Ativos Agente

Como ler este guia

As telas deste guia são desenhos fiéis das telas reais, conferidas no navegador em 22/09/2026 com dados de demonstração. Nomes de cliente, seriais e endereços são fictícios; o que vale é o desenho e a posição de cada coisa.

Os endereços são relativos ao domínio do cliente. Num tenant em https://empresa.sndesk.com.br, a tela é https://empresa.sndesk.com.br/v2/cadastros/ativos/agente.

Como chegar pelo menu: Cadastros › Ativos › botão Ativos Agente, no topo da lista, ao lado de Categorias.

1. O que mudou, em uma frase

Antes, para ver as máquinas de um cliente, o SNDesk perguntava ao GLPI (um servidor intermediário, que chamamos de gateway). Agora o agente instalado na máquina fala direto com o SNDesk do cliente — e, de quebra, traz saúde da máquina, que o GLPI nunca entregou.

Os dois caminhos convivem. Quem ainda usa o GLPI continua usando; quem já migrou vê as duas fontes na mesma tela até a data de corte, que cada operação define quando quiser (§7).

O que só o caminho novo entrega:

• 13 sinais de saúde por máquina (disco, antivírus, firewall, bateria, uptime, fim de suporte do SO, ativação Windows/Office, BitLocker, IDs de acesso remoto, banco sem backup, USB, processos, contas locais);
• sistema operacional, IP e usuário logado na listagem;
• histórico dos inventários recebidos e o JSON bruto, para diagnóstico;
• verificações a cada contato (serviço parado, disco físico com previsão de falha, reinício pendente, backup local sem arquivo novo, driver com erro, memória), que viram chamado sozinhas (§7.4);
• nada a instalar entre a máquina do cliente e o SNDesk.

2. Antes de começar

Permissões. A tela usa as permissões que já existem para ativos:

Parâmetros e configuração. Nada aqui precisa de parâmetro ligado para a tela aparecer — o botão Ativos Agente está sempre na lista de ativos. O que muda é a fonte padrão:

ⓘ Qual fonte a tela abre. Com ATIVOS_AGENTE_FONTE em glpi (padrão de fábrica), a tela só abre no modo GLPI se a instância já se conectou ao GLPI alguma vez — senão abre em Direto. Onde o GLPI existe, ela abre no GLPI e parece vazia se a sessão caiu: clique em Direto ou Ambos no seletor do topo (a escolha fica guardada na sessão do usuário) ou, para a operação inteira, mude o .env para ambos.

3. Parte 1 — Definir a credencial de envio

Sem esta etapa nada funciona. O endpoint é fechado por padrão: sem credencial definida, todo inventário é recusado. É de propósito — um endereço de inventário aberto aceitaria dados de qualquer um.

Onde: Configurações › Comunicação e integrações › Agente de inventário.

O que fazer:

1. Confira o Endereço que os agentes usam e a Tag — são os dois valores que o instalador pede.
2. No Usuário, use algo que identifique o cliente (o apelido do domínio já vem sugerido).
3. Clique em Gerar para uma senha forte, ou digite uma (mínimo 12 caracteres).
4. Salvar credencial.

A carência, e por que ela existe

Cada agente guarda a senha na máquina onde está instalado. Trocar a senha aqui e invalidar a anterior na mesma hora derruba o inventário de todo o parque até que cada máquina seja reinstalada.

Por isso a tela guarda a senha anterior e aceita as duas por um prazo (padrão 30 dias). O fluxo de troca é:

1. Gerar a senha nova com carência de N dias.
2. Reinstalar o parque com a senha nova dentro do prazo.
3. Invalidar anterior quando terminar — ou simplesmente deixar expirar.

Use carência 0 apenas quando ainda não houver nenhum agente instalado.

A troca fica registrada no histórico de parâmetros com autor e data, sem gravar a senha.

4. Parte 2 — Instalar o agente na máquina

4.1 O instalador é o mesmo para todos os clientes

Não existe "um MSI por cliente". O pacote é genérico: SERVER, TAG, USER e PASSWORD não têm valor embutido, são informados na instalação. O que muda por cliente é como instalar.

Pacote atual: Bot-Sndesk/dist/SNDESK-Agent-1.19-git3c7405b7-x64.msi (29/09/2026). Em relação aos anteriores ele:

• instala o módulo de verificações (§7.4) — os pacotes até 22/09 não instalavam, e sem ele a máquina manda inventário mas não é verificada;
• sempre verifica o certificado do servidor — a caixa "desativar verificação SSL" saiu do assistente, e uma máquina que tinha essa opção ligada volta a verificar ao ser atualizada.

Os pacotes antigos (…-assistente-x64.msi, …-git1cdc362e-x64.msi) foram retirados da dist/ e não devem mais ser distribuídos. O pacote ainda não tem assinatura digital: o Windows pode mostrar "editor desconhecido" ao abrir o .msi à mão. Não afeta a instalação silenciosa.

4.2 Pelo assistente (uma máquina, ou técnico sem os valores prontos)

1. Choose Targets — marque Servidor SNDESK e informe o endereço (https://empresa.sndesk.com.br/agent). Logo abaixo, a Tag do cliente (empresa.sndesk.com.br, minúsculas, sem https://, sem barra no fim). Deixe Instalação rápida desmarcada — marcada, ela pula justamente a tela da senha.
2. Credenciais do SNDESK — usuário e senha da §3.
3. As demais telas podem seguir no padrão.

4.3 Por linha de comando (GPO, SCCM, implantação em massa)

msiexec /i SNDESK-Agent-1.19-git3c7405b7-x64.msi /qn SERVER="https://empresa.sndesk.com.br/agent" TAG="empresa.sndesk.com.br" USER="usuario" PASSWORD="<senha>" RUNNOW=1

4.4 Pelo .bat gerado (repetir a mesma instalação em várias máquinas)

.\gerar-instalador-cliente.ps1 -Tag empresa.sndesk.com.br -Msi SNDESK-Agent-1.19-git3c7405b7-x64.msi -SomenteSndesk -Usuario usuario -Senha "<senha>"

O gerador fica em Bot-Sndesk/contrib/sndesk/. Sai um dist\instalar-sndesk-empresa-sndesk-com-br.bat com a linha acima já validada e normalizada (-SomenteSndesk = só o SNDesk; sem ele o destino é o GLPI antigo — ver §4.5). Copie o .msi e o .bat para a mesma pasta na máquina e rode o .bat como Administrador.

O gerador existe para evitar erro de digitação em tag e URL — que foi a causa de 45% do parque ficar invisível no modelo antigo (tags nulas, https:// colado na tag, typo em domínio).

4.5 Coexistindo com o GLPI

No campo Servidor, informe os dois endereços separados por vírgula. O agente trata cada um como alvo independente — envia para os dois, com agendamento e estado próprios.

.\gerar-instalador-cliente.ps1 -Tag empresa.sndesk.com.br -Msi SNDESK-Agent-1.19-git3c7405b7-x64.msi -Coexistir -Usuario usuario -Senha "<senha>"

4.6 Linux e macOS

sudo ./contrib/unix/install-deb.sh --tag empresa.sndesk.com.br

No macOS, criar /Applications/GLPI-Agent/etc/conf.d/01-tag.cfg com a tag e o servidor.

4.7 A regra da tag

• Formato: <cliente>.sndesk.com.br, minúsculas, sem https://, sem barra final.
• Cliente com domínio próprio usa o domínio próprio (ex.: pccom.pro) — o que vale é o domínio de acesso real, porque é ele que o SNDesk compara.
• Nunca distribuir instalador com o exemplo (dominio.sndesk.com.br). O próprio MSI recusa instalação nova sem tag ou com o placeholder.

Primeiro contato: o agente envia o inventário ao instalar e depois a cada 6 horas (servidores: de hora em hora).

4.8 Atualizar máquinas que já têm o agente

Basta rodar o pacote novo por cima — pelo .bat do cliente ou direto:

msiexec /i SNDESK-Agent-1.19-git3c7405b7-x64.msi /qn

A atualização mantém servidor, tag, usuário, senha e a identidade da máquina (ela continua sendo a mesma linha na tela, com o mesmo histórico), instala o módulo de verificações e liga a verificação do certificado. Validado em 29/09/2026 num Windows 11 que tinha o pacote anterior.

Depois do próximo contato da máquina, a aba Verificações das Configurações passa a contá-la em "máquinas com o módulo".

5. Parte 3 — A tela Ativos Agente

5.1 Quando ainda não há nada

A tela não fica muda: enquanto nenhuma máquina reportou, ela mostra os três passos com o endereço e a tag já preenchidos para este cliente.

5.2 Com máquinas reportando

O seletor Direto / GLPI / Ambos, no canto superior direito, escolhe a fonte. A escolha vale para o seu usuário, naquela sessão.

Os seis indicadores são filtros. Clique em "Críticas" e a lista mostra só as críticas; clique de novo no mesmo e o filtro sai. "Sem contato" usa o limite de 24 h, configurável.

As colunas:

A linha esmaecida é a máquina que parou de falar com o servidor. A saúde mostrada é a do último inventário recebido — não é o estado de agora, e a tela diz isso.

A busca cobre máquina, serial, fabricante, modelo, sistema, usuário, IP, nome do ativo, cliente e tag.

6. Parte 4 — Vincular a máquina a um cliente

6.1 Por que o cliente não vem preenchido sozinho

Esta é a parte que mais gera dúvida, então vale devagar.

O endereço do agente identifica a instância do SNDesk, não o cliente final. Numa operação de suporte que atende 40 empresas, todas as máquinas de todas elas chegam no mesmo empresa.sndesk.com.br/agent. A tag diz "este inventário é da instância Prisma" — não diz de qual cliente da Prisma é a máquina.

Por isso cliente e contrato são escolhidos no momento do vínculo. A tag entra só como sugestão: se o apelido do domínio casar com o nome de um cliente cadastrado, ele vem pré-selecionado, marcado como sugerido pela tag. Confira sempre.

6.2 As três saídas

Botão Vincular na linha da máquina (ou Vincular a um ativo no detalhe):

A — Ligar a um ativo já cadastrado. A tela sugere candidatos por serial igual (marcado com "mesmo serial") e por nome parecido. É o caminho de quem já tinha o parque cadastrado à mão ou importado do GLPI. Se o ativo não estiver na lista, dá para informar o ID direto.

B — Criar um ativo novo. Cria na categoria Ativos Agente já com Serial, Patrimônio, Status e "Tipo Agente = Direto" preenchidos, e com o QR Code gerado. É aqui que você escolhe cliente e contrato.

C — Desvincular. Só aparece quando já existe vínculo. Desfaz a ligação; o ativo continua existindo.

6.3 O que o vínculo muda no cadastro

• Serial, Patrimônio, Tipo Agente e Ultima Atualizacao passam a ser preenchidos pelo agente a cada inventário, nos campos complementares da categoria Ativos Agente.
• O ativo ganha uma aba Inventário (só aparece quando há máquina vinculada), com a máquina, a saúde e um atalho Ver inventário para a tela completa.
• Sem vínculo, a máquina não entra em contrato, chamados nem relatórios — ela existe só na tela de Ativos Agente. É por isso que "Sem vínculo" é um dos seis indicadores.

ⓘ Detalhe importante para quem ainda usa o GLPI: o vínculo novo não escreve no campo ID Agente. Esse campo guarda o número do computador no GLPI e é como a importação antiga reconhece o ativo. Vincular pela tela nova não atrapalha a importação antiga, e vice-versa.

7. Parte 5 — O detalhe da máquina

Clique em Detalhes na linha, ou no nome da máquina.

O topo responde as três perguntas de um atendimento: que máquina é (identificação), de quem é (vínculo) e está falando com a gente? (comunicação).

Aba Saúde. Primeiro os sinais abertos — o que o último inventário revelou e ainda não foi resolvido, com severidade (Crítico, Alto, Médio, Baixo), desde quando aparece e quando foi visto pela última vez. Sinais somem sozinhos quando a condição normaliza, e vão para "Resolvidos recentemente".

Abaixo, os fatos: o valor lido de cada um dos 13 sinais, mesmo quando está tudo certo.

Serve para responder "qual é o antivírus dessa máquina?" ou "qual é o ID do AnyDesk dela?" sem abrir chamado nem pedir acesso.

As outras abas:

Máquina vinda do GLPI tem só Componentes e Softwares, lidos na hora do gateway — e a saúde aparece como "Sem dados (GLPI)", porque o gateway não coleta isso.

7.1 A máquina dentro do chamado e do ativo

Quando o chamado é de um ativo com máquina vinculada, a coluna lateral do chamado ganha o cartão Máquina, acima do Histórico: nível de saúde, sistema, usuário logado, IP, último contato, qual antivírus está protegendo, até três alertas abertos e os IDs de acesso remoto (TeamViewer, AnyDesk, RustDesk...). Um clique no ID copia — não é preciso pedir "me passa o seu ID" ao usuário. Se o navegador bloquear a cópia, o ID fica selecionado e aparece "Ctrl+C".

Na tela do ativo, os mesmos IDs aparecem logo abaixo do nome ("Acesso remoto") e numa coluna da aba Inventário.

Servidores falam com o SNDesk de hora em hora; estações a cada 6 horas. É o servidor que decide, sem mexer no agente: máquina com Windows Server ou gabinete de servidor (rack, blade) recebe o intervalo menor a partir do primeiro inventário.

7.2 Regras por instância e chamado automático

Em Configurações → Agente de inventário → Regras e chamados o administrador decide, para esta instância:

• Quais regras avaliar e com que limites — cada regra tem o interruptor "Avalia", a severidade e, no lápis, a gaveta com os limites (por exemplo, "% livre para aviso" do disco), o modelo do assunto do chamado e, se quiser, um departamento/categoria/subcategoria só dela. "Restaurar padrões" volta tudo ao de fábrica.
• Quais regras abrem chamado — interruptor "Abre chamado". De fábrica: Sem contato, Espaço em disco, Antivírus, Firewall e Backup de banco de dados; as outras só mostram o alerta no ativo.
• A abertura automática — nasce desligada. Ligando, escolha o cliente piloto (recomendado começar por um) ou "Todos os clientes", o departamento/categoria/subcategoria padrão e o SLA por severidade (Crítico, Alto, Médio, Baixo → um SLA já cadastrado; sem ele, vale o caminho de um chamado comum).
• Contra o ruído — o chamado só abre depois de N envios seguidos com a condição (2 de fábrica), não reabre por 24 h depois de fechar, há um limite diário por cliente, "Sem contato" espera a segunda-feira e ativo sem contrato vigente avisa os administradores em vez de abrir.

Como fica o chamado: origem Monitoramento (ícone de pulso, ao lado de E-mail, WhatsApp...), assunto [Monitoramento] Disco C: com 8.1% livre em PC-FINANCEIRO, descrição com a máquina, o usuário, o IP e os IDs de acesso remoto, cliente e contrato do ativo, máquina vinculada (o cartão Máquina aparece na lateral). Enquanto a condição persistir, não abre outro: a recorrência fica no mesmo chamado. Quando normalizar, o monitoramento comenta e, se a regra fecha sozinha, encerra o chamado; Backup de banco nunca fecha sozinho. Se o técnico fechar antes, a mesma máquina só gera chamado novo depois do intervalo de 24 h.

7.3 Saúde do parque

Em Ativos → Saúde do parque a equipe vê o parque inteiro de uma vez:

• Indicadores — máquinas, saudáveis, com atenção, críticas, sem contato e chamados do monitoramento abertos.
• Clientes do pior para o melhor, cada um com a barra de estados (crítico, atenção, sem contato, saudável) e o alerta que aparece em mais máquinas. Máquinas sem ativo ou sem cliente ficam em "Sem cliente", por último.
• Discos que vão encher — pela tendência dos últimos 30 dias, com quantos dias faltam.
• Chamados do monitoramento em 7 ou 30 dias: abertos, que fecharam sozinhos, fechados pelo técnico.
• Máquinas críticas agora, com o ID de acesso remoto para copiar.

Clicando num cliente abre a tela dele: cartões de cada máquina, filtro por estado, o gráfico do disco com a projeção e o que aconteceu no mês. "Como o cliente vê" mostra a tela sem usuários, IPs, IDs de acesso remoto e números de chamado — é o que o cliente enxerga no portal. "Relatório do mês" abre a página para imprimir ou salvar em PDF e mandar ao cliente.

No portal do cliente, a aba "Saúde do parque" aparece quando o parâmetro Saúde do parque no portal (dentro de Meus Ativos) estiver ligado. Nasce desligado.

ⓘ O gráfico e a previsão de disco precisam de pelo menos 3 dias de histórico. No deploy, o comando php artisan agente:historico-disco aproveita os inventários já guardados.

7.4 Verificações a cada contato

Além do inventário, o agente pode conferir a cada contato se o que importa está funcionando. Liga-se em Configurações → Agente de inventário → Verificações (nasce desligado):

• Serviços críticos parados — a lista fica na própria aba, por grupo (backup, banco, antivírus, VPN e impressão de fábrica). Use o nome do serviço (services.msc → Propriedades), não o nome de exibição; * no fim pega as versões (AVP*).
• Disco com previsão de falha — o Windows marca o disco físico em alerta antes de ele morrer.
• Reinício pendente há mais de 3 dias.
• Backup local sem arquivo novo — informe, por cliente, a pasta (ex.: D:\Backup\Diario) e em qual máquina ela fica. Nenhum arquivo modificado em 26 h vira alerta.
• Dispositivo com erro de driver e Memória quase cheia (esta nasce desligada).

Por cliente dá também para pôr estações de hora em hora (como os servidores). Severidade, limites e quais abrem chamado ficam em Regras e chamados (as verificações aparecem com a etiqueta "a cada contato"). No detalhe da máquina, a aba Verificações mostra o resultado de cada uma e desde quando.

ⓘ As verificações só leem o Windows — nada é executado na máquina. Precisam do instalador novo do agente (§4.1, §4.8): a aba mostra quantas máquinas já têm o módulo. Máquina com o instalador antigo segue mandando inventário normalmente.

O que esperar depois de ligar (visto no teste real de 29/09):

• A primeira rodada acontece no próximo contato de cada máquina, logo depois do inventário (alguns minutos). Servidor fala de hora em hora; estação a cada 6 h — ou de hora em hora, se o cliente tiver "estações de hora em hora".
• Um alerta só vira chamado depois de N envios seguidos com o problema (padrão 2, em Regras e chamados → Contra o ruído). Na prática: serviço parado num servidor vira chamado em cerca de 2 h.
• O chamado nasce com origem Monitoramento, o SLA da severidade, a máquina, o usuário, o IP e os IDs de acesso remoto. Quando o problema some (o serviço volta, aparece arquivo novo no backup), o chamado fecha sozinho com a interação "Condição normalizada". "Disco com previsão de falha" é a exceção: fecha o técnico.
• Serviço parado com início manual ou desativado não alerta — só o de início automático. Exemplo comum: o Defender fica parado quando há outro antivírus ligado, e isso é o normal.
• "Reinício pendente" aparece em duas linhas no detalhe da máquina: Windows Update e manutenção de componentes (são as duas fontes que o Windows usa).

Atualizações do Windows atrasadas (mais de 45 dias sem instalar atualização) vem do próprio inventário e vale mesmo sem as verificações ligadas.

8. Parte 6 — Modo GLPI e a data de corte

Só interessa a quem ainda tem o gateway no ar.

Card de conexão. É a mesma sessão da tela antiga (/ativos/agent): conectar aqui vale lá, e vice-versa. Sem sessão ativa, as máquinas do gateway simplesmente não aparecem — a tela avisa em vez de dar erro.

Card de transição. Os três números contam a migração:

• Só no GLPI — máquina que ainda não tem o agente novo. É a fila de trabalho.
• Nos dois — já migrada, ainda enviando para os dois lados. Situação normal durante a transição.
• Só no direto — migrada e com o GLPI já removido do agente.

Data de corte. Grave a data quando "Só no GLPI" chegar a zero. A partir dela a tela passa a mostrar apenas a fonte direta, o seletor some e o card do GLPI sai da tela. Não apaga nada e pode ser removida.

9. Perguntas que aparecem no atendimento

"Instalei o agente e a máquina não apareceu." Na ordem: (1) a credencial está definida em Configurações? (2) a tag está certa, sem https:// e sem barra final? (3) o .env tem AGENTE_INGESTAO_HABILITADA=true? (4) a tela está no modo Direto ou Ambos, e não em GLPI? (5) passaram-se alguns minutos desde a instalação?

"A máquina aparece duas vezes." No modo Ambos, o casamento é por serial e depois por nome. Máquina cujo fabricante gravou serial genérico ("To Be Filled By O.E.M.") e que trocou de nome não casa — de propósito, porque juntar errado seria pior. Vincule as duas ao mesmo ativo.

"Troquei a senha e as máquinas pararam de reportar." A carência acabou antes de o parque ser reinstalado. Defina a senha antiga de novo com carência, reinstale e só então invalide.

"O nome da máquina mudou e ela virou uma linha nova." Não deve acontecer: a identificação usa primeiro o identificador do agente e depois serial + UUID do hardware. Se aconteceu, é caso de bug — anote o Device ID das duas linhas (está no detalhe, em Comunicação).

"Aparece 'Sem contato' mas a máquina está ligada." O limite padrão é 24 h sem nenhum contato. Verifique se o serviço GLPI Agent (nome interno glpi-agent) está rodando na máquina e se o firewall/proxy da rede deixa sair para o domínio do cliente.

"A tela diz que o agente não conseguiu coletar disco, antivírus..." É o Windows da máquina que não respondeu a tempo às consultas do agente (WMI lenta ou corrompida) — foi o que aconteceu no primeiro teste real. O SNDesk mostra o último valor conhecido (até 7 dias) e não abre nem fecha sinais dessas partes. Se repetir em todo envio, olhe o log do agente em C:\Program Files\GLPI-Agent\logs\glpi-agent.log: linhas Timeout reached on ... WMI objects confirmam. No Windows, winmgmt /verifyrepository (prompt de administrador) diz se o repositório WMI está íntegro.

"Contas locais não mostra quem é administrador." O agente para Windows envia os grupos locais sem os membros. A tela diz "não informado" em vez de mostrar "0 administradores", que seria falso.

"O Windows Defender aparece desligado." Se a máquina tem outro antivírus ligado (Kaspersky, ESET, Bitdefender...), é o normal: o Windows desliga o Defender para os dois não disputarem. A tela mostra "em espera — protegido por ..." e não abre alerta. Só há alerta quando nenhum antivírus da máquina está ligado.

"O antivírus do servidor aparece vazio." O Windows Server não tem a Central de Segurança de onde o agente lê o antivírus. Não é falha nem ausência.

"Liguei as verificações e a aba Verificações da máquina continua vazia." Na ordem: (1) a máquina tem o instalador novo? A aba das Configurações diz quantas têm o módulo — se ela não conta, atualize (§4.8). (2) Já houve um contato depois de ligar? Estação pode levar até 6 h. (3) É Windows? Linux e macOS não recebem verificações.

"O serviço está parado e não abriu alerta." Confira se ele está na lista de Serviços vigiados (pelo nome do serviço, não o de exibição) e se o início dele é Automático — parado com início manual não é problema.

"O backup está em dia e o alerta de backup abriu." O alerta olha a data de modificação dos arquivos da própria pasta configurada, sem subpastas. Se o software de backup grava em subpastas por data, configure a pasta onde os arquivos novos de fato aparecem, e confira o nome da máquina (vazio = todas as máquinas do cliente).

10. O que ainda não existe

Para não gerar expectativa errada em cliente:

• Aviso quando uma máquina cala sem chamado automático ligado — a varredura de "sem contato" roda a cada 15 minutos e abre o sinal na tela; só vira chamado (e notificação) com a abertura automática ligada e a regra "Sem contato" marcada para abrir.
• Envio automático do relatório do mês por e-mail — hoje ele é gerado na tela e salvo em PDF pelo navegador.
• Ações remotas (reiniciar, executar script, instalar software) — o agente só lê: inventário e verificações. Nenhum comando é executado nas máquinas.
• Alerta por e-mail ou WhatsApp dos sinais.

11. Referência rápida

Documentação técnica: IMPLEMENTACAO_AGENTE_FASE_A.md (§7 cobre esta tela), ANALISE_AGENTE_DIRETO_SNDESK_SEM_GLPI.md e GUIA_CONEXAO_SNDESK_GLPI.md (o caminho antigo).