Créer un jeton d'enrôlement

Ce que fait un jeton d'enrôlement

Un jeton d'enrôlement est le mot de passe d'une seule installation. L'agent échange ce jeton contre l'identité durable de la machine. Il écrit cette identité dans son fichier de configuration, puis il ne se sert plus du jeton.

Un jeton sert une seule fois et il expire au bout de 7 jours. Il appartient à un client : la machine qui l'utilise entre dans ce client.

Le portail affiche le jeton une seule fois, dans la fenêtre qui le crée. Il l'affiche dans deux commandes d'installation prêtes à coller, une pour Linux et une pour Windows, et aussi seul, pour une installation manuelle. Le serveur ne garde pas le jeton en clair : personne ne le relit, ni vous, ni le support.

Un jeton porte aussi des tags. La machine reçoit ces tags quand elle s'enrôle. Les commandes d'installation ne les contiennent pas.

Prérequis

• Le rôle Technicien ou Administrateur. Un rôle Lecture seule lit la liste des jetons, mais il n'en crée aucun et n'en révoque aucun. Voir Rôles et droits.
• Un client déjà créé. Voir Clients.
• Une licence qui accepte une machine de plus. Une licence en défaut refuse la création du jeton.
• Une machine prête, si vous installez tout de suite. Voir Avant d'installer.

Créer un jeton pour une machine

1. Ouvrez la fiche du client qui reçoit la machine. Voir Clients.
2. Cliquez sur Ajouter un endpoint. Le bouton est en haut de la page. Sur un client sans endpoint, il est sous la liste vide des endpoints.
3. Choisissez le type Machine.
4. Sous Combien de machines ?, gardez Une machine. C'est le choix par défaut. Il donne un jeton à usage unique, valable 7 jours.
5. Ajoutez des Tags si vous en voulez. Ce champ est facultatif. Voir « Poser des tags sur le jeton » plus bas.
6. Cliquez sur Créer le jeton.

Le portail remplace le formulaire par le résultat. Il affiche :

Ce que le portail affiche	À quoi cela sert
Linux : à lancer en root sur la machine	La commande complète d'installation sur Linux. Voir Installer l'agent sur Linux.
Windows : à lancer dans PowerShell en administrateur	La commande complète d'installation sur Windows. Voir Installer l'agent sur Windows.
Jeton d'enrôlement, pour une installation manuelle	Le jeton seul, quand vous enrôlez la machine vous-même.
Expire le …	La date de fin du jeton.
La liste des tags	Les tags que la machine reçoit à l'enrôlement.

7. Cliquez sur Copier, à côté de la commande de votre système ou du jeton seul. Faites-le maintenant : la fenêtre n'affiche le jeton qu'une fois.
8. Cliquez sur Fermer.

Un jeton d'enrôlement est un secret. Ne l'écrivez pas dans un ticket, un message, un dépôt de code ou un script partagé. Collez-le directement sur la machine.

Vous ouvrez aussi cette fenêtre depuis la page Parc, avec le bouton Ajouter un endpoint. Le formulaire demande alors le client. Après Créer le jeton, le portail pose une question qui nomme ce client. Vérifiez le nom, puis cliquez sur Confirmer.

Poser des tags sur le jeton

Un tag classe la machine dans le parc, par exemple site : Lyon. Vous posez les tags sur le jeton avant de le créer. La machine les reçoit à son enrôlement.

1. Dans la fenêtre Ajouter un endpoint, allez au bloc Tags.
2. Dans Clé, saisissez la clé, par exemple site. Choisissez une clé de la liste, ou saisissez une clé nouvelle. Une clé nouvelle est créée pour tous vos clients.
3. Dans Valeur, saisissez la valeur, par exemple Lyon. Quand la valeur existe déjà dans votre MSP, le tag prend la forme déjà enregistrée.
4. Cliquez sur Ajouter le tag. Le tag apparaît sous les champs.
5. Répétez pour chaque tag. Un jeton porte une seule valeur par clé, et 20 tags au plus.
6. Créez le jeton.

Le serveur garde les tags avec le jeton. Les commandes d'installation ne les contiennent pas : la commande ne révèle donc rien du classement de votre parc.

Après l'enrôlement, vous changez les tags de la machine sur la fiche de l'endpoint. Les tags du jeton, eux, ne servent qu'une fois.

Lire la liste des jetons d'un client

1. Ouvrez la fiche du client.
2. Cliquez sur le titre Jetons d'enrôlement. Le bloc est replié par défaut.
3. Lisez le tableau. Il donne les jetons du client, le plus récent en premier.
4. Choisissez un Statut dans la liste déroulante pour ne garder qu'un statut.

Le tableau a ces colonnes :

Colonne	Ce qu'elle donne
Type	Machine ou Tenant Microsoft 365.
Origine	Portail, ou Assistant IA quand un assistant relié par MCP a créé le jeton.
Statut	Non utilisé, Utilisé, Révoqué ou Expiré.
Créé le	La date de création.
Expire le	La date de fin.
Utilisé ou révoqué le	La date de la fin de vie du jeton.
Tags	Les tags que le jeton donne, ou donnait, à sa machine.
Endpoint	Un lien Voir l'endpoint, pour un jeton utilisé.

Un jeton utilisé garde le statut Utilisé, même si vous le révoquez plus tard.

Révoquer un jeton non utilisé

Révoquez un jeton dès que vous n'installez plus la machine, ou dès que le jeton a pu fuiter.

1. Ouvrez le bloc Jetons d'enrôlement du client.
2. Trouvez la ligne du jeton. Son statut doit être Non utilisé.
3. Cliquez sur Révoquer.
4. Lisez la fenêtre Révoquer ce jeton ?. Elle donne la date de création du jeton. Vérifiez-la.
5. Cliquez sur Révoquer le jeton.

Le jeton n'ajoute plus aucune machine. L'action est définitive.

Un jeton déjà utilisé n'a pas de bouton Révoquer : sa machine existe. Supprimez l'endpoint à la place.

Limites et précautions

• Un jeton sert une seule fois. Une deuxième installation avec le même jeton échoue.
• Un jeton expire au bout de 7 jours. Un jeton créé par un assistant IA relié par MCP expire au bout d'une heure.
• Le portail affiche le jeton une seule fois. Perdu, il faut en créer un autre, puis révoquer le premier.
• La commande d'installation du portail contient toujours le jeton. Ne la gardez pas dans un fichier de déploiement : le jeton y resterait en clair.
• Une licence en défaut refuse la création d'un jeton de machine. Le portail affiche alors une erreur. Les restaurations, elles, continuent.
• Un client dont la suppression est demandée n'accepte aucun nouveau jeton.
• Un jeton de machine et un jeton de tenant Microsoft 365 ne sont pas interchangeables. Le type est fixé à la création.
• Les tags se posent à la création du jeton. Le portail ne les change pas ensuite. La route PUT /enrollment-tokens/{id}/tags de l'API les remplace, tant que le jeton n'est pas utilisé.
• L'enrôlement est refusé quand une autre machine active du même client porte déjà le même identifiant machine. Le jeton n'est alors pas consommé : il sert encore après la correction. Voir Avant d'installer.
• Pour installer de nombreuses machines, choisissez Déploiement en masse à l'étape 4. Ce choix donne un jeton de déploiement, qui enrôle plusieurs machines du même client. Chaque machine reçoit alors sa propre identité.

Référence

• API : Enrollment, routes POST /enrollment-tokens, GET /enrollment-tokens, DELETE /enrollment-tokens/{id} et PUT /enrollment-tokens/{id}/tags.
• CLI de l'agent : baastide agent enroll.