Categoria: Gestió d'equips
Fleet gestionat: MDM de programari lliure amb inventari i pegats al vostre servidor
Saber quins portàtils teniu, què porten instal·lat, quins van endarrerits amb les actualitzacions i quins no complixen el mínim, des d'un panell de codi obert muntat al vostre servidor.
- On es munta
- Al vostre compte, a nom vostre
- Còpies
- Amb restauració provada
- Actualitzacions
- Planificades i documentades
- Llicència
- Versió gratuïta MIT; funcions de Fleet Premium amb llicència comercial
En resum
Fleet és una plataforma de codi obert per a gestionar equips Windows, Mac i Linux, i també mòbils i Chromebooks. El seu agent, fleetd, es basa en osquery: inventaria maquinari i programari, detecta programes amb vulnerabilitats conegudes i comprova polítiques. El muntem al vostre servidor, despleguem l'agent, escrivim les polítiques en codi i el mantenim al dia.
O telefoneu-nos al 644 00 76 20
De què ens encarreguem?
Quan hi ha més d’uns pocs portàtils, ningú no sap de memòria quins tenen el disc xifrat, quins porten mesos sense actualitzar-se o qui s’ha instal·lat què. Fleet respon eixes preguntes amb dades de cada equip. Perquè servisca, cal portar l’agent a tots, decidir què es comprova i mirar els resultats.
Servidor
Fleet, MySQL i Redis dimensionats, amb certificat TLS, còpies i actualitzacions.
Agents
fleetd en cada equip, control dels que deixen d’informar i alta dels equips nous.
Inventari
Maquinari, sistema i programes de cada equip, consultables i exportables.
Polítiques
Preguntes de sí o no sobre cada equip, amb la llista dels que no complixen.
Vulnerabilitats
Programes instal·lats amb vulnerabilitats conegudes (CVE), equip per equip.
GitOps
Polítiques, consultes, scripts i perfils en un repositori, aplicats amb fleetctl.
Què entra en la versió gratuïta i què no?
La versió gratuïta cobrix el que més necessita una pime o una empresa de programari: saber què hi ha i què no complix. El que obliga els equips a fer alguna cosa pel seu compte, com xifrar el disc o instal·lar les actualitzacions del sistema, és en Fleet Premium.
| Necessitat | Versió gratuïta (MIT) | Fleet Premium |
|---|---|---|
| Inventari de maquinari i programari | Sí | Sí |
| Programari amb vulnerabilitats conegudes (CVE) | Sí | Sí, amb puntuacions EPSS i CVSS i el catàleg CISA KEV |
| Polítiques i scripts | Sí | Sí |
| Perfils de configuració en Mac i Windows | Sí | Sí |
| Forçar el xifratge del disc i guardar les claus | No | Sí (FileVault, BitLocker i LUKS) |
| Forçar les actualitzacions del sistema | No | Sí |
| Instal·lar aplicacions i bloquejar o esborrar un equip a distància | No | Sí |
| Rols per grup d’equips i doble factor propi del panell | No | Sí |
Amb la versió gratuïta, el xifratge del disc i les actualitzacions es poden comprovar amb polítiques i corregir amb scripts; el que no fa és imposar-los. Per al doble factor en el panell, el més habitual és entrar amb l’inici de sessió únic de l’empresa, que sí que és en la versió gratuïta.
Quins problemes trobem més sovint?
- Agents que deixen d’informar: equips que ixen de l’oficina i no arriben al servidor, o un agent desinstal·lat sense que ningú se n’adone.
- Certificat d’Apple caducat: si no es renova a temps, o es renova amb un altre compte d’Apple, els Mac deixen de rebre ordres del MDM.
- Polítiques que ningú no mira: el panell en roig durant setmanes perquè les fallades no arriben a cap persona.
- Canvis fets a mà en el panell: ningú no sap qui va canviar una política ni per què.
- Base de dades sense còpia: si es perd MySQL, es perd l’inventari i la configuració del MDM.
Quan no té sentit?
Amb tres o quatre ordinadors, un inventari en un full i una revisió periòdica solen ser suficients, i muntar un servidor més no compensa. Si ja pagueu Microsoft 365 amb Intune i tots els equips són Windows, convé aprofitar-ho abans d’afegir una altra eina. I si el que busqueu és detectar atacs, no inventariar, hi encaixa millor un SIEM com Wazuh. Fleet compensa quan hi ha equips de diversos sistemes, quan us demanen evidències que els equips complixen unes regles o quan voleu les dades al vostre servidor.
Com fem còpies i actualitzacions?
Tota la informació de Fleet viu en MySQL, així que la copiem cada dia fora del servidor i restaurem de prova. La configuració és a més en el repositori amb GitOps, de manera que es pot reconstruir. Actualitzem el servidor de Fleet seguint les seues notes de versió, després de copiar la base de dades, i deixem que l’agent fleetd s’actualitze sol, que és com ve configurat. El certificat d’Apple es renova amb el mateix compte de l’empresa abans que caduque.
Com és el suport dia a dia?
En una oficina, Fleet entra en el manteniment informàtic per a empreses: l’usem per a saber quins equips van endarrerits i corregir-los. En una empresa de programari, l’inventari de programari dels portàtils de l’equip completa la gestió de vulnerabilitats de la plataforma. En els dos casos, cada mes us arriba l’estat dels equips: els que no complixen alguna política, els que tenen programari vulnerable i el que s’ha corregit. Ho expliquem amb més detall en la guia de gestió d’equips amb Fleet.
- fleetdAgent amb osquery en cada equip
- FleetServidor, panell i API
- MySQLInventari, polítiques i configuració
- RedisCues i memòria cau
On ho muntem?
Al vostre compte, al proveïdor que ja feu servir o al que encaixe millor. Si les dades s'han de quedar a la UE, Hetzner i OVHcloud són les opcions europees.
Proveïdors on ho muntem
- Hetzner
- AWS
- Google Cloud
- Servidor propi
| Proveïdor | Com ho muntem | A tindre en compte |
|---|---|---|
| Hetzner | Un servidor cloud amb Fleet, MySQL i Redis, o MySQL a part en un segon servidor, amb còpies a Object Storage. | Suficient per als equips d'una pime o d'una empresa de programari mitjana. |
| AWS | Fleet en contenidors amb RDS per a MySQL i ElastiCache per a Redis; Fleet publica una guia amb Terraform per a AWS. | |
| Google Cloud | Fleet en contenidors o en una màquina virtual, amb Cloud SQL per a MySQL i Memorystore per a Redis. | |
| Servidor propi | Fleet, MySQL i Redis al vostre servidor o en una màquina virtual, publicat amb un certificat TLS vàlid. | Els equips han de poder arribar al servidor des de fora de l'oficina; si no, deixen d'informar quan se'ls emporten a casa. |
Què inclou
- Fleet al vostre servidor o al vostre compte del núvol, amb MySQL, Redis i certificat TLS, i el panell darrere de VPN o d'inici de sessió únic.
- L'agent fleetd instal·lat en els equips Windows, Mac i Linux, amb els instal·ladors guardats per a les altes noves.
- Inventari d'equips i programari al dia, amb avís dels programes que tenen vulnerabilitats conegudes.
- Polítiques de sí o no (disc xifrat, tallafoc actiu, sistema actualitzat, bloqueig de pantalla) amb els equips que no les complixen.
- Scripts per a corregir el més habitual en un equip sense que la persona haja de fer res.
- MDM de Mac i Windows quan cal: certificat d'Apple, perfils de configuració i la seua renovació anual.
- Configuració en un repositori amb GitOps, perquè cada canvi quede revisat i es puga desfer.
- Còpies de la base de dades amb restauració provada i actualitzacions del servidor i de l'agent.
Preguntes freqüents
Fleet és gratuït?
La versió gratuïta té llicència MIT i la podeu usar sense pagar res al fabricant: inventari, polítiques, scripts, detecció de programari vulnerable, perfils de configuració i GitOps. Algunes funcions, com forçar el xifratge del disc o les actualitzacions del sistema, instal·lar aplicacions o bloquejar i esborrar un equip a distància, són de Fleet Premium, que es paga al fabricant per nombre d'equips. Us diem abans què necessiteu de veritat.
Què veu Fleet de cada persona?
Dades de l'equip: maquinari, sistema, programes instal·lats, configuració i el resultat de les polítiques. Fleet explica en la seua documentació que no recull pulsacions de teclat, correus ni la càmera. Tot i això, convé avisar l'equip de què es recull i per a què, i ho deixem per escrit.
Servix per als Mac?
Sí. Per a usar-lo com a MDM en Mac, iPhone i iPad cal connectar Fleet amb el servei de notificacions d'Apple mitjançant un certificat que es renova cada any, sempre amb el mateix compte d'Apple. El deixem a nom de l'empresa i amb la renovació en el calendari.
Necessitem Intune o Microsoft Entra ID per als Windows?
No necessàriament. Fleet pot donar d'alta els equips Windows en el seu MDM a través del seu agent, sense Intune. Només si voleu l'alta automàtica amb Entra o Autopilot calen Fleet Premium i una llicència Microsoft Entra ID P1 per persona.
Fleet substituïx un antivirus o Wazuh?
No. Fleet servix per a saber com estan els equips i corregir-los: inventari, pegats, configuració i polítiques. La detecció d'amenaces i la recollida d'esdeveniments és una altra cosa; si la necessiteu, la muntem amb Wazuh.
Expliqueu-nos el vostre cas
Telefoneu-nos o escriviu-nos i us direm on esteu i per on començar. Gratis i sense compromís.
O telefoneu-nos al 644 00 76 20
Documentació oficial consultada
Les dades tècniques d'aquesta pàgina es basen en:
- Fleet: funcions de la versió gratuïta i de Fleet Premium (en anglés)
- Fleet documentation: Reference architectures
Revisat el