4. FAQ - Problèmes liés à l’agent

4.1. Gestion des clés privées

4.1.1. Pourquoi dois-je remplacer une clé privée WAPT perdue ?

La sécurité et le bon fonctionnement de WAPT reposent sur les clés privées et leurs certificats publics associés.

Si une clé privée est perdue, vous devez générer une nouvelle clé et ses certificats associés, déployer les nouveaux certificats sur les ordinateurs de l’organisation, et re-signer les paquets des dépôts.

Afficher la solution

1. Générer une nouvelle clé privée et un nouveau certificat public

Suivez la procédure décrite dans Générer un nouveau certificat.

Conservez la clé privée (fichier .pem) dans un emplacement sécurisé.

2. Déployer le nouveau certificat public sur les postes clients

Déployez le nouveau certificat .crt manuellement, à l’aide d’une GPO (objet de stratégie de groupe), ou à l’aide d’un rôle Ansible (non documenté).

Copiez le certificat dans le dossier ssl de chaque client :

  • Windows : C:Program Files (x86)ssl

  • Linux et macOS : /opt/wapt/ssl

3. Re-signer les paquets des dépôts

Les paquets des dépôts ont été signés avec l’ancienne clé privée. Vous DEVEZ re-signer chaque paquet avec la nouvelle clé.

Vous pouvez le faire :

4.1.2. Pourquoi dois-je agir immédiatement si ma clé privée WAPT a été volée ?

La sécurité de WAPT repose sur la protection des clés privées. Si une clé privée est volée, les certificats qui lui sont associés ne peuvent plus être considérés comme dignes de confiance.

WAPT ne prend actuellement pas en charge la révocation de clés via une CRL (liste de révocation de certificats).

Afficher la solution

1. Supprimer les certificats associés à la clé volée

Supprimez du dossier ssl tous les certificats .crt associés à la clé privée volée :

  • Windows : C:Program Files (x86)ssl

  • Linux et macOS : /opt/wapt/ssl

Vous pouvez effectuer cette opération manuellement, à l’aide d’une GPO, à l’aide d’un paquet WAPT, ou à l’aide d’un rôle Ansible (non documenté).

2. Générer et déployer des certificats de remplacement

Suivez la même procédure que pour une clé privée perdue.

Cela comprend la génération d’une nouvelle paire de clés, le déploiement du nouveau certificat public sur les postes clients, et la re-signature des paquets des dépôts.

4.2. Enregistrement et déploiement des hôtes

4.2.1. Pourquoi l’enregistrement d’un hôte échoue-t-il avec une erreur de connexion ?

Lorsque vous exécutez wapt-get register, la commande peut retourner l’erreur suivante :

FATAL ERROR : ConnectionError: HTTPSConnectionPool(host='XXX.XXX.XXX.XXX', port=443): Max retries exceeded with url: /add_host
Afficher la solution

1. Vérifier la redirection de port

Assurez-vous que le port TCP 443 est correctement redirigé vers le serveur WAPT.

2. Vérifier les règles de pare-feu

Vérifiez qu’aucun pare-feu situé entre le client et le serveur WAPT ne bloque le port TCP 443.

3. Relancer l’enregistrement de l’hôte

Une fois la connectivité rétablie, exécutez à nouveau wapt-get register.

4.2.2. Pourquoi Windows démarre-t-il l’ordinateur avant que le réseau ne soit prêt ?

Par défaut, Windows n’attend pas que le réseau soit disponible au démarrage de l’ordinateur.

Cela peut empêcher l’utilitaire de déploiement WAPT de récupérer le nouvel agent WAPT, car la connectivité réseau n’est pas encore disponible.

Afficher la solution

Il existe deux façons de résoudre ce problème.

Option 1 : Ajouter waptdeploy.exe aux scripts de démarrage et d’arrêt

Nous recommandons d’ajouter waptdeploy.exe aux scripts de démarrage et d’arrêt, comme décrit dans Déployer l’agent WAPT à l’aide d’une GPO.

Option 2 : Configurer Windows pour qu’il attende le réseau

Activez le paramètre de stratégie de groupe suivant :

Configuration ordinateur ‣ Modèles d’administration ‣ Système ‣ Ouverture de session ‣ Toujours attendre le réseau au démarrage de l’ordinateur et à l’ouverture de session

GPO pour attendre le réseau au démarrage

GPO pour attendre le réseau au démarrage

4.3. Problèmes d’exécution de WAPT Exit

4.3.1. Pourquoi WAPT Exit ne s’exécute-t-il pas à l’arrêt de l’ordinateur ?

Même lorsque le script d’arrêt est enregistré dans la stratégie de sécurité locale, le script waptexit peut ne pas s’exécuter à l’arrêt de l’ordinateur.

Afficher la solution

Cas 1 : Désactiver l’arrêt hybride de Windows

L’arrêt hybride de Windows 10 DOIT être désactivé, car il peut provoquer des problèmes qui empêchent WAPT Exit de s’exécuter pendant l’arrêt.

Configurez le paramètre concerné dans le fichier wapt-get.ini de l’agent WAPT, comme décrit dans Options de configuration de l’agent WAPT.

Vous pouvez également configurer ce paramètre lors de la création de l’agent WAPT.

Un paquet WAPT est disponible pour désactiver l’arrêt hybride :

tis-disable-hybrid-shutdown.

Cas 2 : Vérifier si l’ordinateur fonctionne sous Windows Famille

Les stratégies de sécurité locales ne sont pas disponibles dans les éditions Windows Famille. Par conséquent, le script d’arrêt peut ne pas s’exécuter.

Comme solution de contournement, créez une tâche planifiée qui exécute C:Program Files (x86)waptwapt-get.exe avec l’argument upgrade.

Cas 3 : Réparer des paramètres de stratégie de groupe locale corrompus

Les stratégies de sécurité locales peuvent être corrompues. Pour les réparer :

  1. Supprimez le fichier C:WindowsSystem32GroupPolicygpt.ini.

  2. Redémarrez l’ordinateur.

  3. Réinstallez les tâches planifiées d’arrêt en exécutant :

    wapt-get add-upgrade-shutdown

Si le problème se reproduit, une autre application modifie peut-être les paramètres de stratégie de groupe locale.

4.3.2. Pourquoi WAPT Exit s’arrête-t-il après 15 minutes sans avoir terminé l’installation des paquets ?

Par défaut, Windows n’autorise l’exécution des scripts d’arrêt que pendant 15 minutes. Si un script ne se termine pas dans ce délai, Windows l’interrompt.

Afficher la solution

Option 1 : Augmenter les valeurs de délai d’expiration de l’agent WAPT

Dans le fichier wapt-get.ini de l’agent WAPT, augmentez les valeurs de pre_shutdown_timeout et de max_gpo_script_wait.

Par exemple, utilisez les valeurs suivantes pour autoriser une durée d’exécution plus longue :

max_gpo_script_wait = 360
pre_shutdown_timeout = 360

Voir Options de configuration de l’agent WAPT pour plus de détails.

Le paquet WAPT tis-wapt-conf-policy peut appliquer cette configuration.

Option 2 : Configurer le délai d’exécution des scripts via une GPO

Vous pouvez également utiliser une GPO avec une configuration File.ini.

Utilisation d'un fichier ini via une GPO pour configurer le délai d'exécution des scripts

Utilisation d’un fichier ini via une GPO pour configurer le délai d’exécution des scripts