[RESOLU] Accès page web hash pour gpo

[admmelyne]

Bonjour,

J'ai installé wapt en mode cspn-toe. Je n'ai pas accès à la page web du serveur (erreur 401) - mais de ce que j'ai pu lire sur le forum, cela est normal car en mode cspn-toe. J'ai bien réussi à récupérer l'agent .exe.

Je souhaiterai déployer cet agent par GPO. Seulement il est demandé de copier/coller le hash et d'autres paramètres présent sur la page web du serveur : https://www.wapt.fr/fr/doc/wapt-deploy-agent.html# . Comment puis-je récupérer ce hash et autres paramètres sans passer par la page web ? Peut-être que j'ai loupé quelque chose dans la documentation pour un déploiement par GPO quand on utilise le mode cspn-toe.

J'ai la version discovery 2.6.1
Le serveur est installé sur une Debian 13.
La console est installée sur une VM Windows 11.

Merci pour votre retour et bonne journée

Mélyne

[dcardon]

Bonjour Mélyne,

le mode CSPN n'est pas supporté en version discovery. Donc il faut rester en mode normal (qui intègre déjà pas mal de sécurité pour garantir l'intégrité de vos déploiement).

Par contre c'est vrai qu'il y a des détails qui manquent dans la doc. Pour ce qui est du hash de l'agent, lors de la création de l'agent celui ci est déposé sur la machine de l'administrateur qui l'a généré et il suffit de faire un hash sha256 avec n'importe quel outil disponible sur la machine (7zip, etc.).

Cordialement,

Denis

[dcardon]

rebonjour Mélyne,

je rajouterai que le mode CSPN-TOE se base comme son nom l'indique sur la TOE (Target Of Evaluation) de la certification CSPN pour Wapt. La CSPN est une certification en temps contraint / budget contraint. Il y a donc des fonctionnalité qui ne sont pas couverte par la TOE, comme WADS, WaptWUA, les dépôts secondaires, etc.).

Donc à part si vous êtes dans un environnements avec des besoins sécurité strict, il est pas recommandé d'installer en mode CSPN-TOE. Si vous mettez bien en place toutes les fonctions de sécurité Wapt, vous aurez déjà un environnement très bien sécurisé (certificat https valide, auth kerberos pour l'enregistrement initial des postes, auth kerberos pour les admins, clef de signature par adminsys, etc.).

Cordialement,

Denis

[admmelyne]

Bonjour,

Merci beaucoup pour votre retour ! C'est plus clair maintenant.

J'ai refait l'installation en mode standard du coup. Toujours en discovery pour le moment, au moins pendant cette phase de test. J'ai choisi l'authentification kerberos.
L'installation manuelle de l'agent sur des postes clients Windows fonctionne, mais par GPO impossible, que ça soit par tâche planifié ou par script au démarrage. La GPO se déploie correctement. Mais le PC client ne remonte pas dans la console, comme si le deploy ne se lançait pas. Est-ce l'authentification kerberos qui pourrait bloquer ? Dois-je choisir une autre méthode d'authentification en mode discovery pour que le déploiement par GPO fonctionne ?

Merci (si je dois ouvrir ce sujet ailleurs n'hésitez pas à me le dire, c'est vrai que à présent mon message irait peut-être mieux dans la partie Agent/Console).

Cordialement

Mélyne

[htouvet]

Bonjour Mélyne,

Le mode Kerberos n'est pas disponible en Discovery.
Si vous êtes en test, vous pouvez demander une licence temporaire pour quelques postes au service commercial

Cordialement,

Hubert