Pour qu'un équipement soit inventorié, Portail ZAPP doit savoir où il a le droit de chercher (les réseaux déclarés) et comment s'y connecter (les identifiants et leurs associations). Ces réglages ouvrent un accès à vos équipements : leur création ou leur modification passe par une approbation, décidée par une autre personne que le demandeur.
Les écrans sont réservés au groupe Administrateurs. On les ouvre par les onglets Réseaux déclarés, Identifiants, Associations et Approbations de l'inventaire réseau. Le déroulement des scans et la validation des hôtes sont décrits dans la page « Inventorier le réseau ».
Réseaux déclarés
Un périmètre de scan ne peut cibler que des adresses appartenant à l'un des réseaux déclarés : c'est la liste blanche qui empêche d'ajouter une cible piégée. Pour en déclarer un, saisissez un Nom et un CIDR IPv4 (par exemple 192.0.2.0/24), puis cliquez sur Ajouter : la demande part en approbation.
La suppression d'un réseau s'applique tout de suite, mais elle est refusée si un périmètre ne serait plus couvert : « Suppression refusée : le périmètre suivant ne serait plus couvert : … ».
Identifiants
Un identifiant décrit comment se connecter à un type d'équipement. Il ne contient jamais de secret : chaque champ sensible (mot de passe, community, clé…) désigne par son nom un secret du module Coffre de secrets, lu seulement au moment de l'envoi à l'Outpost. Sans ce module, aucun secret ne peut être choisi ; s'il n'existe encore aucun secret, un lien en créer un est proposé.
Cliquez sur + Nouvel identifiant, choisissez le Type, puis remplissez les champs du type :
- SNMP v1/v2c : la community passe en clair sur le réseau. Il faut confirmer « Je confirme que cette community est en lecture seule » et donner une Justification de l'usage de SNMP v1/v2c ;
- SNMP v3 : Authentification + chiffrement (recommandé) par défaut ; un niveau plus faible exige une justification ;
- SSH : un mot de passe ou une clé privée (secrets). Renseignez l'Empreinte attendue de la clé d'hôte, ou cochez Épingler la clé d'hôte à la première connexion : l'un des deux est obligatoire. Un changement de clé bloque ensuite la connexion et lève une alerte ;
- WinRM : toujours en HTTPS. L'Authentification Négociée (recommandé) laisse WinRM choisir ; forcer NTLM exige une justification. Un identifiant WinRM ne s'associe qu'aux types Poste Windows et Serveur ;
- API HTTPS : adresse en HTTPS, jeton ou utilisateur et mot de passe, empreinte du certificat attendu. Ce type ne sert pas encore à l'inventaire.
Cliquez sur Soumettre : la création comme la modification partent en approbation. Le type d'un identifiant ne peut plus être changé ensuite. La suppression d'un identifiant s'applique tout de suite et supprime aussi ses associations.
Associations
Un identifiant n'est utilisé que sur les périmètres et pour les types d'équipement avec lesquels il est associé, et seulement pour un hôte validé avec ce type. Choisissez un Identifiant, un Périmètre et un Type d'équipement, puis cliquez sur Soumettre l'association : elle part en approbation. Une association qui existe déjà est refusée. La suppression d'une association s'applique tout de suite.
Approuver ou refuser une demande
La page Demandes d'approbation liste les demandes en attente : leur nature (Périmètre, Réseau déclaré, Identifiant, Association), l'opération (Création ou Modification), le demandeur et la date. Afficher l'historique montre aussi les demandes traitées (Approuvée, Refusée, Retirée, Échec d'application) ; Seulement en attente revient aux demandes ouvertes. Rien n'est écrit tant que la demande n'est pas approuvée.
- Approuver ou Refuser, avec un Commentaire facultatif (1 000 caractères au plus). Vous ne pouvez pas approuver votre propre demande : « Vous ne pouvez pas approuver votre propre demande (règle des quatre yeux). » Elle reste « En attente d'un autre approbateur. » ;
- Retirer ma demande : le demandeur annule sa propre demande tant qu'elle est en attente.
Une modification approuvée est vérifiée une dernière fois au moment d'être appliquée ; si elle n'est plus valable, la demande passe à Échec d'application.
Réglages d'approbation
En bas de la page des approbations :
- Processus d'approbation (Workflow) : choisissez un processus publié pour que ses validations décident à la place d'une décision manuelle. La demande affiche alors « En attente des validateurs du processus. » et seuls les validateurs désignés tranchent. Aucun — décision manuelle par un autre utilisateur revient à la règle des quatre yeux. Sans le module Orchestration des processus, seule la décision manuelle est possible ;
- Autoriser le demandeur à approuver sa propre demande : à réserver aux installations à un seul administrateur, car la règle des quatre yeux est alors désactivée.