mettent pas à jour. Vérifiez que Hériter de la politique de mise à niveau est désactivé pour le site et la plateforme. Sinon, la politique héritée s'applique au lieu de la vôtre.
• Un appareil nouvellement inscrit échoue à installer l'agent après une mise à jour d'OS. Les nouveaux appareils reçoivent le package téléchargé lorsque le contrôle a été activé pour la première fois. Contactez notre équipe.
• Les points de terminaison n'ont pas été déplacés après une migration. Vérifiez que le jeton appartient à un site sur la console de destination. Un jeton de console source échoue sans avertissement.

FAQ

1. Le fait de désactiver le contrôle supprime-t-il l'agent ?
   Non. Cela arrête l'application sur les nouveaux appareils, mais l'agent reste là où il est déjà installé.
   
2. Un employé peut-il désinstaller l'agent ?
   Non. Exécuter le programme de désinstallation envoie seulement une demande à approuver ou à rejeter.
   
3. Puis-je choisir la version de l'agent auprès de Factorial IT ?
   Non. Définissez une politique de mise à niveau par plateforme dans la console SentinelOne, ou demandez à notre équipe de le faire pour vous.
   
4. Puis-je changer le jeton d'utilisateur de service moi-même ?
   Non. L'intégration n'a pas de champ pour cela. Demandez à notre équipe de le remplacer.
   
5. Ai-je besoin de groupes d'appareils séparés pour les appareils Intel et Arm ?
   Non. Chaque carte ne s'applique qu'aux appareils de sa propre plateforme et architecture.