Découverte

La découverte place sous OpenLatch les agents IA des machines que gère votre organisation, sans demander à personne d’installer quoi que ce soit. Vos administrateurs déploient un script de découverte avec l’outil de gestion de parc qu’ils utilisent déjà. Sur chaque machine, une analyse s’exécute dans la session de chaque utilisateur. Quand elle trouve un agent qu’OpenLatch connaît, elle installe le client pour cet utilisateur et l’inscrit avec votre clé d’organisation. Dès lors, les agents de cet utilisateur atteignent le point de décision comme ceux de toute machine inscrite.

La découverte couvre les machines que votre outil de gestion de parc atteint. Trouver des agents sur des machines que votre outil ne gère pas n’est pas disponible.

Comment elle fonctionne

Figure 1. Déployée une fois avec le privilège système, la découverte analyse dans la session de chaque utilisateur et, quand elle trouve un agent, inscrit le client pour cet utilisateur. Seul le client inscrit envoie quelque chose.

Étape	Où elle s’exécute	Ce qui se passe
Déploiement	Une fois par machine, avec le privilège système, par votre outil de gestion de parc	Le script se copie dans un dossier que seuls les administrateurs peuvent modifier, écrit le fichier de clé, enregistre une planification qui s’exécute dans la session de chaque utilisateur, et la démarre dans les sessions déjà ouvertes. Il n’analyse jamais, n’écrit jamais dans le dossier personnel d’un utilisateur et n’exécute jamais le client
Analyse	Dans la session de chaque utilisateur, en son nom, toutes les 24 heures sauf si vous fixez un autre intervalle	L’analyse vérifie une liste courte et fixe d’emplacements où chaque agent laisse une trace. Elle ne parcourt jamais le disque, et n’affiche ni fenêtre, ni console, ni icône, ni notification
Inscription	Quand un agent est trouvé, dans la même session	L’analyse installe le client pour cet utilisateur, comme le fait le script d’installation, et lance une inscription avec la clé d’organisation. L’utilisateur ne voit rien et ne fait rien
Remontée	Depuis le client inscrit	Le client envoie ce que l’analyse a trouvé par son canal d’événements existant. L’analyse elle-même n’appelle jamais OpenLatch

La planification exécute la copie locale du script. Elle ne télécharge et n’exécute jamais un script au moment de l’analyse : une nouvelle version n’atteint une machine que lorsque votre outil de gestion de parc la déploie à nouveau.

Ce qu’une analyse recherche

L’analyse recherche les agents du catalogue d’OpenLatch, avec les mêmes règles que celles du client pour trouver les agents qu’il raccorde. Elle vérifie, dans l’ordre :

Vérification	Ce qu’elle examine
Dossiers de configuration	Le dossier de configuration propre à chaque agent, dans le dossier personnel de l’utilisateur
Configuration déplacée	Les variables qu’un agent utilise pour déplacer sa configuration, telles que l’environnement du planificateur les fournit
Programmes	Un programme connu dans le chemin de l’utilisateur, un dossier d’installation connu, une application de bureau
Processus en cours	Un processus d’agent en cours d’exécution. Il compte comme preuve que l’agent est toujours là, jamais comme une détection : il empêche qu’un agent soit marqué supprimé, et il n’installe ni n’inscrit jamais rien

Seul un fichier absent compte comme absent. Une vérification que le système d’exploitation refuse, ou qui échoue, n’est pas concluante et conserve le résultat précédent.

Un agent du catalogue qui n’est pas encore pris en charge, comme Gemini CLI ou OpenClaw, pas encore raccordés, est tout de même enregistré. Son agent porte le niveau de contrôle Known avec la mention No enforcement adapter : OpenLatch le voit et ne peut pas agir sur lui. Un agent que le client raccorde garde le niveau de contrôle que le client lui donne.

Ce que la découverte enregistre et envoie

L’analyse conserve ses résultats sur la machine, dans un dossier de découverte du dossier personnel de l’utilisateur, que la désinstallation du client ne touche jamais :

Sur la machine	Contient
La dernière analyse	Quand elle s’est exécutée, avec quel privilège, quelles vérifications ont tourné, et chaque agent du catalogue trouvé avec la vérification qui l’a trouvé, écrite comme un modèle de chemin, jamais comme le chemin développé
Le journal des transitions	Chaque changement depuis la dernière analyse : un agent inscrit, inscrit à nouveau ou supprimé, et un changement de la découverte détecté. Il ne nomme l’utilisateur que par son numéro de compte
Le marqueur d’inscription	Si cet utilisateur avait un client inscrit, son identité d’hôte et son organisation
Le journal de la découverte	Ce que chaque exécution a fait, de taille limitée

Aucun de ces fichiers ne contient la clé. Une machine sans client installé, où l’analyse ne trouve rien, n’envoie rien. Sur une machine dont le client est déjà inscrit, ce client signale toujours ce qui a changé, comme un agent supprimé de la machine.

Une fois le client inscrit, il envoie le résultat de l’analyse par son canal d’événements existant : ce qui s’est passé (détecté, inscrit, inscrit à nouveau, supprimé, ou un changement de la découverte détecté), comment l’agent a été inscrit, quand il a été découvert, le privilège de l’analyse, l’heure de la dernière analyse et les noms des agents du catalogue trouvés pour cet utilisateur sur cette machine. Il n’envoie jamais un chemin de fichier ni un numéro de compte. La découverte ne lit aucun prompt, aucun contenu de fichier ni aucun historique de navigation, et elle ne bloque ni ne supprime jamais l’installation d’un agent.

Ce que montre la console

Où	Ce que vous voyez
La fiche de l’agent	Un badge Enrolled via discovery, un badge Removed une fois l’agent disparu de sa machine, et un badge De-enrolled quand un administrateur a désinscrit son hôte
L’onglet Host de l’agent	La machine sur laquelle l’agent s’exécute, comment elle a été inscrite, sa dernière analyse et son privilège d’analyse, les agents trouvés, et chaque autre agent de la même machine
Settings › Discovery	La commande qui déploie la découverte, et chaque hôte de votre organisation, avec les actions sur chaque hôte. Voir Gérer les hôtes découverts
Notifications	Une notification quand la découverte inscrit un agent, l’inscrit à nouveau après la suppression de son client, ou le trouve supprimé. Aucune notification ne nomme un employé
Le journal d’audit	Une entrée pour chacun de ces résultats, et une quand une analyse trouve la planification, le script ou le fichier de clé de la découverte modifiés

Le propriétaire d’un agent découvert vient de votre annuaire, exactement comme pour tout autre agent. Quand un annuaire connecté ne trouve aucune correspondance, l’agent est enregistré comme non attribué, à la racine de l’arborescence de votre organisation.

Suppression et nouvelle inscription

Supprimer le client ne supprime pas la découverte. Quand un utilisateur, ou quiconque, supprime le client alors que l’agent est toujours là, l’analyse suivante le réinstalle avec la même identité d’hôte et enregistre la nouvelle inscription. La suppression comme la nouvelle inscription restent dans la fiche.

Quand toutes les vérifications trouvent un agent disparu, l’analyse l’enregistre comme supprimé. L’historique de l’agent est conservé, et la fiche retire la marque si l’agent revient.

Un administrateur qui veut tenir une machine à l’écart la retire ou la désinscrit dans Settings › Discovery. Une machine désinscrite n’est jamais inscrite à nouveau par une analyse tant qu’un administrateur n’a pas appuyé sur Re-enrol.

Limites à connaître

Situation	Ce qui se passe
Un utilisateur sans session où la planification peut s’exécuter	Aucune analyse ne s’exécute pour cet utilisateur. Sous Linux, l’utilisateur a besoin d’un gestionnaire utilisateur en cours (une connexion, ou le maintien de session activé) ; sous macOS, un utilisateur qui ne se connecte qu’en SSH n’est pas analysé ; sous Windows, l’utilisateur a besoin d’une ouverture de session interactive. Les agents utilisés uniquement hors d’une telle session ne sont pas découverts
Une configuration déplacée seulement dans un profil de shell	L’analyse planifiée ne lit pas les profils de shell, et manque donc cet emplacement
Un programme portable dans un dossier inhabituel, avec sa configuration déplacée et l’agent arrêté	Non détecté
La découverte modifiée sur une machine	Détecter que la planification, le script ou le fichier de clé ont changé se fait au mieux, et seule une analyse sur une machine dotée d’un client le signale. Une planification désactivée, une découverte désinstallée et un utilisateur qui n’ouvre jamais de session se ressemblent depuis la console
Une machine jamais inscrite, où l’analyse ne trouve rien	La console ne la liste pas. Les rapports d’exécution de votre outil de gestion de parc montrent quelles machines ont exécuté le script. Une machine inscrite auparavant reste listée avec son hôte

La découverte vise un agent qui se comporte mal, pas un agent malveillant. Elle est conçue pour être visible : sa planification, son script et son journal portent tous le nom OpenLatch, et elle ne résiste à personne qui veut la retirer.

Plusieurs utilisateurs sur une machine

Chaque utilisateur d’une machine est analysé dans sa propre session, et chacun reçoit son propre client : sur ses propres ports de démon et de relais et, sous Windows, avec une tâche du client nommée pour cet utilisateur. Le client d’un utilisateur n’arrête jamais celui d’un autre. L’agent de chaque utilisateur du système est un agent à part entière dans la console.

Sur une machine partagée, les processus locaux de chaque compte peuvent atteindre l’écoute du relais de modèle d’un utilisateur. Le relais ne détient aucun identifiant de fournisseur qui lui soit propre, si bien qu’un appelant n’obtient par lui aucun accès au fournisseur, mais une session d’agent déjà en cours quand le relais de son utilisateur a changé de port peut envoyer une requête à ce qui occupe l’ancien port. Le client signale un tel changement dans sa propre sortie et dans son rapport doctor.

Licences

Situation	Compte comme un hôte sous licence ?
Une machine jamais inscrite, où l’analyse ne trouve rien	Non
Une machine inscrite auparavant, où l’analyse ne trouve plus rien	Elle compte tant qu’elle reste active, comme tout hôte inscrit
Une machine où l’analyse inscrit le client, y compris pour un agent pas encore pris en charge	Oui
Un conteneur dont le point d’entrée inscrit le client	Oui, à chaque démarrage : chaque inscription depuis un conteneur neuf est un nouvel hôte tant qu’il reste actif

La découverte peut porter vos hôtes actifs au-delà de votre contrat. Le plafond d’hôtes est souple : l’inscription continue, et les licences vous préviennent. Voir Lire les licences et l’usage.

Pour aller plus loin

• Déployer la découverte, avec les recettes pour Intune, Configuration Manager et Jamf Pro.
• Gérer les hôtes découverts dans la console.
• La notice pour vos employés, pour vos représentants du personnel et votre analyse d’impact relative à la protection des données.