Gestió d'equips (MDM) amb programari lliure: com controlar portàtils Windows, Mac i Linux amb Fleet

Mentre els ordinadors de l’empresa caben en una mà, se sap quin és cadascun i què porta. Quan són quinze portàtils que entren i ixen de l’oficina, amb Windows, algun Mac i algun Linux, ningú no pot dir sense mirar-los un per un quins tenen el disc xifrat, quins van endarrerits amb les actualitzacions o qui ha instal·lat què. Per a això existixen les eines de gestió d’equips, conegudes com a MDM. En este article expliquem què resolen, com funciona Fleet, una alternativa de codi obert, i quan no paga la pena.

Què resol un MDM

En un despatx o una pime, les preguntes són senzilles i quasi sempre arriben tard: quin portàtil tenia la persona que se n’ha anat?, estava xifrat el que s’ha perdut?, quants equips continuen sense l’última actualització de Windows? Amb un MDM, les respostes són en un panell i no en la memòria d’algú.

En una empresa de programari, el motiu sol ser un altre: els clients i les auditories (ISO 27001, ENS o els qüestionaris de seguretat) pregunten pels portàtils de l’equip de desenvolupament. Cal demostrar que tenen el disc xifrat, el bloqueig de pantalla actiu i el sistema al dia, i que se sap quin programari hi ha instal·lat i si té vulnerabilitats conegudes.

En els dos casos, un MDM cobrix el mateix:

• Inventari: quins equips hi ha, amb quin maquinari, quin sistema i quins programes.
• Actualitzacions: quins equips van endarrerits i, segons l’eina, forçar-les.
• Xifratge del disc: comprovar que està actiu i guardar les claus de recuperació.
• Configuració: bloqueig de pantalla, tallafoc i altres regles aplicades igual en tots.
• Vulnerabilitats: quins programes instal·lats tenen errors de seguretat coneguts.

Com funciona Fleet

Fleet té dues parts. En cada equip s’instal·la el seu agent, fleetd, que inclou osquery: una eina que permet consultar l’estat del sistema operatiu com si fora una base de dades, amb SQL. En un servidor funciona Fleet, que rep les dades de tots els agents, les guarda en MySQL, usa Redis per a les cues i oferix el panell, una API i l’eina de línia d’ordres fleetctl.

Sobre eixa base, el més útil són les polítiques: preguntes de sí o no que es fan a tots els equips. Per exemple, esta comprova que la unitat C: d’un Windows està protegida amb BitLocker:

SELECT 1 FROM bitlocker_info WHERE drive_letter = 'C:' AND protection_status = 1;

Si la consulta torna una fila, l’equip complix; si no, apareix en la llista dels que fallen. Amb polítiques així es comproven el xifratge, el tallafoc, la versió del sistema o la presència d’un programa concret. Quan un equip falla, se li pot llançar un script per a corregir-lo, a mà o de manera automàtica la primera vegada que falla la política; repetir-lo en cada comprovació mentre continue fallant és de Fleet Premium.

A més, Fleet creua el programari instal·lat en cada equip amb les bases de dades de vulnerabilitats conegudes (CVE) i mostra quins programes cal actualitzar i on. I tota la configuració, polítiques, consultes, scripts i perfils, es pot portar en un repositori amb GitOps, de manera que cada canvi queda revisat i es pot desfer.

Per als Mac, iPhone i iPad, Fleet funciona també com a MDM d’Apple, per a la qual cosa cal connectar-lo amb el servei de notificacions d’Apple mitjançant un certificat que es renova cada any. En Windows pot donar d’alta els equips en el seu MDM amb el seu agent, sense necessitat d’Intune.

Què és gratuït i què és de pagament

Fleet té una versió gratuïta amb llicència MIT i funcions de pagament, Fleet Premium, amb llicència comercial. La frontera, segons la taula de funcions del mateix fabricant, queda més o menys així:

Per a moltes empreses, la versió gratuïta és suficient: l’important és saber quins equips no complixen, i corregir-los amb un script o a mà. Si necessiteu que el xifratge o les actualitzacions s’imposen sols, o poder esborrar un portàtil robat, aleshores cal Premium, que es llicencia per nombre d’equips.

Al vostre servidor o en el núvol del fabricant

Fleet es pot instal·lar en qualsevol servidor: necessita MySQL, Redis i un certificat TLS. El fabricant també l’allotja com a servei, però segons la seua documentació només per a instal·lacions de més de 700 equips, així que per a una pime o una empresa de programari mitjana l’opció realista és tindre’l en un servidor propi o en el vostre compte del núvol.

Un detall important: els portàtils han de poder arribar al servidor des de qualsevol lloc, no només des de l’oficina. Si el servidor només és accessible dins de la xarxa de l’oficina, els equips deixen d’informar tan prompte com se’ls emporten a casa.

Límits que convé conéixer

• No és un antivirus ni un sistema de detecció d’amenaces. Fleet diu com està cada equip; per a detectar atacs cal una altra eina, com un SIEM.
• Algú ha de mirar els resultats. Un panell amb polítiques en roig que ningú no revisa no protegix res.
• El certificat d’Apple caduca cada any. Si es renova tard, o amb un altre compte d’Apple, els Mac deixen de rebre ordres.
• Imposar costa diners. Amb la versió gratuïta es comprova i es corregix; imposar és de Premium.
• És un servidor més per mantindre. Base de dades, còpies, actualitzacions i certificat.

Quan no compensa

Amb tres o quatre ordinadors, un full amb l’inventari i una revisió periòdica solen ser suficients. Si ja pagueu Microsoft 365 amb Intune i tots els equips són Windows, convé aprofitar-ho abans d’afegir una altra eina. Fleet té més sentit quan hi ha equips de diversos sistemes, quan us demanen evidències que els portàtils complixen unes regles o quan voleu que les dades dels equips es queden al vostre servidor.

En la pàgina de Fleet gestionat expliquem com el muntem i el mantenim. En una oficina, entra en el manteniment informàtic per a empreses; en una empresa de programari, l’inventari dels portàtils completa la gestió de vulnerabilitats. Si voleu saber si us compensa, escriviu-nos un correu.

Preguntes freqüents

Fleet veu el que fa cada persona?

No. Recull dades de l’equip: maquinari, sistema, programes, configuració i el resultat de les polítiques. Fleet explica que no recull pulsacions de teclat, correus ni la càmera. Tot i això, convé informar l’equip de què es recull i per a què.

Servix també per a servidors?

Sí. L’agent funciona igual en servidors Linux i Windows, i les mateixes polítiques servixen per a comprovar-ne la configuració. En servidors, això sí, el MDM té menys sentit que l’inventari i les polítiques.

Cal Intune per a gestionar els Windows?

No. Fleet pot donar d’alta els equips Windows amb el seu agent. Només si es vol l’alta automàtica amb Entra o Autopilot calen Fleet Premium i una llicència Microsoft Entra ID P1 per persona.

Referències

• Fleet a GitHub: codi, llicència i plataformes compatibles (en anglés).
• Fleet: funcions de la versió gratuïta i de Fleet Premium (en anglés).
• Fleet documentation: Reference architectures, requisits del servidor (MySQL, Redis i TLS).
• Fleet: configuració del MDM d’Apple i del MDM de Windows (en anglés).