Agentes

Tela: Agentes e coletores (1/4)

Tela: Agentes e coletores (2/4)

Tela: Agentes e coletores (3/4)

Tela: Agentes e coletores (4/4)

O agente é o serviço do Hive que roda no Windows, Linux e macOS: envia o inventário, avalia as regras de monitoração na própria máquina e guarda uma fila local de até 7 dias quando está sem conexão. Ele só se conecta para fora (HTTPS 443) ao gateway, com um certificado por aparelho que ele mesmo renova 30 dias antes de vencer. Um coletor é um agente com um papel a mais: de dentro da rede, ele faz varreduras sem agente, lê o Active Directory e instala agentes remotamente. Tudo sobre eles fica em Ativos › Agentes; a contra-senha de uso único para remover um agente à mão fica em Ativos › Contra-senha.

Os botões Novo agente e Instalar um coletor no topo abrem os dois assistentes (criar o agente, criar um coletor). Ver a tela pede Ver ativos; toda ação pede Administrar agentes.

A aba abre com quatro números:

Versões em uso e Último contato (menos de 5 min, 5 min a 1 h, 1 h a 24 h, 1 a 7 dias, mais de 7 dias) mostram o parque de relance. Em Agentes com problema, cada linha traz a máquina, o que aconteceu e Como resolver. Quando a correção é uma ação fixa do agente, a linha tem o botão dela: Sincronizar horário (relógio errado faz o certificado ser recusado), Limpar temporários (disco cheio; só arquivos temporários sem uso há mais de 7 dias) e Enviar a fila agora (mais de 20 inventários esperando). O resultado volta em até 1 minuto e tanto o pedido quanto o resultado vão para a trilha de auditoria.

O texto do problema vem do último erro que o agente informou, por exemplo: relógio fora de hora, disco cheio, proxy inspecionando HTTPS, nome do gateway que não resolve, gateway inalcançável ou certificado do agente que não vale mais. Sem erro, o Hive explica o estado: quarentena, sem contato há mais de um dia, sem dar sinal há mais de 15 minutos ou certificado perto de vencer.

Em Agentes, busque por nome da máquina, versão ou sistema e filtre por Estado (Online, Atrasado, Desligado, Revogado). As colunas mostram versão, anel, último contato, último inventário, fila e data do certificado; coletores têm o rótulo Coletor. Clique num nome para abrir a ficha: o problema explicado, Abrir ativo e o painel Autoproteção (pausa de manutenção de 5 a 240 minutos, ordem de desinstalação assinada, resposta ao desafio e as ordens esperando aprovação). Revogar deixa de aceitar o certificado da máquina na hora; para trazê-la de volta, instale de novo com um instalador novo.

Em Classes, cada agente lê a classe da sua máquina e a classe vai no certificado com o teto do que ele pode fazer (a tabela O que cada classe pode fazer). Uma classe mais restrita vale na hora. Uma menos restrita põe o aparelho em quarentena (só inventário, telemetria e monitoração) e cria um pedido em Trocas de classe esperando aprovação; outro administrador aprova ou recusa — quem pediu não pode aprovar.

Em Tokens de instalação, Novo token de instalação pede um nome, o máximo de instalações, a validade (1, 7, 30 ou 90 dias) e o anel. O token aparece uma única vez. Revogar recusa novas instalações com ele; agentes já inscritos continuam funcionando.

As novas versões do agente são assinadas pelo provedor. Estações e hosts de VDI passam pelos anéis Piloto, Antecipado e Geral, depois vêm os servidores (24 horas depois, por padrão) e o Tier 0 por último, só à mão, com Liberar para o Tier 0 por um operador de nível T0. Cada agente pertence ao anel escolhido no seu instalador ou token.

Com a Atualização automática ligada (o padrão), cada versão publicada começa sozinha: piloto por 2 h, antecipado por 12 h, depois todos, pausando acima de 10% de falhas. Você pode mudar esses números. Com ela desligada, cada versão espera como Prontas para começar até você clicar em Começar distribuição. O agente baixa a versão do seu sistema e arquitetura, confere a assinatura, troca o próprio binário e reinicia; se a versão nova não conseguir falar com o Hive, ele volta para a anterior, e nunca recebe uma versão menor.

Exemplo prático: achar os agentes desligados há mais de 24 horas e o motivo

Segunda de manhã, a aba Saúde mostra 412 agentes: 398 online, 5 atrasados e 9 desligados.

Exemplo prático: pôr um servidor de aplicação na classe Servidor

APP-HR-02 foi instalado com um instalador de Estação, mas é um servidor de aplicação e precisa seguir as regras de servidor.

A versão 4.8.2 foi publicada e a atualização automática está desligada.

Exemplo prático: obter a contra-senha de desinstalação de uma máquina

Um técnico precisa remover o agente de FIN-NB-031, que vai voltar para a locadora, e a máquina estásem rede.

Tela: Distribuir o agente (1/2)

Tela: Distribuir o agente (2/2)

Este artigo mostra todas as formas de levar o agente a muitas máquinas sem passar em uma por uma: o MSI do Windows já configurado, a Política de Grupo, o Intune, o Jamf e o SCCM, a instalação remota pelo coletor via WinRM e o compartilhamento administrativo (ADMIN$) por SMB para uma faixa de endereços IP. Os instaladores que você gera ficam em Ativos › Agentes › Instaladores; a instalação em lote é feita em Integrações › Diretório › Máquinas sem agente e acompanhada em Integrações ›Diretório › Instalações.

Quando você escolhe Windows em Novo agente, o download é o hive-agent.msi já configurado: o endereço do gateway, a autoridade certificadora para confiar nele, o token de instalação e os módulos escolhidos vão dentro do arquivo. Nada é editado na máquina — nem arquivo hosts, nem JSON, nem script: dê dois cliques ou instale em silêncio:

O MSI grava a configuração na pasta do agente, legível só por SYSTEM e Administradores, e registra o serviço HiveAgent. GATEWAY= e TOKEN= na linha de comando substituem o que está dentro do arquivo, só quando você precisar. Para SCCM / ConfigMgr, o assistente dá o programa de instalação ( msiexec /i hive-agent.msi /qn /norestart ), o programa de desinstalação e um script de detecção que confere se o serviço HiveAgent está rodando. Em produção, o endereço do gateway precisa ser um nome DNS que as máquinas resolvem e que está no certificado do gateway.

No Windows, o MSI e o install.ps1 (também por GPO) criam, para todos os usuários, o atalho Hive Store no menu Iniciar e na Área de Trabalho, e o ícone do Hive na área de notificação, iniciado a cada logon. Duas opções mudam isso:

Por exemplo: msiexec /i hive-agent.msi /qn STORESHORTCUT=0 TRAY=0 . O ícone aparece a partir do próximo logon, vem ligado por padrão em estações de trabalho e VDI, em servidores só quando pedido, e nunca no Tier 0. Desinstalar o agente remove os atalhos e o ícone. Veja Loja de software.

Em Integrações › Diretório › Máquinas sem agente, escolha uma OU (com Esconder provavelmente desativadas para pular computadores sem login há mais de 90 dias), selecione máquinas ou Selecionar toda a OU, depois Instalar agente e escolha o Método:

Começar instalação abre o painel de andamento, que se atualiza sozinho (a cada 3 segundos; a cada 15 segundos na GPO). Cada máquina tem um estado:

Instalações lista cada lote com o método, a OU, as máquinas, as instaladas, as com erro e quem começou; clique na data para abrir o painel de novo.

Não há nova tentativa automática: corrija a causa e comece a instalação de novo com a mesma OU, seleção ou faixa. É seguro — os lotes só pegam máquinas ainda sem agente, os instaladores por WinRM e ADMIN$ pulam a máquina em que o agente já existe ("Agente já presente.") e o script de inicialização da GPO não faz nada quando o serviço existe. Acompanhe o resultado em Ativos ›Agentes › Saúde e cobertura: Cobertura conta os computadores, notebooks, servidores e VMs ativos que têm agente, e a barra fica verde a partir de 90%. Use Ver as N máquinas sem agente para achar o que falta.

O domínio corp.local tem 214 computadores em OU=Workstations-SP ; 180 estão sem agente.

O pacote da GPO leva o agente e um script de inicialização, não o MSI. Se preferir o MSI, gere-o em Novo agente com Quantas máquinas podem usar este instalador em 180 e rode msiexec /i hive-agent.msi /qn pelo seu próprio script de inicialização ou ferramenta.

Exemplo prático: instalação por WinRM em 10.20.0.0/24 com uma conta do domínio

Uma varredura semanal de 10.20.0.0/24 achou 37 máquinas Windows sem agente.

Quando as mesmas máquinas estão no Active Directory, dá para fazer pela aba Máquinas sem agente com Instalação remota pelo coletor (WinRM): aí cada máquina também tem sua linha de andamento.

Uma rede de fábrica tem máquinas Windows que não estão no domínio.