Qu'est-ce que l'agent WMI ?

L'agent WMI est un logiciel Versa installé sur un appareil Windows au sein d'un domaine Active Directory. Il surveille les événements de connexion et de déconnexion AD et les transmet, via TLS, à un serveur VMS, ce qui permet l'authentification passive des utilisateurs sur les appareils Secure SD-WAN sans nécessiter de portail captif.

Points clés à retenir

• Installé sur un appareil Windows au sein d'un domaine Active Directory.
• Transmet les événements de connexion et de déconnexion AD à un serveur VMS via TLS.
• Permet l'authentification passive des utilisateurs sans avoir besoin d'un portail captif.
• Fonctionne de manière autonome ou en tant que suite logicielle sous Windows Server 2016.
• Prend en charge les filtres par groupe et par utilisateur pour contrôler les éléments à surveiller.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Modèles de déploiement de l'agent WMI · Agent WMI et VMS · FAQ

Pourquoi l'agent WMI est-il important ?

Les portails captifs constituent la méthode par défaut utilisée par les appareils SD-WAN pour vérifier qui est connecté au réseau, mais ils interrompent chaque utilisateur en affichant une page de connexion, ce qui multiplie les frictions dans chaque succursale, jour après jour. L’agent WMI élimine ces frictions pour les utilisateurs Windows membres d’un domaine : comme Active Directory authentifie déjà la connexion, l’agent WMI détecte cet événement et le transmet, ce qui permet au réseau de savoir qui est connecté sans que l’utilisateur n’ait quoi que ce soit à faire.

Ce modèle passif comble également un manque de visibilité pour l’application des politiques. En l’absence d’une mise en correspondance en temps réel entre les utilisateurs et les adresses IP, un dispositif « Secure SD-WAN » ne peut appliquer les politiques qu’en fonction de l’adresse IP ou du sous-réseau – ce qui constitue un substitut insuffisant pour les règles basées sur l’identité, telles que les politiques de pare-feu par utilisateur ou l’accès basé sur les rôles. En transmettant les événements Active Directory via VMS aux dispositifs VOS, l’agent WMI fournit à chaque point d’application une identité utilisateur actualisée en continu sur laquelle fonder l’application des politiques, remplaçant ainsi un portail captif à l’échelle des succursales.

Qu'est-ce que l'agent WMI ?

L'agent WMI est un client Windows Management Instrumentation qui s'installe sur un ordinateur sous Windows 10 ou Windows Server 2016 appartenant à un domaine Active Directory, soit en tant que composant autonome, soit intégré à un progiciel. Une fois configuré avec les informations d'authentification du domaine, il s'abonne aux notifications de connexion et de déconnexion d'Active Directory et les republie sous forme de mises à jour incrémentielles vers un serveur de messagerie en temps réel.

Ce serveur de messagerie est le service de messagerie « Versa » (VMS) : une plateforme de diffusion de messages en continu qui reçoit les événements utilisateur de l’agent WMI et les transmet aux périphériques VOS pour l’application des politiques. La communication s’effectue via une connexion sécurisée basée sur des certificats : un certificat d’autorité de certification racine généré sur le serveur VMS est installé sur l’hôte Windows avant la configuration, puis un certificat client est importé par la suite, afin que les deux extrémités effectuent une authentification TLS bidirectionnelle.

Modèles de déploiement de l'agent WMI

L'agent WMI prend en charge deux modes d'installation sous Windows : un client autonome allégé ou une installation sous forme de package logiciel sur un serveur Windows existant. Les deux fonctionnent sous Windows 10 Client ou Windows Server 2016, et se connectent tous deux vers l'extérieur à un ou plusieurs serveurs VMS configurés avec un nom de domaine complet (FQDN), un port et des paramètres TLS.

La configuration après l'installation porte sur trois domaines. Les paramètres Active Directory définissent le domaine, un compte de service et l'intervalle de reconnexion utilisé par l'agent en cas de perte de connexion ; un compte non administrateur peut être limité à la lecture des journaux d'événements uniquement, plutôt que de se voir accorder tous les droits d'administrateur. Les paramètres VMS définissent le nom du locataire, la durée de validité d'un mappage utilisateur-IP avant son expiration, et la rapidité avec laquelle les événements de connexion en double sont ignorés. Les filtres de groupes et d’utilisateurs permettent ensuite de limiter la surveillance à des groupes Active Directory spécifiques ou à des comptes individuels, afin que les comptes de service non concernés ou les machines partagées ne génèrent pas de bruit. Reportez-vous à la section « Installer et configurer l’agent WMI » pour obtenir la configuration complète, champ par champ.

Agent WMI et VMS

L’agent WMI est l’une des nombreuses sources externes que VMS intègre via son interface « northbound », aux côtés de la comptabilité RADIUS, des mises à jour d’identité SCIM et des flux de renseignements sur les menaces ; VMS normalise les données de chaque source et les transmet en flux « southbound » aux appareils VOS abonnés. Dans ce pipeline spécifique, l’agent WMI alimente le service d’authentification tiers de VMS : celui-ci vérifie l’identité de l’utilisateur sans aucune étape de connexion explicite, permettant ainsi aux périphériques « Secure SD-WAN » d’appliquer une politique tenant compte de l’identité de la même manière qu’un portail captif le ferait, sans jamais en afficher un. Consultez les sections « Installer et configurer VMS » pour savoir comment déployer un cluster VMS, et « Activer et configurer les services VMS » pour activer l’authentification tierce et les autres microservices VMS par locataire.

Questions fréquentes

Que fait exactement l'agent WMI ?

L'agent WMI surveille les événements de connexion et de déconnexion à Active Directory sur un appareil Windows et les transmet à un serveur VMS. VMS distribue ensuite ces données d'identité utilisateur aux appareils VOS, qui les utilisent pour appliquer la politique sans que l'utilisateur ait à se connecter via un portail captif.

Où l'agent WMI est-il installé ?

L'agent WMI s'installe sur un appareil Windows appartenant à un domaine Active Directory : il peut s'agir soit d'un client Windows 10 autonome, soit d'un hôte Windows Server 2016 sur lequel il est exécuté en tant que logiciel. Il doit pouvoir accéder par réseau à la fois au serveur AD et au serveur VMS.

Comment l'agent WMI s'authentifie-t-il auprès de VMS ?

L'agent WMI utilise le protocole TLS basé sur des certificats. Un certificat d'autorité de certification racine généré sur le serveur VMS est installé sur le périphérique Windows avant l'installation de l'agent, puis un certificat client exporté depuis VMS est importé dans l'agent, ce qui permet de réaliser l'authentification mutuelle pour la connexion.

L'agent WMI remplace-t-il un portail captif ?

Oui, pour les utilisateurs Windows rattachés à un domaine. Étant donné qu’Active Directory authentifie déjà la connexion, l’agent WMI transmet passivement cet événement via VMS aux appareils VOS, confirmant ainsi l’identité sans jamais rediriger l’utilisateur vers une page de connexion de portail captif ni lui demander d’effectuer aucune action supplémentaire.

Puis-je définir quels utilisateurs ou groupes l'agent WMI surveille ?

Oui. L'agent WMI prend en charge les filtres de groupe, qui limitent la surveillance à des groupes Active Directory spécifiques, ainsi que les filtres d'utilisateurs, qui permettent de surveiller ou d'ignorer des comptes individuels en fonction de leur nom. Cette fonctionnalité est utile pour exclure les comptes de service, les connexions en mode kiosque ou les machines partagées de l'application des politiques basées sur l'identité.

En savoir plus sur l'agent WMI

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous renseignez sur l'agent WMI, voici quelques liens qui pourraient vous intéresser.