Rattacher un agent

Ce que fait le rattachement

Une demande de suppression coupe tout de suite l'accès de l'agent. L'agent ne peut plus se connecter, sauvegarder ni restaurer. Une annulation de la suppression garde les données, mais elle ne rend pas l'accès.

Le rattachement rend cet accès. Vous créez un jeton de rattachement dans le portail, puis vous enrôlez la machine de nouveau avec ce jeton. La machine retrouve son endpoint : le même identifiant, le même historique, les mêmes politiques et les mêmes tags. L'agent reçoit un nouveau secret, donc l'ancien reste refusé.

Un jeton de rattachement est lié à un seul endpoint. Il ne crée pas de nouvelle machine.

Prérequis

• Le rôle operate pour créer le jeton. Voir Rôles et droits.
• La suppression de l'endpoint doit être annulée. Le portail refuse le jeton tant qu'une suppression attend. Voir Annuler une action différée.
• Le client de la machine ne doit pas être en cours de suppression.
• L'agent doit rester installé sur la machine. Ne le désinstallez pas.
• Un accès root sur la machine Linux, ou un PowerShell administrateur sur la machine Windows.
• Un accès HTTPS sortant de la machine vers le serveur BaaStide, port 443.

Repérer une machine dont l'accès est révoqué

1. Ouvrez la page Endpoints.
2. Lisez la colonne Statut. Le badge Accès révoqué signale la machine.
3. Cliquez sur le nom de la machine.
4. Lisez le premier bloc de la page. Le bloc orange Accès révoqué dit : « L'agent ne peut plus se connecter. Rattachez-le pour reprendre les sauvegardes avec son historique et ses politiques. »

Le bloc Accès révoqué n'apparaît pas tant qu'une suppression attend. Annulez d'abord la suppression. Voir Supprimer un endpoint ou un client.

Sur la machine, le service de l'agent tourne toujours. Il essaie de se connecter, et le serveur refuse son identité. Le journal de l'agent écrit une erreur à chaque essai, et il demande d'enrôler la machine de nouveau avec --force. L'agent attend entre 150 et 300 secondes avant chaque nouvel essai.

Créer le jeton de rattachement

1. Ouvrez la fiche de la machine.

2. Dans le bloc Accès révoqué, cliquez sur Rattacher l'agent.

3. Lisez la fenêtre. Elle dit : « Créez un jeton lié à cet agent, puis exécutez la commande sur sa machine. Son historique et ses politiques seront conservés. »

4. Cliquez sur Créer le jeton de rattachement.

5. Copiez ce dont vous avez besoin. Le portail affiche :

   Ce que le portail affiche	À quoi cela sert
   Linux : à lancer en root sur la machine	La commande complète d'installation sur Linux, avec le jeton.
   Windows : à lancer dans PowerShell en administrateur	La commande complète d'installation sur Windows, avec le jeton.
   Jeton d'enrôlement, pour une installation manuelle	Le jeton seul, pour la commande enroll --force.
   Expire le …	La date de fin du jeton.

6. Cliquez sur Fermer.

Le portail n'affiche le jeton qu'une seule fois. La fermeture de la fenêtre le retire de l'écran. Quand vous l'avez perdu, créez un nouveau jeton de rattachement.

Un jeton de rattachement sert une seule fois. Il expire au bout de 7 jours.

Rattacher une machine Linux

Prenez ce chemin quand l'agent est déjà installé sur la machine. C'est le cas le plus courant.

1. Créez le jeton de rattachement. Copiez la valeur Jeton d'enrôlement, pour une installation manuelle.

2. Ouvrez une session sur la machine.

3. Devenez root. Par exemple, lancez sudo -i.

4. Créez un fichier privé pour le jeton :

   umask 077
   cat > /root/baastide-token

5. Collez le jeton. Appuyez sur Entrée, puis sur Ctrl+D.

6. Lancez l'enrôlement forcé :

   baastide agent enroll --token-file /root/baastide-token --force

7. Lisez la réponse. Elle doit commencer par Enrolled as agent.

8. Supprimez le fichier du jeton : rm -f /root/baastide-token.

La commande écrit la nouvelle identité, puis elle redémarre l'unité baastide.service. L'agent se reconnecte avec son nouveau secret.

Sur une instance installée chez vous, ajoutez l'option --server avec l'adresse de l'instance. Voir Enrôler en ligne de commande.

Rattacher une machine Windows

1. Créez le jeton de rattachement. Copiez la valeur Jeton d'enrôlement, pour une installation manuelle.

2. Ouvrez une session sur la machine, avec un compte administrateur local.

3. Ouvrez PowerShell avec Exécuter en tant qu'administrateur.

4. Mettez le jeton dans la variable d'environnement de la session :

   $env:BAASTIDE_ENROLL_TOKEN = '<jeton>'

5. Lancez l'enrôlement forcé :

   & "$env:ProgramFiles\BaaStide\baastide.exe" agent enroll --force

6. Lisez la réponse. Elle doit commencer par Enrolled as agent.

7. Retirez la variable de la session :

   Remove-Item Env:BAASTIDE_ENROLL_TOKEN

La commande redémarre le service BaaStide après avoir écrit la nouvelle identité.

Rattacher avec la commande d'installation

Prenez ce chemin quand la machine a perdu son agent, ou quand vous préférez une seule commande.

1. Créez le jeton de rattachement.
2. Copiez la commande de votre système : Linux : à lancer en root sur la machine, ou Windows : à lancer dans PowerShell en administrateur.
3. Lancez cette commande sur la machine, en root ou en administrateur.
4. Attendez la fin de l'installation.

Le script d'installation remplace l'identité de la machine, parce que la commande porte un jeton. Il redémarre ensuite le service. Le résultat est le même que l'enrôlement forcé.

Voir Installer l'agent sur Linux et Installer l'agent sur Windows.

Vérifier le rattachement

1. Ouvrez la fiche de la machine dans le portail.
2. Rechargez la page. Le badge Accès révoqué et le bloc orange disparaissent.
3. Lisez le statut de l'agent. Il passe à En ligne.
4. Ouvrez l'onglet Paramètres. Le champ Dernière connexion donne une date récente.
5. Cliquez sur Sauvegarder maintenant pour contrôler que la machine sauvegarde de nouveau.

La prochaine sauvegarde planifiée repart ensuite toute seule.

Ce que le rattachement garde et ce qu'il change

Élément	Après le rattachement
Identifiant de l'endpoint	Gardé. C'est le même endpoint.
Sauvegardes et points de restauration	Gardés.
Politiques de sauvegarde	Gardées.
Tags de la machine	Gardés. Le jeton de rattachement ne porte aucun tag.
Client de la machine	Gardé.
Secret de l'agent	Remplacé. L'ancien secret reste refusé.
Fichier d'identité sur la machine	Remplacé en entier, adresses et empreintes de certificat comprises.
Nom d'hôte, système et version de l'agent	Mis à jour avec ce que l'agent annonce.
Licence	Inchangée. Un rattachement n'est pas une machine de plus.

Le journal d'audit garde les deux étapes : Jeton de rattachement créé, avec le nom de la personne, puis Agent rattaché, avec le nom d'hôte et la version de l'agent.

Limites et précautions

• Un jeton de rattachement est un secret. Ne l'écrivez pas dans un ticket, un message, un dépôt de code ou un script partagé. Collez-le directement sur la machine.
• Le portail refuse le jeton quand une suppression de l'endpoint attend encore. Le message demande d'annuler d'abord cette suppression.
• Le portail refuse aussi le jeton quand l'agent a toujours son accès. Un rattachement ne sert qu'après une révocation.
• Une nouvelle demande de suppression révoque un jeton de rattachement non encore utilisé.
• Après les 72 heures, l'endpoint est supprimé. Il n'y a plus rien à rattacher. Installez une nouvelle machine avec un jeton d'enrôlement normal. Voir Créer un jeton d'enrôlement.
• Utilisez le jeton sur la machine d'origine. Le serveur refuse l'enrôlement quand un autre endpoint actif du même client porte déjà l'identifiant de la machine qui s'enrôle.
• Un assistant IA relié par MCP ne crée pas de jeton de rattachement. Une clé API du MSP avec la portée operate en crée un.
• L'option --no-restart laisse le service en place. Utilisez-la seulement quand vous pilotez le service vous-même, et redémarrez-le ensuite.
• Quand le redémarrage du service échoue, la machine garde quand même sa nouvelle identité. La commande le dit et demande un redémarrage à la main. Ne relancez pas l'enrôlement : le jeton est déjà consommé.
• Un agent dont l'accès est révoqué ne reçoit aucune alerte de version. Rattachez-le d'abord, puis vérifiez sa version. Voir Agent trop ancien.

Référence

• CLI de l'agent : baastide agent enroll.
• API : Enrôlement, route POST /endpoints/{id}/reattach-token.
• API : Endpoints, champ access_revoked de GET /endpoints/{id}.