Inventaire automatique avec GLPI Agent

L'inventaire automatique, c'est un petit programme installé sur chaque poste, GLPI Agent, qui relève la configuration de la machine (matériel, système, logiciels, réseau) et l'envoie au serveur GLPI, qui crée ou met à jour la fiche tout seul. Depuis GLPI 10, cet inventaire est natif : plus besoin de FusionInventory ni d'OCS Inventory. Ce chapitre explique comment l'activer, installer et déployer l'agent, comment GLPI décide de créer ou de mettre à jour une fiche, comment sécuriser les échanges et que faire quand un poste ne remonte pas.

Inventaire manuel ou automatique

Saisir 180 postes à la main prendrait des jours, et l'inventaire serait faux dès la première barrette de mémoire changée. On combine donc plusieurs sources :

L'agent ne connaît pas tout : il ne sait ni qui a payé la machine, ni sous quel contrat elle est, ni quand sa garantie expire. La règle est simple : l'agent remplit le technique, l'humain remplit l'administratif.

FusionInventory, OCS et l'inventaire natif : ce qui a changé

Jusqu'à GLPI 9, GLPI ne savait pas inventorier tout seul. On lui adjoignait soit OCS Inventory NG (un serveur d'inventaire séparé, synchronisé avec GLPI par un plugin), soit le plugin FusionInventory et son agent. En 2021, l'équipe de GLPI a repris le code de l'agent FusionInventory pour créer GLPI Agent, et GLPI 10 (2022) a intégré l'inventaire directement dans son cœur.

Aujourd'hui :

• l'inventaire des ordinateurs est natif : on active l'inventaire dans GLPI et on installe GLPI Agent, sans aucun plugin ;
• les tâches avancées (découverte réseau, inventaire SNMP, inventaire d'hôtes VMware, déploiement de logiciels, collecte d'informations ciblées) passent par le plugin GLPI Inventory, disponible dans le marketplace, qui pilote ces tâches et les fait exécuter par un agent ;
• FusionInventory n'est plus compatible avec les versions récentes de GLPI : une instance qui l'utilise encore doit migrer vers l'inventaire natif ;
• OCS Inventory reste un produit à part entière, mais GLPI n'en a plus besoin.

Activer l'inventaire dans GLPI

L'inventaire est désactivé à l'installation. Dans Administration > Inventaire, coche Activer l'inventaire, puis règle les options :

Le dernier point est souvent oublié : sans authentification, n'importe quelle machine du réseau peut envoyer de faux inventaires et polluer ta base. GLPI propose deux méthodes, un client OAuth créé dans Configuration > Clients OAuth, ou une authentification Basic par identifiant et mot de passe.

Installer GLPI Agent sur un poste Windows

L'agent se télécharge sur la page des versions du projet glpi-project/glpi-agent sur GitHub (version 1.21 en octobre 2026), en paquet MSI 64 bits pour Windows. L'installation graphique pose les bonnes questions :

1. Type d'installation : complète, pour pouvoir régler le certificat et le mode d'exécution.
2. Cible : l'adresse du serveur GLPI, celle qui figure dans Configuration > Générale, champ URL de l'application : https://glpi.cedre.lan/.
3. Mode d'exécution : en service (l'agent tourne en permanence et contacte le serveur selon la fréquence fixée par GLPI), en tâche planifiée (lancé toutes les heures ou tous les jours), ou manuel (seulement sur demande). Pour un parc de bureau, le service est le choix habituel.
4. Options : un tag (une étiquette qui servira aux règles d'affectation), le certificat de l'autorité interne pour vérifier le serveur, le proxy éventuel.
5. Lancer un inventaire à la fin de l'installation : coche-le pour vérifier tout de suite.

Quelques minutes plus tard, le poste apparaît dans Parc > Ordinateurs. Sa fiche indique l'agent qui l'a remonté, sa version et la date du dernier contact.

En pratique, on n'installe jamais l'agent poste par poste : on lance le MSI en mode silencieux avec ses options. Les principales :

msiexec /i GLPI-Agent-1.21-x64.msi /quiet SERVER=https://glpi.cedre.lan/ TAG=SIEGE RUNNOW=1 ADD_FIREWALL_EXCEPTION=1 CA_CERT_FILE=C:\pki\ca-cedre.pem

Installer l'agent sous Linux et macOS

Sous Linux, le projet fournit un script d'installation en Perl, qui détecte la distribution et utilise son gestionnaire de paquets. Ses options se consultent avec --help :

sudo perl glpi-agent-1.21-linux-installer.pl --server="https://glpi.cedre.lan/" --runnow

Sans autre option, il installe l'agent en service, avec l'inventaire des ordinateurs, et n'accepte les requêtes sur son port 62354 que depuis le serveur GLPI. Un paquet Snap existe aussi pour les distributions qui le gèrent. Sous macOS, un paquet d'installation s'installe comme n'importe quelle application.

L'outil Glpi-Agent Monitor, à installer en plus sur Windows, affiche une icône dans la barre des tâches : l'utilisateur ou le technicien peut forcer un inventaire et lire le journal de l'agent sans ligne de commande.

Déployer l'agent sur tout le parc

Pour 180 postes Windows dans un domaine Active Directory, la méthode classique est une stratégie de groupe (GPO) appliquée aux ordinateurs :

1. Déposer le MSI dans un partage réseau accessible en lecture par les comptes d'ordinateurs.
2. Créer une GPO liée à l'unité d'organisation des postes, avec un script de démarrage qui lance msiexec avec les options ci-dessus. La documentation de GLPI fournit un script prêt à l'emploi (glpi-agent-deployment.vbs) dont on adapte trois lignes : la version, le chemin du partage, les options.
3. Tester sur une unité d'organisation pilote (les postes de la DSI), vérifier les fiches dans GLPI, puis étendre au reste du parc.

D'autres canaux existent selon l'organisation : un outil de gestion des terminaux comme Microsoft Intune, un script PowerShell lancé à distance, ou le déploiement par le plugin GLPI Inventory une fois un premier agent en place. Le fonctionnement des GPO est expliqué dans le cours Windows Server, et l'installation silencieuse de logiciels sur tout un parc dans le cours Déploiement de postes, au chapitre Déployer des logiciels, des pilotes et des mises à jour.

Ce que l'agent remonte, et ce qu'il ne remonte pas

L'agent remonte le dernier utilisateur connecté à la session Windows ou Linux ; GLPI le relie au compte correspondant quand il le connaît. Mais l'affectation officielle d'un poste (à qui il a été remis, avec quel bon de remise) reste une information de gestion : vérifie-la à chaque mouvement.

Les règles d'inventaire : entité, lieu, import et liaison

Quand un inventaire arrive, GLPI doit décider : dans quelle entité le ranger ? Est-ce une machine déjà connue, à mettre à jour, ou une nouvelle, à créer ? Il applique pour cela des règles, que tu trouves dans Administration > Règles, toujours dans le même ordre.

1. La liste noire écarte d'abord les valeurs absurdes, comme un numéro de série « To be filled by O.E.M. » que certains fabricants laissent vide.
2. Les règles d'affectation d'un élément à une entité choisissent l'entité selon un critère : le tag de l'agent, une plage d'adresses IP, le domaine. Chez Cèdre Habitat : « si le tag est SOLIDARITE, entité Cèdre Solidarité ». Elles peuvent aussi refuser l'import. Si aucune ne correspond, GLPI prend l'entité par défaut réglée dans Administration > Inventaire.
3. Les règles d'affectation d'un lieu déduisent de la même façon le lieu d'un tag ou d'un sous-réseau : le réseau 10.20.0.0/24 correspond au site de Vénissieux.
4. Les règles d'import et de liaison des actifs cherchent enfin une fiche existante, dans l'entité déjà calculée. Elles sont livrées toutes faites et couvrent la plupart des cas : d'abord le même numéro de série et le même UUID, puis d'autres combinaisons (adresse MAC, nom). Si une fiche correspond, elle est mise à jour ; sinon, une fiche est créée. Une règle peut aussi refuser l'import, par exemple pour ignorer les machines d'un réseau d'invités.

Ces règles d'entité placent une fiche à sa création. Une fiche existante ne change d'entité que si l'entité a un modèle des inventaires pour le transfert automatique d'entités ; sinon, GLPI garde l'ancienne entité, même si une règle en désigne une autre, et c'est à toi de transférer la fiche (action massive Transférer).

À part, les dictionnaires (Administration > Dictionnaires) normalisent les noms : trois écritures du même éditeur deviennent une seule, les versions mineures d'un logiciel se regroupent (chapitre 7).

Les verrous : quand l'agent et l'humain se disputent un champ

Que se passe-t-il si tu modifies à la main un champ que l'agent remplit, le nom de la machine par exemple ? GLPI pose un verrou sur ce champ : les inventaires suivants ne le modifieront plus. L'onglet Verrous de la fiche liste les champs verrouillés et permet de les déverrouiller pour rendre la main à l'agent.

C'est utile (garder un nom choisi par la DSI), mais c'est aussi un piège : un champ verrouillé ne se met plus à jour, même quand la réalité change. Si la mémoire d'un poste n'évolue plus dans GLPI après un ajout de barrette, regarde l'onglet Verrous.

Fréquence et inventaire partiel

En mode service, l'agent contacte le serveur, qui lui indique la fréquence d'inventaire réglée dans GLPI (24 heures chez Cèdre Habitat). Depuis la version 1.8, l'agent envoie par défaut des inventaires partiels après un premier inventaire complet : seules les parties qui ont changé sont transmises, ce qui allège le réseau et le serveur. Un inventaire complet repart après un nombre d'inventaires partiels fixé par l'option full-inventory-postpone (14 par défaut).

Ce comportement a une conséquence : si tes règles d'affectation reposent sur l'adresse IP, et que la partie réseau n'a pas changé, elle peut manquer dans un inventaire partiel. La documentation recommande dans ce cas d'exiger la partie réseau à chaque fois (required-category=network) ou de revenir à des inventaires complets (full-inventory-postpone=0), au prix d'une charge plus forte.

Sécuriser les échanges entre les agents et le serveur

L'inventaire est une cartographie détaillée du parc : versions des systèmes, logiciels installés, adresses. C'est précieux pour toi, et pour un attaquant. Quatre mesures :

1. HTTPS avec vérification du certificat : l'agent doit refuser de parler à un serveur qui n'est pas le vrai. Certificat d'une autorité publique, ou certificat interne fourni à l'agent (CA_CERT_FILE, SSL_FINGERPRINT).
2. Authentification des agents (client OAuth ou Basic, dans Administration > Inventaire) : un poste inconnu ne peut pas injecter de fausses fiches.
3. Port 62354 filtré : le serveur peut contacter l'agent sur ce port pour lui demander un inventaire immédiat. Seul le serveur GLPI doit pouvoir le joindre ; c'est le comportement par défaut de l'installation Linux, et une règle de pare-feu à poser sur Windows.
4. Droits de lecture limités : la liste des logiciels et de leurs versions ne regarde que la DSI (profils, chapitre 3).

Inventorier le réseau et les imprimantes en SNMP

Les commutateurs, routeurs, bornes et imprimantes réseau n'accueillent pas d'agent. On les interroge par SNMP, avec le plugin GLPI Inventory :

1. Découverte réseau : un agent désigné balaie une plage d'adresses et repère les équipements qui répondent ; ceux qu'il ne sait pas identifier apparaissent comme actifs non gérés (Parc > Actifs non gérés), à convertir en fiches ou à ignorer.
2. Inventaire réseau : pour les équipements identifiés, l'agent lit en SNMP le modèle, le firmware, les ports et les adresses MAC vues sur chaque port. GLPI peut alors relier un poste à la prise du commutateur où il est branché.

Ces tâches se programment dans le plugin et s'exécutent par un agent qui a les modules réseau (feat_NETINV). Préfère SNMPv3, qui authentifie et chiffre, à SNMPv2c, dont la communauté circule en clair ; le protocole est détaillé dans le cours Supervision.

Saisir à la main et importer des fichiers

Pour ce que l'agent ne voit pas, la saisie manuelle reste nécessaire : un écran, un vidéoprojecteur, un téléphone fixe, un lot de portables en stock. Utilise les gabarits (chapitre 5) pour ne pas tout ressaisir et pour numéroter automatiquement.

Pour une machine qui ne peut pas joindre le serveur (un poste isolé dans un atelier), l'agent peut écrire son inventaire dans un fichier (option LOCAL) ; on l'importe ensuite dans Administration > Inventaire, rubrique d'import de fichiers, qui accepte aussi les formats XML et OCS et une archive de plusieurs fichiers. Pour importer un tableau de matériel venant d'une autre source (un fichier CSV du fournisseur), le plugin Data Injection associe chaque colonne du fichier à un champ de GLPI ; vérifie sur le marketplace qu'il est disponible pour ta version.

Dépanner un poste qui ne remonte pas

Pour voir ce qui se passe, lance un inventaire à la main en affichant le journal dans la console : glpi-agent --force --logger=stderr --debug (ajoute un second --debug pour plus de détails sur la connexion TLS). La méthode de diagnostic elle-même est celle du cours ITIL : délimiter, faire des hypothèses, tester du plus simple au plus complexe.

Exercices

msiexec /i GLPI-Agent-1.21-x64.msi /quiet SERVER=https://glpi.cedre.lan/ TAG=SOLIDARITE RUNNOW=1 ADD_FIREWALL_EXCEPTION=1 EXECMODE=1 CA_CERT_FILE=C:\pki\ca-cedre.pem