4. FAQ - Problèmes liés à l’agent¶
4.1. Gestion des clés privées¶
4.1.1. Pourquoi dois-je remplacer une clé privée WAPT perdue ?¶
La sécurité et le bon fonctionnement de WAPT reposent sur les clés privées et leurs certificats publics associés.
Si une clé privée est perdue, vous devez générer une nouvelle clé et ses certificats associés, déployer les nouveaux certificats sur les ordinateurs de l’organisation, et re-signer les paquets des dépôts.
Afficher la solution
1. Générer une nouvelle clé privée et un nouveau certificat public
Suivez la procédure décrite dans Générer un nouveau certificat.
Conservez la clé privée (fichier .pem) dans un emplacement sécurisé.
2. Déployer le nouveau certificat public sur les postes clients
Déployez le nouveau certificat .crt manuellement, à l’aide d’une GPO (objet de stratégie de groupe), ou à l’aide d’un rôle Ansible (non documenté).
Copiez le certificat dans le dossier ssl de chaque client :
Windows :
C:Program Files (x86)sslLinux et macOS :
/opt/wapt/ssl
3. Re-signer les paquets des dépôts
Les paquets des dépôts ont été signés avec l’ancienne clé privée. Vous DEVEZ re-signer chaque paquet avec la nouvelle clé.
Vous pouvez le faire :
4.1.2. Pourquoi dois-je agir immédiatement si ma clé privée WAPT a été volée ?¶
La sécurité de WAPT repose sur la protection des clés privées. Si une clé privée est volée, les certificats qui lui sont associés ne peuvent plus être considérés comme dignes de confiance.
WAPT ne prend actuellement pas en charge la révocation de clés via une CRL (liste de révocation de certificats).
Afficher la solution
1. Supprimer les certificats associés à la clé volée
Supprimez du dossier ssl tous les certificats .crt associés à la clé privée volée :
Windows :
C:Program Files (x86)sslLinux et macOS :
/opt/wapt/ssl
Vous pouvez effectuer cette opération manuellement, à l’aide d’une GPO, à l’aide d’un paquet WAPT, ou à l’aide d’un rôle Ansible (non documenté).
2. Générer et déployer des certificats de remplacement
Suivez la même procédure que pour une clé privée perdue.
Cela comprend la génération d’une nouvelle paire de clés, le déploiement du nouveau certificat public sur les postes clients, et la re-signature des paquets des dépôts.
4.2. Enregistrement et déploiement des hôtes¶
4.2.1. Pourquoi l’enregistrement d’un hôte échoue-t-il avec une erreur de connexion ?¶
Lorsque vous exécutez wapt-get register, la commande peut retourner l’erreur suivante :
FATAL ERROR : ConnectionError: HTTPSConnectionPool(host='XXX.XXX.XXX.XXX', port=443): Max retries exceeded with url: /add_host
Afficher la solution
1. Vérifier la redirection de port
Assurez-vous que le port TCP 443 est correctement redirigé vers le serveur WAPT.
2. Vérifier les règles de pare-feu
Vérifiez qu’aucun pare-feu situé entre le client et le serveur WAPT ne bloque le port TCP 443.
3. Relancer l’enregistrement de l’hôte
Une fois la connectivité rétablie, exécutez à nouveau wapt-get register.
4.2.2. Pourquoi Windows démarre-t-il l’ordinateur avant que le réseau ne soit prêt ?¶
Par défaut, Windows n’attend pas que le réseau soit disponible au démarrage de l’ordinateur.
Cela peut empêcher l’utilitaire de déploiement WAPT de récupérer le nouvel agent WAPT, car la connectivité réseau n’est pas encore disponible.
Afficher la solution
Il existe deux façons de résoudre ce problème.
Option 1 : Ajouter waptdeploy.exe aux scripts de démarrage et d’arrêt
Nous recommandons d’ajouter waptdeploy.exe aux scripts de démarrage et d’arrêt, comme décrit dans Déployer l’agent WAPT à l’aide d’une GPO.
Option 2 : Configurer Windows pour qu’il attende le réseau
Activez le paramètre de stratégie de groupe suivant :
GPO pour attendre le réseau au démarrage¶
4.3. Problèmes d’exécution de WAPT Exit¶
4.3.1. Pourquoi WAPT Exit ne s’exécute-t-il pas à l’arrêt de l’ordinateur ?¶
Même lorsque le script d’arrêt est enregistré dans la stratégie de sécurité locale, le script waptexit peut ne pas s’exécuter à l’arrêt de l’ordinateur.
Afficher la solution
Cas 1 : Désactiver l’arrêt hybride de Windows
L’arrêt hybride de Windows 10 DOIT être désactivé, car il peut provoquer des problèmes qui empêchent WAPT Exit de s’exécuter pendant l’arrêt.
Configurez le paramètre concerné dans le fichier wapt-get.ini de l’agent WAPT, comme décrit dans Options de configuration de l’agent WAPT.
Vous pouvez également configurer ce paramètre lors de la création de l’agent WAPT.
Un paquet WAPT est disponible pour désactiver l’arrêt hybride :
Cas 2 : Vérifier si l’ordinateur fonctionne sous Windows Famille
Les stratégies de sécurité locales ne sont pas disponibles dans les éditions Windows Famille. Par conséquent, le script d’arrêt peut ne pas s’exécuter.
Comme solution de contournement, créez une tâche planifiée qui exécute C:Program Files (x86)waptwapt-get.exe avec l’argument upgrade.
Cas 3 : Réparer des paramètres de stratégie de groupe locale corrompus
Les stratégies de sécurité locales peuvent être corrompues. Pour les réparer :
Supprimez le fichier
C:WindowsSystem32GroupPolicygpt.ini.Redémarrez l’ordinateur.
Réinstallez les tâches planifiées d’arrêt en exécutant :
wapt-get add-upgrade-shutdown
Si le problème se reproduit, une autre application modifie peut-être les paramètres de stratégie de groupe locale.
4.3.2. Pourquoi WAPT Exit s’arrête-t-il après 15 minutes sans avoir terminé l’installation des paquets ?¶
Par défaut, Windows n’autorise l’exécution des scripts d’arrêt que pendant 15 minutes. Si un script ne se termine pas dans ce délai, Windows l’interrompt.
Afficher la solution
Option 1 : Augmenter les valeurs de délai d’expiration de l’agent WAPT
Dans le fichier wapt-get.ini de l’agent WAPT, augmentez les valeurs de pre_shutdown_timeout et de max_gpo_script_wait.
Par exemple, utilisez les valeurs suivantes pour autoriser une durée d’exécution plus longue :
max_gpo_script_wait = 360
pre_shutdown_timeout = 360
Voir Options de configuration de l’agent WAPT pour plus de détails.
Pour modifier la configuration de l’agent WAPT, utilisez le package de configuration dynamique de l’agent hôte et ouvrez l’onglet Édition avancée afin de localiser et de modifier les deux paramètres mentionnés ci-dessus.
Valeur de timeout des GPO pour l’agent WAPT¶
Option 2 : Configurer le délai d’exécution des scripts via une GPO
Vous pouvez également utiliser une GPO avec une configuration File.ini.
Utilisation d’un fichier ini via une GPO pour configurer le délai d’exécution des scripts¶
4.4. Problèmes liés a WAPTWUA¶
4.4.1. Comment supprimer une KB à l’aide de WAPTWUA¶
Afficher la solution
Commencez par vérifier si Microsoft autorise la désinstallation de cette mise à jour KB.
Dans la console WAPT, accédez à Inventaire, sélectionnez l’ordinateur, puis ouvrez l’onglet Windows Update. Cliquez avec le bouton droit sur l’en-tête du tableau et sélectionnez Afficher/Masquer les colonnes > Désinstallable.
Si la valeur est False, Microsoft ne permet pas la désinstallation de la mise à jour via le mécanisme standard de Windows Update.
Vous pouvez néanmoins essayer de désinstaller la mise à jour KB :
Dans l’onglet « WUA », cliquez avec le bouton droit sur la mise à jour KB et sélectionnez Lancer la désinstallation des mises à jour Windows sélectionnées.
Si la désinstallation échoue, vous pouvez utiliser le script suivant. Créez un paquet à partir d’un paquet vide et ajoutez-y le script ci-dessous (n’oubliez pas de personnaliser la KB).
# -*- coding: utf-8 -*-
from setuphelpers import *
import re
import subprocess
def install():
for u in installed_softwares("KB0000001"):
guids = re.findall(r"\{[0-9A-Fa-f-]{36}\}", u["key"])
if len(guids) < 2:
continue
product_guid = guids[0]
patch_guid = guids[-1]
print("PRODUCT =", product_guid)
print("PATCH =", patch_guid)
subprocess.run([
r"C:\Windows\System32\msiexec.exe",
"/package", product_guid,
"/uninstall", patch_guid,
"/qn",
"/norestart",
"REBOOT=ReallySuppress"
])