Politique de contrôle des installations de logiciels

Le contrôle des installations gère l’installation de logiciels sur les terminaux et permet de définir des exceptions d’autorisation pour des logiciels précis. Il est configuré séparément du contrôle de l’exécution : autoriser une installation ne signifie pas autoriser l’exécution, et bloquer l’installation ne désinstalle pas nécessairement tous les logiciels déjà présents.

Le moment où le contrôle intervient peut varier selon la plateforme et la méthode d’installation. Sur Linux, un terminal peut tenter de supprimer certains logiciels nouvellement installés et non conformes lors d’un contrôle après installation ; cette fonction ne se limite donc pas à un blocage avant le lancement du programme d’installation. Vérifiez si la suppression a réellement réussi. Avant toute modification de stratégie, évaluez les risques pour les activités, les dépendances et le rétablissement.

Préparation

• Utilisez un compte administrateur autorisé à gérer les stratégies de conformité logicielle. Vérifiez les terminaux cibles, les licences et la période d’application de la stratégie.
• Identifiez les logiciels métier, les méthodes d’installation autorisées et les exceptions nécessaires. Commencez par quelques terminaux pilotes récupérables et préparez des paquets de test, des sauvegardes de configuration et une procédure de rétablissement.
• Avant de définir une exception, vérifiez la description du logiciel, les droits d’auteur, le nom du produit et le nom du fichier. Les informations fournies par le système d’exploitation et le programme d’installation peuvent différer ; vérifiez-les dans l’environnement cible.
• N’appliquez pas directement en production des règles dont le périmètre est incertain. Pour un essai Linux, évaluez particulièrement les conséquences métier et les dépendances si un logiciel nouvellement installé est supprimé.

Activer le contrôle des installations

1. Dans Software, ouvrez Policy et créez ou modifiez la stratégie cible. Vérifiez son nom, le périmètre des terminaux et sa période d’application.
2. Activez le contrôle des installations logicielles dans les paramètres de la stratégie et ouvrez ses paramètres.
3. Dans les paramètres de notification des logiciels bloqués, configurez si nécessaire la fenêtre d’avertissement. Cette fenêtre est une notification : elle ne prouve pas à elle seule qu’une installation a été bloquée ou qu’un logiciel a été supprimé.
4. Pour autoriser certains logiciels, ouvrez les exceptions d’autorisation, puis ajoutez-les et vérifiez-les selon la procédure ci-dessous. Même sans exception, évaluez les conséquences sur les terminaux cibles avant d’activer le contrôle.
5. Confirmez la fenêtre des paramètres du contrôle et enregistrez la stratégie entière. Vérifiez son périmètre, attendez sa réception par le terminal pilote, puis procédez aux essais.

Le menu de paramètres actuellement visible comprend la notification de blocage et les exceptions d’autorisation. La disponibilité d’une approbation d’installation temporaire dépend de l’interface et de la configuration réelles de l’organisation ; ne supposez pas qu’un utilisateur peut demander une approbation au seul motif qu’une documentation antérieure la décrit.

Configurer les exceptions d’autorisation

1. Dans les paramètres du contrôle des installations, ouvrez les exceptions d’autorisation et choisissez d’ajouter un élément.
2. Dans les informations du logiciel, saisissez la description, les droits d’auteur, le nom du produit et le nom du fichier. Ces quatre champs sont obligatoires. Renseignez si nécessaire le nom de l’entreprise et la description du fichier.
3. La page indique que * peut correspondre à toutes les valeurs pour certains champs. Les caractères génériques élargissent le périmètre : privilégiez des informations précises et vérifiées, puis testez avec un logiciel témoin qui ne doit pas être autorisé. Le traitement des conditions peut varier selon la plateforme ; l’enregistrement de la fenêtre ne garantit donc pas l’application effective de l’exception.
4. Enregistrez les informations du logiciel et vérifiez la liste des exceptions, puis enregistrez à la fois la fenêtre de contrôle des installations et la stratégie entière.
5. Avant de modifier ou de supprimer une exception, évaluez les terminaux et logiciels métier qui en dépendent. Après modification, testez les cas autorisés et restreints pour éviter toute autorisation ou restriction involontaire.

Exceptions des paquets Linux : Lors du contrôle d’installation des paquets dpkg, File name correspond à l’identifiant du paquet, par exemple example-app, et non au nom du fichier d’installation .deb ou du programme. Software description correspond au nom de l’actif logiciel ; Company name et Copyright correspondent aux informations d’éditeur ou de mainteneur. Une exception dont toutes les conditions sont vides ou valent * n’est pas effective. Les informations d’inventaire peuvent être absentes ou différentes de celles du programme d’installation. Vérifiez celles du terminal et testez séparément les cas autorisés et interdits avant d’élargir le périmètre.

Lors du contrôle d’installation des paquets Linux, les informations logicielles existantes constituent une base de comparaison. Un logiciel déjà présent dans cette base n’est pas traité comme nouvellement ajouté du seul fait de ce contrôle. Les dépendances reconnues comme installées automatiquement peuvent être seulement observées et ajoutées à la base, sans tentative de suppression individuelle. La création de la base, l’identification et le traitement dépendent de l’état du terminal et ne garantissent pas le même résultat pour les autres méthodes d’installation.

Dans le contrôle des installations sous Windows, la liste d’exceptions n’est pas le seul motif possible d’autorisation : certaines installations fiables ou liées au système peuvent être autorisées selon d’autres conditions. L’absence de correspondance avec une exception ne garantit donc pas le blocage. Vérifiez le comportement des programmes d’installation et les résultats métier dans l’environnement cible.

Vérification et résolution des problèmes

1. Vérifiez que le terminal pilote a reçu la stratégie. Pendant une fenêtre de maintenance, utilisez des logiciels de test approuvés pour tester séparément les cas correspondant et ne correspondant pas aux exceptions ; consignez les résultats réels d’installation, d’exécution ou de suppression.
2. Sous Linux, attendez le contrôle après installation et vérifiez l’état final du logiciel. Un programme d’installation ayant signalé sa réussite ne prouve pas que la stratégie était sans effet ; une suppression ultérieure n’est pas garantie non plus.
3. Si la notification de blocage est activée, vérifiez son apparition sur le terminal. Dans le cas contraire, contrôlez aussi la réception de la stratégie et les résultats réels ; ne prenez pas la notification comme seule preuve.
4. Une exception ne peut pas être enregistrée ou ne fonctionne pas : vérifiez les champs obligatoires, les informations réelles du logiciel, la plateforme cible et le périmètre de la règle. Confirmez que toutes les fenêtres et la stratégie entière ont été enregistrées et que le terminal a reçu la stratégie.
5. Un logiciel métier est restreint ou supprimé de manière inattendue : rétablissez l’activité selon la procédure d’incident de l’organisation, puis vérifiez le périmètre et les exceptions de la stratégie. Corrigez et validez sur des terminaux pilotes avant d’élargir l’application.

Le délai de traitement réel dépend du fonctionnement du terminal. Vérifiez séparément l’enregistrement de la stratégie, sa réception et le résultat métier.