Connecteur GLPI

Le Connecteur GLPI alimente la CMDB de Portail ZAPP avec les ordinateurs, les équipements réseau, les imprimantes, les écrans, les périphériques et les téléphones gérés dans GLPI (versions 10 et 11). Portail ZAPP interroge l'API REST de GLPI, directement depuis son serveur ou, si GLPI n'est pas joignable depuis celui-ci, par un agent Outpost installé sur le réseau de GLPI (voir « GLPI fermé : mode Outpost »). Les écrans sont réservés aux administrateurs ; l'entrée GLPI se trouve dans le menu Administration › Connecteurs et automatisation.

Le connecteur ne modifie jamais GLPI : il ne fait que lire.

Ce qui est importé

À chaque collecte, le connecteur lit les ordinateurs de GLPI et crée ou met à jour, dans la CMDB, un Ordinateur par machine avec :

son nom, son domaine, son numéro de série et son UUID ;
son système d'exploitation et sa version ;
son processeur et sa mémoire (somme des barrettes) ;
ses disques (nom, taille, espace libre), ses ports réseau (nom, adresse MAC, adresse IP) et ses logiciels installés (nom, version, éditeur, date d'installation), selon les composants choisis pour la source.

Les modèles d'ordinateur de GLPI ne sont jamais importés. Les objets placés dans la corbeille de GLPI ne le sont que si la source le demande.

Si la source le demande (Objets GLPI importés), le connecteur lit aussi :

les équipements réseau : un Équipement réseau par équipement dans la CMDB, avec son nom, son numéro de série, son type d'équipement (Switch, Routeur, Pare-feu… quand le type GLPI correspond à l'un d'eux), son constructeur, son modèle, son firmware et son lieu ; avec les ports réseau, ses ports (adresse MAC et IP) et son adresse IP ;
les imprimantes réseau : un Équipement réseau de type Imprimante, avec les mêmes informations. Une imprimante sans adresse réseau (branchée en USB) devient une Imprimante, rapprochée par son numéro de série ;
les écrans, périphériques et téléphones : un Écran, un Périphérique ou un Appareil mobile, avec nom, numéro de série, marque, modèle, état et informations d'achat. Ils sont rapprochés par leur numéro de série seul, jamais par leur nom : un élément sans numéro de série a sa propre fiche ;
les connexions : si les ordinateurs sont importés, les éléments que GLPI leur relie (onglet « Connexions ») sont reliés à l'ordinateur dans la CMDB (« connecté à »). Une connexion retirée dans GLPI est retirée à la collecte complète suivante ; un lien que vous avez posé à la main n'est jamais retiré.

Un équipement déjà trouvé par l'inventaire réseau n'est pas dupliqué : il est rapproché par son numéro de série, ses adresses MAC ou son nom.

Selon les champs GLPI choisis pour la source (voir plus bas), le connecteur importe aussi l'état, le fabricant, le modèle, les dates d'achat et de fin de garantie, le coût d'achat, et tout autre champ de GLPI ou du plugin Fields relié à un champ de la CMDB. Si la source le demande, chaque ordinateur est aussi rattaché à son emplacement dans la CMDB d'après son lieu GLPI (voir « Emplacement des ordinateurs »). Si la source le demande aussi, l'utilisateur et le technicien GLPI de chaque ordinateur sont rapprochés d'un compte Portail ZAPP (voir « Utilisateurs des ordinateurs »).

Un poste déjà connu n'est pas dupliqué : s'il a été importé par une autre source (Ivanti UEM, Intune…), il est rapproché par son UUID, son numéro de série, ses adresses MAC ou son nom, et ses champs sont complétés. Les numéros de série génériques que GLPI contient souvent (« To Be Filled By O.E.M. », « Default string », « 0 », « System Serial Number »…) et les UUID tout à zéro sont ignorés pour le rapprochement : deux machines différentes ne sont jamais fusionnées sur une série factice.

Avant de créer une source

Côté GLPI, un administrateur prépare l'accès :

Activer l'API REST : Configuration › Générale › API, cocher « Activer l'API REST » et « Activer la connexion avec un jeton externe ».
Créer un client d'API sur le même écran : actif, sans restriction d'adresse ou avec l'adresse du serveur de Portail ZAPP, puis régénérer son jeton d'application (App-Token).
Créer un profil en lecture seule : cloner le profil Read-Only et lui retirer la lecture de la Configuration générale. Le connecteur n'a besoin d'aucun droit d'écriture.
Créer un utilisateur dédié avec ce profil sur l'entité racine, récursive. Dans son onglet Clés d'accès distant, cocher Régénérer à côté du jeton d'API, puis Sauvegarder : le jeton n'existe qu'après l'enregistrement.

Dans Portail ZAPP, enregistrez ces deux jetons dans le Coffre de secrets : la source désigne chaque jeton par le nom de son secret, jamais par sa valeur.

HTTP ou HTTPS

Préférez une adresse https://. En HTTPS, le certificat de GLPI doit être reconnu par le serveur de Portail ZAPP : un GLPI dont le certificat est émis par une autorité interne suppose que cette autorité soit approuvée sur ce serveur. Il n'existe aucune option pour ignorer une erreur de certificat.

Une adresse http:// n'est acceptée qu'en cochant Autoriser le HTTP non chiffré : les jetons GLPI circulent alors en clair sur le réseau. La fiche de la source l'affiche en permanence.

Pour des raisons de sécurité, une adresse de la machine elle-même (localhost, 127.0.0.1) ou une adresse de métadonnées d'un hébergeur cloud est toujours refusée. Les adresses de réseau privé sont acceptées. GLPI ne peut pas rediriger le connecteur vers un autre serveur.

GLPI fermé : mode Outpost

Si le serveur de Portail ZAPP ne peut pas joindre GLPI (par exemple Portail ZAPP hébergé en ligne et GLPI sur votre réseau interne), choisissez un groupe de machines dans Lecture de GLPI : un agent Outpost de ce groupe lit GLPI à la place du serveur. Il faut au moins un agent actif, en version 0.5.7 ou plus récente, et qui joint lui-même GLPI.

Un seul agent du groupe travaille à chaque collecte : le premier agent actif compatible.
Si cet agent est arrêté, la demande échoue faute de réponse (AgentNoReply) ; la synchronisation se fait à la prochaine exécution planifiée, quand la machine est revenue.
En HTTPS, c'est la machine de l'agent qui vérifie le certificat de GLPI : l'autorité qui l'a émis doit y être approuvée, et le nom de GLPI doit y être résolu.
Les jetons lui sont transmis le temps de la lecture ; ils ne sont jamais conservés sur la machine.
Le délai d'attente s'applique à chaque demande faite à l'agent, au plus 300 secondes.
Tester la connexion, les Champs GLPI et la collecte fonctionnent de la même façon dans les deux modes ; en mode Outpost, le test de connexion et la découverte des champs nomment l'agent qui a répondu.
La colonne Lecture de GLPI de la liste des sources indique le mode de chaque source : « Direct » ou « Outpost ·

Sans le module Outpost, la liste est grisée et seul le mode direct est possible.

Créer une source

La page Sources GLPI liste les sources avec leur adresse, leur planification et leur état. Cliquez sur + Nouvelle source et renseignez :

Nom et Slug (identifiant court, sans espace ; il ne se modifie plus après la création) ;
URL de l'API REST de GLPI : l'adresse de apirest.php, ou la racine de GLPI (apirest.php est ajouté) ;
Autoriser le HTTP non chiffré : seulement pour une adresse en http:// ;
Lecture de GLPI : Mode direct (par défaut), ou un groupe de machines Outpost si GLPI n'est pas joignable depuis le serveur (voir « GLPI fermé : mode Outpost ») ;
Secret : jeton d'application (App-Token) et Secret : jeton d'API de l'utilisateur (user_token) : choisissez les secrets dans les listes. Si elles sont vides, le lien en créer un mène au coffre de secrets ;
Délai d'attente d'un appel : de 5 à 600 secondes (60 par défaut) ;
Objets GLPI importés : ordinateurs, équipements réseau, imprimantes, écrans, périphériques, téléphones. Seuls les ordinateurs sont cochés par défaut ;
Importer aussi les objets de la corbeille GLPI : décoché par défaut ;
Composants importés : disques, ports réseau, logiciels installés, tous cochés par défaut. Les logiciels sont les plus longs à lire : les décocher accélère nettement la collecte d'un grand parc. Si le profil GLPI ne peut pas lire les équipements réseau, les ports réseau ne sont pas importés (les ordinateurs le sont quand même) ;
Rattacher les ordinateurs à leur emplacement : décoché par défaut (voir « Emplacement des ordinateurs ») ;
Rapprocher les utilisateurs GLPI des comptes utilisateurs et l'ordre des clés : décoché par défaut (voir « Utilisateurs des ordinateurs ») ;
Relier les contacts CMDB aux ordinateurs : décoché par défaut (voir « Réconcilier les utilisateurs à la main ») ;
Planification (cron, optionnel) : la fréquence de collecte, choisie avec l'assistant. Sans planification, la source ne se synchronise que par « Synchroniser maintenant ».

Cliquez sur Enregistrer : la fiche de la source s'ouvre.

Tester la connexion

Sur la fiche, Tester la connexion ouvre une session dans GLPI avec les deux jetons, affiche la version de GLPI, puis referme la session. Rien n'est importé ni enregistré. En cas d'échec, un message explique la cause (voir le tableau ci-dessous).

Synchroniser maintenant

Synchroniser maintenant (dans la liste ou sur la fiche) lance une collecte en arrière-plan : l'écran rend la main aussitôt. Une seule collecte à la fois par source : un second clic pendant une collecte est refusé. Une source désactivée ne se synchronise pas.

Pour aller vite, une collecte ne relit que les objets modifiés dans GLPI depuis la dernière collecte réussie. Elle relit tous les objets :

si vous cochez Collecte complète à côté de « Synchroniser maintenant » sur la fiche ;
si aucune collecte n'a réussi depuis 7 jours ;
après une modification qui le demande (champs GLPI, composant recoché, type d'objet ajouté, corbeille, adresse de GLPI) : la fiche indique alors « La prochaine collecte sera complète » et la case est déjà cochée.

GLPI ne signale pas toujours qu'un ordinateur a changé quand seuls ses logiciels ont changé : ce changement est alors repris au plus tard par la collecte complète hebdomadaire, ou tout de suite avec Collecte complète.

Le cadre Dernière collecte de la fiche indique son statut, ses heures de début et de fin, le nombre d'objets importés et d'erreurs. Rechargez la page pour suivre une collecte en cours. Il indique aussi le Mode de cette collecte (« Direct » ou « Outpost ·

Emplacement des ordinateurs

Avec l'option Rattacher les ordinateurs à leur emplacement, le lieu GLPI de chaque ordinateur (son chemin complet, par exemple « Siège > Bâtiment A > Salle 101 ») est rapproché d'un emplacement de la CMDB de même chemin, sans tenir compte de la casse ni des accents : « siege > batiment a » retrouve « Siège > Bâtiment A ». L'ordinateur est alors associé à cet emplacement ; s'il en avait un autre, il est remplacé.

Un emplacement qui n'existe pas encore est créé, avec ses parents manquants ; les parents déjà présents sont réutilisés.
Un ordinateur sans lieu dans GLPI garde son emplacement.
Si plusieurs emplacements de la CMDB portent le même chemin, le lieu est ambigu : l'ordinateur n'est pas rattaché, et le lieu apparaît dans le cadre Dernière collecte. Renommez l'un des emplacements pour lever l'ambiguïté.
Un changement de lieu dans GLPI est repris à la collecte suivante.
Seuls les ordinateurs sont rattachés ; les équipements réseau gardent leur lieu en texte.

Utilisateurs des ordinateurs

Avec l'option Rapprocher les utilisateurs GLPI des comptes utilisateurs, l'utilisateur GLPI d'un ordinateur devient son utilisateur principal dans la CMDB, et le technicien responsable son propriétaire. Chaque utilisateur GLPI est rapproché d'un compte Portail ZAPP par des clés essayées dans l'ordre choisi (Clé 1 à Clé 3) ; la première qui désigne un seul compte l'emporte :

Identifiant d'annuaire AD : quand GLPI synchronise l'Active Directory par l'identifiant objectGUID, cet identifiant est cherché parmi les comptes synchronisés par AdSync ;
Login : le login GLPI est cherché parmi les logins Portail ZAPP, sans tenir compte de la casse ;
Adresse e-mail : chaque adresse de l'utilisateur GLPI est cherchée, sans tenir compte de la casse ni des accents.

Une clé qui désigne plusieurs comptes (deux comptes avec la même adresse, par exemple) fait passer à la suivante. Un compte supprimé n'est jamais retenu ; un compte désactivé l'est.

Aucun compte utilisateur n'est créé.
Un utilisateur sans correspondance laisse le champ tel quel : il n'est jamais vidé.
Le cadre Dernière collecte compte les utilisateurs rapprochés et liste ceux qui ne l'ont pas été, avec le motif (« Aucun compte » ou « Plusieurs comptes ») et le nombre d'ordinateurs concernés.
Quand Intune fournit aussi l'utilisateur principal d'une machine, Intune l'emporte.

Réconcilier les utilisateurs à la main

Le bouton Réconcilier les utilisateurs de la fiche ouvre la liste des utilisateurs GLPI désignés par les ordinateurs : l'onglet À traiter montre ceux que les clés n'ont pas rapprochés, l'onglet Tous l'ensemble. Pour chacun : login, nom, adresses, nombre d'ordinateurs, résultat du rapprochement automatique et décision prise.

Lier à un compte : cherchez le compte par son nom, son login ou son adresse (sans tenir compte de la casse ni des accents), puis Lier.
Créer les contacts : pour une personne sans compte, cochez-la, choisissez son tiers de rattachement et créez le contact ; il est prérempli avec son nom et son adresse.
Ignorer : l'utilisateur ne sera plus proposé ni compté comme non rapproché.
Retirer la décision : l'utilisateur repasse par les clés.

Les cases à cocher permettent de traiter plusieurs utilisateurs à la fois. Une décision l'emporte sur les clés et s'applique à la prochaine collecte, qui sera complète : lancez Synchroniser maintenant pour l'appliquer tout de suite. Un utilisateur lié à un contact ne remplit ni l'utilisateur principal ni le propriétaire ; avec l'option Relier les contacts CMDB aux ordinateurs, ses ordinateurs sont reliés au contact (« utilisé par » pour l'utilisateur, « géré par » pour le technicien).

Résultat d'une collecte

Le cadre Dernière collecte affiche l'un de ces statuts :

Succès : tous les objets ont été importés ;
Succès partiel : certains objets n'ont pas pu être traités ; les autres sont importés normalement ;
Erreur : la collecte n'a rien importé ; la cause est indiquée par un code :

Code	Signification
`AuthenticationFailed`	GLPI refuse le jeton d'application ou le jeton d'API de l'utilisateur
`Forbidden`	Le profil GLPI de l'utilisateur n'a pas le droit de lire les ordinateurs
`ApiDisabled`	L'API REST est désactivée dans GLPI
`GlpiUnavailable`	GLPI injoignable, délai dépassé, redirection refusée ou réponse illisible
`Throttled`	GLPI limite le nombre d'appels ; la collecte suivante réessaiera
`InsecureHttpRefused`	Adresse en http:// sans l'option « Autoriser le HTTP non chiffré »
`SecretResolutionFailed`	Un des secrets désignés est introuvable ou illisible
`SecretResolutionUnavailable`	Le coffre de secrets n'est pas installé
`InvalidConfig`	La source est incomplète : modifiez-la
`AllItemsFailed`	Aucun objet n'a pu être traité
`AlreadyRunning`	Une collecte de cette source est déjà en cours
`InvalidMappings`	Deux mappings actifs visent le même champ CMDB
`CmdbFieldAdminRequired`	Créer un champ CMDB demande le droit d'ajouter des champs aux types de la CMDB
`OutpostUnavailable`	Mode Outpost : le module Outpost n'est pas installé
`NoCompatibleAgent`	Mode Outpost : aucun agent actif et compatible GLPI dans le groupe de machines
`AgentNoReply`	Mode Outpost : l'agent n'a pas répondu à temps
`UnsupportedAgentVersion`	Mode Outpost : l'agent est trop ancien ; mettez-le à jour
`ResultTooLarge`	Mode Outpost : un objet GLPI est trop volumineux pour être transmis par l'agent
`AgentError`	Mode Outpost : l'agent a refusé la demande ou a échoué

Chaque source possède aussi une tâche dans le Planificateur (Administration › Instance et exploitation › Planificateur), nommée Connector.Glpi: suivi de l'identifiant de la source, avec son Historique d'exécution.

Champs GLPI

Sur la fiche de la source, Gérer les champs ouvre la page Champs GLPI. Un badge sur la fiche signale les champs apparus dans GLPI depuis votre dernière découverte.

Mappings. Le tableau relie chaque champ GLPI à un champ de la CMDB ; ses lignes sont regroupées par type d'objet GLPI (un type que la source n'importe pas est signalé « Type non collecté »). Pour chaque ligne, vous pouvez :

la désactiver (case Actif) ou la retirer (case Retirer) ;
choisir le champ CMDB visé ;
choisir une transformation : aucune, espaces retirés, nombre, date, ou correspondances (une ligne valeur GLPI = valeur CMDB par valeur) ;
pour une liste de choix, décider quoi faire d'une valeur qui n'est pas un choix connu : l'ignorer ou ajouter le choix.

Cliquez sur Enregistrer. Le statut de chaque ligne indique si elle sera appliquée : seules les lignes valides le sont, et une collecte ne crée jamais de champ. Le nom, le numéro de série et l'UUID restent toujours actifs : ils servent à reconnaître les machines. Rétablir les mappings livrés remet la configuration d'origine.

Découvrir les champs. Ce bouton lit la liste des champs de GLPI et un échantillon de 50 objets de chaque type importé, sans rien modifier. Pour chaque champ, la page montre des exemples de valeurs, son état (mappé, écarté, nouveau), et propose un slug et un type de champ CMDB. Cochez les champs à reprendre, puis :

Créer ou mapper la sélection : pour chaque champ coché, laissez « créer un nouveau champ » pour ajouter le champ proposé au type Ordinateur de la CMDB (ou Équipement réseau pour un champ d'équipement réseau ou d'imprimante, Écran, Périphérique ou Appareil mobile pour un champ d'écran, de périphérique ou de téléphone), ou choisissez un champ existant. Après confirmation, un compte rendu indique les champs créés, déjà présents ou refusés. Créer un champ demande le droit d'ajouter des champs aux types de la CMDB ; sans ce droit, seul le choix d'un champ existant est proposé ;
Écarter la sélection : ces champs ne sont plus proposés ni signalés comme nouveaux. Reproposer la sélection, en bas de page, annule ce choix.

Les nouveaux champs sont repris à la collecte suivante.

Activer, modifier, supprimer

Le bouton de la colonne Activée (Oui / Non) active ou suspend la source et sa collecte planifiée.
Modifier ouvre la fiche ; vider la planification supprime la collecte planifiée, la synchronisation manuelle reste possible.
La corbeille supprime la source et sa tâche planifiée, après confirmation. Les objets déjà importés restent dans la CMDB.