GLPI 2/3 : premiers réglages et inventaire par l’agent GLPI

6. Installation web et premiers réglages

6.1 L’assistant d’installation

Depuis un poste du réseau, ouvrez https://glpi.sio.lan (acceptez l’avertissement du certificat autosigné, uniquement en maquette) :

1. Choisissez la langue Français, acceptez la licence (GPL v3), puis cliquez sur Installer.
2. Lisez le contrôle de compatibilité : chaque ligne doit être verte. Une ligne orange (recommandation) se lit et se comprend ; une ligne rouge bloque l’installation.
3. Connexion à la base : serveur localhost, utilisateur glpi, mot de passe généré au § 3.3 de GLPI 1/3.
4. Sélectionnez la base glpi créée précédemment, puis laissez l’assistant initialiser les tables.
5. Terminez l’assistant. Notez le message final : il rappelle les comptes par défaut.

Identifiant / mot de passe	Profil	Action à faire
glpi / glpi	Super-Admin	Créer votre propre compte administrateur nominatif, puis désactiver ce compte
tech / tech	Technician	Désactiver (ou supprimer)
normal / normal	Observer	Désactiver (ou supprimer)
post-only / postonly	Self-Service	Désactiver (ou supprimer)

Supprimez ensuite le script d’installation : il permettrait de relancer l’installation et d’écraser votre configuration.

sudo rm /var/www/glpi/install/install.php

Si GLPI affiche un bandeau proposant de désactiver les données de démonstration, faites-le pour partir d’une base vierge.

6.2 Un compte d’administration nominatif

Dans Administration > Utilisateurs > Ajouter, créez par exemple adm-prenom.nom avec le profil Super-Admin sur l’entité racine (récursif). Déconnectez-vous, reconnectez-vous avec ce compte, puis désactivez glpi. Un compte nominatif rend les actions traçables : l’historique indique qui a fait quoi, alors qu’un compte partagé ne prouve rien.

6.3 Les actions automatiques (cron)

GLPI exécute des tâches de fond : envoi des notifications, nettoyage, alertes de fin de garantie, etc. Plutôt que de les déclencher au fil de la navigation des utilisateurs, on les confie au planificateur du système, sous le compte du serveur web :

sudo crontab -u www-data -e
# Ajouter la ligne :
* * * * * /usr/bin/php /var/www/glpi/front/cron.php

Puis dans Configuration > Actions automatiques, passez le mode d’exécution des actions en CLI.

6.4 Configuration générale et sécurité

• Configuration > Générale > Configuration générale : renseignez l’URL de l’application https://glpi.sio.lan (utilisée dans les liens des notifications).
• Configuration > Générale > Sécurité : définissez une politique de mot de passe (longueur minimale, complexité) pour les comptes locaux et activez l’authentification à deux facteurs (TOTP) au moins pour les comptes d’administration.
• Laissez l’API désactivée tant que vous n’en avez pas l’usage : une fonction inutilisée est une surface d’attaque gratuite.

6.5 Organiser son GLPI

Notion	Définition	Exemple dans la maquette
Entité	Périmètre de données (site, client, service). Les droits se donnent par entité.	Entité racine « SIO » ; sous-entités possibles par bâtiment
Profil	Ensemble de droits	Self-Service (utilisateur), Technician, Admin, Super-Admin
Habilitation	Profil + entité attribués à un utilisateur	M. Durand : Technician sur « SIO », récursif
Catégorie ITIL	Classement des tickets	Matériel > Imprimante ; Logiciel > Messagerie ; Compte > Mot de passe
Lieu	Localisation physique	Bâtiment A > Salle 101
Règle	Traitement automatique (droits, inventaire, tickets)	Les membres du groupe AD des techniciens reçoivent le profil Technician

7. L’inventaire automatique : l’agent GLPI

Saisir le parc à la main est long et vite faux. L’agent GLPI est un petit programme installé sur chaque poste : il collecte le matériel, le système, les logiciels, le réseau, puis envoie un inventaire au format JSON au serveur, en HTTPS. Depuis GLPI 10, l’inventaire est natif : aucun plugin n’est nécessaire (FusionInventory n’est plus utile).

Élément	Valeur dans la maquette
URL du serveur pour l’agent	https://glpi.sio.lan/front/inventory.php
Version de l’agent	1.20, septembre 2026 (vérifier la dernière sur GitHub)
Interface locale de l’agent	http://127.0.0.1:62354 (sur le poste lui-même)
Mode d’exécution	Service Windows / service systemd : l’agent contacte le serveur périodiquement

7.1 Activer l’inventaire dans GLPI

Administration > Inventaire : cochez Activer l’inventaire, puis enregistrez. Tant que cette case n’est pas cochée, GLPI refuse toutes les remontées d’agents.

7.2 Préparer la confiance dans le certificat

Notre certificat est autosigné : l’agent doit le connaître pour accepter la connexion. Copiez-le depuis le serveur vers les postes (par exemple dans C:\Certs\glpi.pem sous Windows). Le fichier .crt généré au § 5.1 de GLPI 1/3 est déjà au format PEM ; seule l’extension change.

# Depuis le poste Windows (PowerShell), récupération par SCP :
mkdir C:\Certs
scp admin@192.168.50.20:/etc/ssl/certs/glpi.sio.lan.crt C:\Certs\glpi.pem

7.3 Agent Windows — installation graphique (découverte)

1. Téléchargez GLPI-Agent-1.20-x64.msi depuis le GitHub officiel et lancez-le en administrateur.
2. Choisissez l’installation personnalisée (Custom) pour voir les options.
3. Remote targets : https://glpi.sio.lan/front/inventory.php.
4. Dans les options SSL, indiquez le fichier de certificat C:\Certs\glpi.pem ; ne cochez pas la désactivation du contrôle SSL.
5. Laissez le mode Service Windows ; ne cochez pas l’exception de pare-feu (inutile pour l’inventaire, voir 7.7).
6. Terminez l’installation.

7.4 Agent Windows — installation silencieuse (méthode d’administrateur)

Sur un parc, on n’installe pas poste par poste à la souris : on utilise une ligne de commande que l’on pourra ensuite déployer par GPO, WAPT ou Ansible. À lancer dans une invite de commandes (cmd) administrateur — la documentation de l’agent déconseille PowerShell pour cette commande :

msiexec /i GLPI-Agent-1.20-x64.msi /quiet ^
  SERVER=https://glpi.sio.lan/front/inventory.php ^
  CA_CERT_FILE=C:\Certs\glpi.pem ^
  EXECMODE=1 ^
  TAG=SALLE-101 ^
  RUNNOW=1

Paramètre	Rôle
/quiet	Installation sans fenêtre
SERVER	Adresse du serveur GLPI qui reçoit l’inventaire
CA_CERT_FILE	Certificat à qui faire confiance (fichier .pem obligatoire)
EXECMODE=1	L’agent tourne comme un service Windows
TAG	Étiquette libre (salle, site) réutilisable dans les règles d’inventaire de GLPI
RUNNOW=1	Lance un premier inventaire juste après l’installation

7.5 Vérifier que tout fonctionne

• Sur le poste : le service tourne-t-il ? sc query glpi-agent (cmd) ou Get-Service glpi-agent (PowerShell).
• Sur le poste : ouvrez http://127.0.0.1:62354 et cliquez sur Force an Inventory pour déclencher un inventaire immédiat.
• Sur le poste : lisez le journal C:\Program Files\GLPI-Agent\logs\glpi-agent.log (erreurs SSL, refus du serveur…).
• Dans GLPI : Parc > Ordinateurs — le poste apparaît avec son matériel, son système et ses logiciels. L’onglet Agent de la fiche indique la date du dernier contact.

7.6 Agent Linux (Debian)

cd /tmp
wget https://github.com/glpi-project/glpi-agent/releases/download/1.20/glpi-agent-1.20-linux-installer.pl
sudo perl glpi-agent-1.20-linux-installer.pl --server=https://glpi.sio.lan/front/inventory.php

# Déclarer le certificat du serveur GLPI à l'agent
sudo scp admin@192.168.50.20:/etc/ssl/certs/glpi.sio.lan.crt /etc/glpi-agent/glpi.pem
echo "ca-cert-file = /etc/glpi-agent/glpi.pem" | sudo tee /etc/glpi-agent/conf.d/90-securite.cfg

sudo systemctl restart glpi-agent
sudo glpi-agent --force          # inventaire immédiat

7.7 Sécuriser les remontées d’inventaire

Sans authentification, n’importe quelle machine qui connaît l’URL peut envoyer un faux inventaire : fausses machines, données piégées. Ce n’est pas théorique : GLPI a déjà corrigé des failles exploitables via l’inventaire (XSS stockée corrigée en 11.0.6). Une fois votre premier inventaire réussi, ajoutez une authentification :

• Dans Administration > Inventaire, choisissez une méthode d’authentification des agents : authentification basique (identifiant + mot de passe) ou, depuis GLPI 11, OAuth — identifiants client (identifiant et secret générés par GLPI ; le secret n’est affiché qu’une fois).
• Côté agent Windows : paramètres USER= et PASSWORD= (basique). Côté agent Linux : user = et password = dans un fichier de /etc/glpi-agent/conf.d/, ou oauth-client-id / oauth-client-secret pour OAuth.
• Relancez un inventaire et vérifiez qu’un agent sans identifiants est désormais refusé (lisez son journal).