Site PS1 — Primary site - SYNTHETIC (5.00.9128.1000)
Ce site Configuration Manager fonctionne-t-il, et est-il sûr. Lu en direct sur le site lui-même, complété par ce que le collecteur de durcissement a rapporté du serveur de site.
Non renvoyé par le site, donc les contrôles correspondants sont marqués non mesurés : SMS_SCI_Component, SMS_SCI_SiteDefinition, SMS_BootImagePackage, SMS_StatusMessage (history).
Critique
20
Attention
76
OK
151
À vérifier
85
non évaluables automatiquement
Contrôles conformes
61%
151 contrôles conformes sur 247 évaluables
Rôle de système de site · SMS Distribution Point — DP-LYON.corp.local
Configuration Manager annonce SMS Distribution Point sur DP-LYON.corp.local au statut 2 (0 sain, 1 avertissement, 2 critique).
Ouvrez Surveillance, puis État du système de site, pour les messages enregistrés par ce rôle.
Composant du site · SMS_DISTRIBUTION_MANAGER — CM01
SMS_DISTRIBUTION_MANAGER sur CM01 est au statut 2, avec 37 erreur(s) et 5 avertissement(s) sur l’intervalle de synthèse.
Ouvrez Surveillance, puis État des composants, et lisez les messages récents de ce composant.
Taux d’échec d’un déploiement · Contoso CAD 2026 → Engineering laptops
39 cibles en échec sur 64 (60.9 %). Réussites 22, en cours 1, sans réponse 2.
Ouvrez ce déploiement dans Surveillance, puis Déploiements, et remontez depuis les codes d’erreur renvoyés par les postes.
Distribution en échec · PS100001 — DP-LYON.corp.local
Le paquet PS100001 n’a pas pu être placé sur DP-LYON.corp.local et n’est plus retenté (état 3).
Redistribuez le paquet vers ce point de distribution, et contrôlez son espace disque et sa bibliothèque de contenu.
Règle de déploiement automatique en échec · Defender definitions
Defender definitions s’est exécutée le 2026-09-22 01:00 UTC et s’est terminée sur l’erreur 0x87D01101.
Relancez la règle à la main et lisez l’erreur renvoyée : une règle qui échoue en silence ne déploie plus rien du tout.
Séquence de tâches déployée sur un regroupement intégré · Windows 11 24H2 build → All Unknown Computers
La séquence de tâches Windows 11 24H2 build est déployée sur All Unknown Computers, un regroupement intégré plutôt qu’une population choisie.
Déployez la séquence de tâches sur un regroupement créé pour elle, et rendez-la disponible plutôt que requise.
Espace libre sur un disque · DP-LYON.corp.local — E:
Il reste 2.8 % sur E: de DP-LYON.corp.local — 11.0 GB sur 400 GB.
Libérez de la place sur la bibliothèque de contenu, ou déplacez-la sur un volume plus grand. Un point de distribution saturé échoue sur les paquets qu’on lui demande sans tomber en panne lui-même.
Groupe d’annuaire trop large chez les administrateurs locaux · RPT01 — CORP\Domain Admins
CORP\Domain Admins est un groupe d’annuaire au périmètre très large, et il est administrateur local du serveur de site.
Retirez le groupe et utilisez-en un dédié à l’administration de ce serveur.
Groupe d’annuaire trop large chez les administrateurs locaux · DP-NANTES — CORP\Domain Admins
CORP\Domain Admins est un groupe d’annuaire au périmètre très large, et il est administrateur local du serveur de site.
Retirez le groupe et utilisez-en un dédié à l’administration de ce serveur.
Groupe d’annuaire trop large chez les administrateurs locaux · DP-LYON — CORP\Domain Admins
CORP\Domain Admins est un groupe d’annuaire au périmètre très large, et il est administrateur local du serveur de site.
Retirez le groupe et utilisez-en un dédié à l’administration de ce serveur.
Compte invité · DP-LYON — Guest
Le compte invité Guest est actif.
Désactivez le compte invité.
Protocole SMBv1 · DP-LYON
SMBv1 est activé sur ce serveur.
Retirez SMBv1 : le protocole est obsolète et les attaques non authentifiées contre lui sont publiques.
Profil du pare-feu Windows · DP-LYON — Domain
Le profil Domain est désactivé.
Réactivez le pare-feu pour ce profil.
Profil du pare-feu Windows · DP-LYON — Private
Le profil Private est désactivé.
Réactivez le pare-feu pour ce profil.
Mise en cache des identifiants WDigest · DP-LYON
WDigest est activé : des mots de passe en clair peuvent séjourner en mémoire.
Mettez UseLogonCredential à 0 pour que les identifiants cessent d’être mis en cache en clair.
Ouverture de session automatique · DP-LYON
L’ouverture de session automatique est configurée et son mot de passe figure en clair dans le registre.
Coupez l’ouverture de session automatique sur un serveur de production, et changez immédiatement le mot de passe s’il en existe un stocké.
Authentification au niveau réseau · DP-LYON
L’authentification au niveau réseau n’est pas exigée : l’écran d’ouverture est atteignable avant toute authentification.
Exigez l’authentification au niveau réseau, pour qu’un appelant non authentifié n’atteigne jamais l’hôte de session.
Groupe d’annuaire trop large chez les administrateurs locaux · SQL01 — CORP\Domain Admins
CORP\Domain Admins est un groupe d’annuaire au périmètre très large, et il est administrateur local du serveur de site.
Retirez le groupe et utilisez-en un dédié à l’administration de ce serveur.
Profil du pare-feu Windows · SQL01 — Domain
Le profil Domain est désactivé.
Réactivez le pare-feu pour ce profil.
Groupe d’annuaire trop large chez les administrateurs locaux · CM01 — CORP\Domain Admins
CORP\Domain Admins est un groupe d’annuaire au périmètre très large, et il est administrateur local du serveur de site.
Retirez le groupe et utilisez-en un dédié à l’administration de ce serveur.
Rôle de système de site · SMS Software Update Point — CM01.corp.local
Configuration Manager annonce SMS Software Update Point sur CM01.corp.local au statut 1 (0 sain, 1 avertissement, 2 critique).
Ouvrez Surveillance, puis État du système de site, pour les messages enregistrés par ce rôle.
Rôle de système de site · Storage Object — SQL01.corp.local
Configuration Manager annonce Storage Object sur SQL01.corp.local au statut 1 (0 sain, 1 avertissement, 2 critique).
Ouvrez Surveillance, puis État du système de site, pour les messages enregistrés par ce rôle.
Composant du site · SMS_WSUS_SYNC_MANAGER — CM01
SMS_WSUS_SYNC_MANAGER sur CM01 est au statut 1, avec 0 erreur(s) et 3 avertissement(s) sur l’intervalle de synthèse.
Ouvrez Surveillance, puis État des composants, et lisez les messages récents de ce composant.
Composant du site · SMS_SRS_REPORTING_POINT — RPT01
SMS_SRS_REPORTING_POINT sur RPT01 est au statut 1, avec 0 erreur(s) et 2 avertissement(s) sur l’intervalle de synthèse.
Ouvrez Surveillance, puis État des composants, et lisez les messages récents de ce composant.
Composant arrêté mais annoncé conforme · SMS_SITE_BACKUP — CM01
SMS_SITE_BACKUP sur CM01 ne tourne pas : il ne remonte donc aucune erreur récente, ce qui explique un statut encore sain.
Redémarrez le composant, ou confirmez délibérément que le site doit tourner sans lui.
Cibles qui n’ont jamais répondu · 2026-09 Cumulative Update → All Workstations
288 cibles sur 420 (68.6 %) n’ont jamais rendu compte de ce déploiement.
Des cibles qui ne répondent jamais relèvent plus souvent de la santé du client que du déploiement. Vérifiez que les machines du regroupement ont encore un agent fonctionnel.
Distribution en nouvelle tentative · PS100002 — DP-LYON.corp.local
Le paquet PS100002 fait encore l’objet de nouvelles tentatives vers DP-LYON.corp.local.
Laissez faire si la tentative est récente ; si cela dure depuis plusieurs jours, traitez-le comme un échec.
Ancienneté de la dernière synchronisation réussie · CM01.corp.local
Dernière synchronisation réussie il y a 13 jour(s), le 2026-09-11 02:04 UTC. État brut remonté : 6702.
Un catalogue qui cesse de se synchroniser cesse de proposer des mises à jour sans jamais tomber en erreur. Rétablissez la planification.
Erreurs et avertissements sur la période
Sur les 72 dernières heures, le site a enregistré 5 erreur(s) et 4 avertissement(s).
Ouvrez Surveillance, puis État du système, puis Requêtes de messages d’état, pour le texte complet de chaque message.
Composant qui remonte en boucle · SMS_DISTRIBUTION_MANAGER
SMS_DISTRIBUTION_MANAGER a enregistré 4 erreur(s) sur les 72 dernières heures.
Un composant qui répète la même erreur traduit en général un seul problème, pas plusieurs. Commencez par l’occurrence la plus ancienne.
Composant qui remonte en boucle · SMS_WSUS_SYNC_MANAGER
SMS_WSUS_SYNC_MANAGER a enregistré 1 erreur(s) sur les 72 dernières heures.
Un composant qui répète la même erreur traduit en général un seul problème, pas plusieurs. Commencez par l’occurrence la plus ancienne.
Installation automatique du client par push
Le site installe le client automatiquement par push.
Vecteur documenté de relais d’identifiants. Préférez un déploiement par stratégie de groupe ou par Intune, et désactivez le push automatique.
Point de distribution servant en HTTP · DP-LYON.corp.local
DP-LYON.corp.local sert le contenu en HTTP non chiffré.
Passez ce point de distribution en HTTPS, ou activez Enhanced HTTP sur le site.
PXE ouvert aux machines inconnues · DP-LYON.corp.local
DP-LYON.corp.local répond au PXE pour des machines que le site n’a jamais vues.
Répondre aux machines inconnues permet à n’importe qui sur le segment de lancer un déploiement d’OS. À désactiver hors des périodes de masterisation.
Limite excessivement large · Corporate
Corporate couvre 16 777 216 adresses (10.0.0.0/8).
Une limite aussi large donne contenu et affectation de site à des machines que personne n’avait prévues. Découpez-la selon les segments réellement couverts.
Limites rattachées à aucun groupe
1 limites sur 4 n’appartiennent à aucun groupe : elles ne routent rien.
Une limite rattachée à aucun groupe ne sert à rien. Rattachez-la ou supprimez-la, pour que la liste des limites décrive encore le réseau.
Espace libre sur un disque · SQL01.corp.local — D:
Il reste 6.2 % sur D: de SQL01.corp.local — 62.0 GB sur 1000 GB.
Libérez de la place sur la bibliothèque de contenu, ou déplacez-la sur un volume plus grand. Un point de distribution saturé échoue sur les paquets qu’on lui demande sans tomber en panne lui-même.
Système de site qui ne remonte rien · DP-NANTES.corp.local
DP-NANTES.corp.local héberge DP, Component, Site system et ne remonte aucun composant : la console l’affiche donc en bonne santé sur la foi de son silence.
Soit la machine ne parle plus au site, soit ses rôles ont été retirés en laissant sa fiche derrière eux. Les deux paraissent sains dans la console.
Espace libre sur un disque · DP-NANTES.corp.local — E:
Il reste 8.5 % sur E: de DP-NANTES.corp.local — 34.0 GB sur 400 GB.
Libérez de la place sur la bibliothèque de contenu, ou déplacez-la sur un volume plus grand. Un point de distribution saturé échoue sur les paquets qu’on lui demande sans tomber en panne lui-même.
Point de distribution en retard sur le site · DP-NANTES.corp.local
DP-NANTES.corp.local est en 5.00.9058.1000 alors que le site est en 5.00.9128.1000.
Regardez la mise à niveau du point de distribution dans Surveillance, puis État de configuration des points de distribution. Un point qui ne prend jamais la mise à niveau cesse discrètement de servir le nouveau contenu.
Écouteurs WinRM · DP-NANTES
Au moins un écouteur WinRM accepte le HTTP non chiffré.
Préférez un écouteur HTTPS avec un certificat valide.
Partage SMB · DP-LYON — Temp
Temp pointe vers C:\Temp et accorde l’écriture beaucoup trop largement : Everyone (Change) — au niveau du partage. Les permissions NTFS n’ont pas été lues : l’accès réel est le plus restrictif des deux, vérifiez-les avant de conclure.
Ce partage a été créé à la main : restreignez l’écriture à des groupes nominatifs (administrateurs du contenu) et contrôlez les permissions NTFS sous-jacentes. Pour un partage de sources de paquets, le compte ordinateur du serveur de site a besoin de la lecture ; sécurisez aussi le canal par la signature SMB, comme le recommande Microsoft.
Compte administrateur intégré · DP-LYON — Administrator
Le compte intégré Administrator est actif.
Désactivez-le au profit de comptes nominatifs, ou gérez son mot de passe avec LAPS.
Longueur minimale du mot de passe · DP-LYON
La longueur minimale locale est de 7 caractères.
Portez la longueur minimale à quatorze caractères ou plus.
Complexité du mot de passe · DP-LYON
La complexité des mots de passe n’est pas exigée localement.
Exigez la complexité dans la stratégie de sécurité locale.
Seuil de verrouillage de compte · DP-LYON
Aucun seuil de verrouillage de compte n’est configuré localement.
Définissez un seuil de verrouillage, dix tentatives par exemple, pour qu’un mot de passe ne se devine pas à loisir.
Service WebClient (WebDAV) · DP-LYON
Le service WebClient tourne sur ce serveur.
WebDAV facilite la coercition d’authentification. Désactivez le service si rien n’en dépend.
Service Spouleur d’impression · DP-LYON
Le service Spouleur d’impression tourne sur ce serveur.
Vecteur connu d’élévation de privilèges et de coercition. À désactiver si ce serveur n’imprime pas.
Signature SMB exigée (serveur) · DP-LYON
La signature SMB n’est pas exigée pour les connexions entrantes.
Exigez la signature SMB pour qu’une session interceptée ne puisse pas être relayée.
Signature SMB exigée (client) · DP-LYON
La signature SMB n’est pas exigée pour les connexions sortantes.
Exigez aussi la signature SMB sur les connexions sortantes : le côté serveur seul n’arrête pas un relais.
NetBIOS sur TCP/IP · DP-LYON
NetBIOS sur TCP/IP est actif ou laissé par défaut sur : Ethernet0; Ethernet1
Désactivez NetBIOS sur TCP/IP pour fermer les attaques d’empoisonnement de nom du type Responder.
LLMNR · DP-LYON
LLMNR n’est pas explicitement désactivé : le comportement par défaut s’applique et il répond.
Désactivez LLMNR par stratégie de groupe, en complément de NetBIOS.
Niveau d’authentification LAN Manager · DP-LYON
Réglé sur 2, qui accepte encore une authentification plus faible que NTLMv2.
Réglez le niveau d’authentification LAN Manager sur 5, qui n’envoie que NTLMv2 et refuse LM et NTLM.
Protection du LSA (RunAsPPL) · DP-LYON
Le processus LSA ne s’exécute pas en mode protégé.
Activez la protection du LSA une fois testée la compatibilité des pilotes et agents tiers.
Écouteurs WinRM · DP-LYON
Au moins un écouteur WinRM accepte le HTTP non chiffré.
Préférez un écouteur HTTPS avec un certificat valide.
TrustedHosts WinRM · DP-LYON
TrustedHosts vaut le joker : ce client s’authentifiera auprès de n’importe quel hôte.
Remplacez le joker par une liste explicite de serveurs de confiance.
Antivirus Microsoft Defender · DP-LYON
Protection en temps réel : true. Moteur antivirus : true. Les signatures datent de 14 jour(s).
Assurez-vous que la protection en temps réel est active et les signatures à jour, ou confirmez un agent tiers équivalent.
Dernière mise à jour du système · DP-LYON — KB5036893
La mise à jour la plus récente à l’historique est KB5036893, installée le 2026-04-10 00:00 UTC — il y a 165 jour(s).
Revoyez le processus de mise à jour de ce serveur.
Ligne de commande dans les événements de création de processus · DP-LYON
Les événements de création de processus n’incluent pas la ligne de commande.
Incluez la ligne de commande dans l’événement 4688 : sans elle, l’audit des processus ne nomme presque jamais ce qui s’est exécuté.
Journalisation des blocs de script PowerShell · DP-LYON
La journalisation des blocs de script n’est pas activée.
Activez la journalisation des blocs de script PowerShell : c’est la source la plus utile pour comprendre ce qu’un script a fait.
Moteur PowerShell v2 · DP-LYON
Le moteur PowerShell v2 est toujours installé.
Désinstallez PowerShell v2 : il ne prend en charge ni AMSI ni la journalisation des blocs de script, et on peut le demander exprès pour échapper aux deux.
Énumération anonyme des comptes SAM · DP-LYON
L’énumération anonyme des comptes SAM n’est pas explicitement refusée.
Refusez l’énumération anonyme des comptes SAM et des partages.
Protocole TLS/SSL obsolète · DP-LYON — SSL 3.0
SSL 3.0 est actif côté serveur.
Désactivez ce protocole : il est obsolète.
Protocole TLS/SSL obsolète · DP-LYON — TLS 1.0
TLS 1.0 est actif côté serveur.
Désactivez ce protocole : il est obsolète.
Protocole TLS/SSL obsolète · DP-LYON — TLS 1.1
TLS 1.1 est actif côté serveur.
Désactivez ce protocole : il est obsolète.
Suites de chiffrement · DP-LYON
1 suite(s) de chiffrement faibles restent actives : TLS_RSA_WITH_3DES_EDE_CBC_SHA
Retirez les suites obsolètes de l’ordre de priorité.
Compte administrateur intégré · SQL01 — Administrator
Le compte intégré Administrator est actif.
Désactivez-le au profit de comptes nominatifs, ou gérez son mot de passe avec LAPS.
Longueur minimale du mot de passe · SQL01
La longueur minimale locale est de 8 caractères.
Portez la longueur minimale à quatorze caractères ou plus.
Seuil de verrouillage de compte · SQL01
Aucun seuil de verrouillage de compte n’est configuré localement.
Définissez un seuil de verrouillage, dix tentatives par exemple, pour qu’un mot de passe ne se devine pas à loisir.
Service Spouleur d’impression · SQL01
Le service Spouleur d’impression tourne sur ce serveur.
Vecteur connu d’élévation de privilèges et de coercition. À désactiver si ce serveur n’imprime pas.
Chemins de service sans guillemets · SQL01
1 service(s) ont un chemin d’exécution contenant un espace et non entouré de guillemets : SqlMonitor : C:\Program Files\Contoso Tools\sqlmon.exe -service
Entourez chaque chemin d’exécution de guillemets, pour qu’un fichier déposé plus tôt dans le chemin ne soit pas lancé à sa place.
Signature SMB exigée (serveur) · SQL01
La signature SMB n’est pas exigée pour les connexions entrantes.
Exigez la signature SMB pour qu’une session interceptée ne puisse pas être relayée.
Signature SMB exigée (client) · SQL01
La signature SMB n’est pas exigée pour les connexions sortantes.
Exigez aussi la signature SMB sur les connexions sortantes : le côté serveur seul n’arrête pas un relais.
NetBIOS sur TCP/IP · SQL01
NetBIOS sur TCP/IP est actif ou laissé par défaut sur : Ethernet0
Désactivez NetBIOS sur TCP/IP pour fermer les attaques d’empoisonnement de nom du type Responder.
LLMNR · SQL01
LLMNR n’est pas explicitement désactivé : le comportement par défaut s’applique et il répond.
Désactivez LLMNR par stratégie de groupe, en complément de NetBIOS.
Niveau d’authentification LAN Manager · SQL01
Réglé sur 3, qui accepte encore une authentification plus faible que NTLMv2.
Réglez le niveau d’authentification LAN Manager sur 5, qui n’envoie que NTLMv2 et refuse LM et NTLM.
Protection du LSA (RunAsPPL) · SQL01
Le processus LSA ne s’exécute pas en mode protégé.
Activez la protection du LSA une fois testée la compatibilité des pilotes et agents tiers.
Écouteurs WinRM · SQL01
Au moins un écouteur WinRM accepte le HTTP non chiffré.
Préférez un écouteur HTTPS avec un certificat valide.
Dernière mise à jour du système · SQL01 — KB5040437
La mise à jour la plus récente à l’historique est KB5040437, installée le 2026-06-12 00:00 UTC — il y a 102 jour(s).
Revoyez le processus de mise à jour de ce serveur.
Ligne de commande dans les événements de création de processus · SQL01
Les événements de création de processus n’incluent pas la ligne de commande.
Incluez la ligne de commande dans l’événement 4688 : sans elle, l’audit des processus ne nomme presque jamais ce qui s’est exécuté.
Journalisation des blocs de script PowerShell · SQL01
La journalisation des blocs de script n’est pas activée.
Activez la journalisation des blocs de script PowerShell : c’est la source la plus utile pour comprendre ce qu’un script a fait.
Moteur PowerShell v2 · SQL01
Le moteur PowerShell v2 est toujours installé.
Désinstallez PowerShell v2 : il ne prend en charge ni AMSI ni la journalisation des blocs de script, et on peut le demander exprès pour échapper aux deux.
Protocole TLS/SSL obsolète · SQL01 — TLS 1.0
TLS 1.0 est actif côté serveur.
Désactivez ce protocole : il est obsolète.
Protocole TLS/SSL obsolète · SQL01 — TLS 1.1
TLS 1.1 est actif côté serveur.
Désactivez ce protocole : il est obsolète.
Suites de chiffrement · SQL01
2 suite(s) de chiffrement faibles restent actives : TLS_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_RC4_128_SHA
Retirez les suites obsolètes de l’ordre de priorité.
Partage SMB · CM01 — Sources
Sources pointe vers E:\Sources et accorde l’écriture beaucoup trop largement : Everyone (Full) — au niveau du partage. Les permissions NTFS n’ont pas été lues : l’accès réel est le plus restrictif des deux, vérifiez-les avant de conclure.
Ce partage a été créé à la main : restreignez l’écriture à des groupes nominatifs (administrateurs du contenu) et contrôlez les permissions NTFS sous-jacentes. Pour un partage de sources de paquets, le compte ordinateur du serveur de site a besoin de la lecture ; sécurisez aussi le canal par la signature SMB, comme le recommande Microsoft.
Compte administrateur intégré · CM01 — Administrator
Le compte intégré Administrator est actif.
Désactivez-le au profit de comptes nominatifs, ou gérez son mot de passe avec LAPS.
Longueur minimale du mot de passe · CM01
La longueur minimale locale est de 12 caractères.
Portez la longueur minimale à quatorze caractères ou plus.
Service Spouleur d’impression · CM01
Le service Spouleur d’impression tourne sur ce serveur.
Vecteur connu d’élévation de privilèges et de coercition. À désactiver si ce serveur n’imprime pas.
Signature SMB exigée (client) · CM01
La signature SMB n’est pas exigée pour les connexions sortantes.
Exigez aussi la signature SMB sur les connexions sortantes : le côté serveur seul n’arrête pas un relais.
NetBIOS sur TCP/IP · CM01
NetBIOS sur TCP/IP est actif ou laissé par défaut sur : Ethernet0
Désactivez NetBIOS sur TCP/IP pour fermer les attaques d’empoisonnement de nom du type Responder.
LLMNR · CM01
LLMNR n’est pas explicitement désactivé : le comportement par défaut s’applique et il répond.
Désactivez LLMNR par stratégie de groupe, en complément de NetBIOS.
Niveau d’authentification LAN Manager · CM01
Réglé sur 3, qui accepte encore une authentification plus faible que NTLMv2.
Réglez le niveau d’authentification LAN Manager sur 5, qui n’envoie que NTLMv2 et refuse LM et NTLM.
Protection du LSA (RunAsPPL) · CM01
Le processus LSA ne s’exécute pas en mode protégé.
Activez la protection du LSA une fois testée la compatibilité des pilotes et agents tiers.
Écouteurs WinRM · CM01
Au moins un écouteur WinRM accepte le HTTP non chiffré.
Préférez un écouteur HTTPS avec un certificat valide.
Ligne de commande dans les événements de création de processus · CM01
Les événements de création de processus n’incluent pas la ligne de commande.
Incluez la ligne de commande dans l’événement 4688 : sans elle, l’audit des processus ne nomme presque jamais ce qui s’est exécuté.
Toutes les machines qui portent ce site, réunies en une carte chacune : les rôles qu’elle héberge, ce que remontent ses composants, la place restante sur ses disques et si le collecteur de durcissement y est passé. Les erreurs sont datées d’après les messages d’état : un composant silencieux depuis 30 jours n’est plus compté comme une anomalie.
Systèmes de site
6
site PS1
Machines en difficulté
5
Points de distribution
3
Rôles distincts
9
Espace libre
625 GB
sur 2.9 TB, tous disques lus confondus
Durcissement collecté
5 / 6
Collecté sur 5 machines sur 6.
MP02.corp.local — Connecting to remote server MP02.corp.local failed with the following error message : WinRM cannot complete the operation. Verify that the specified computer name is valid, that the computer is accessible over the network, and that a firewall exception for the WinRM service is enabled and allows access from this computer.
Composants à regarder
| Composant | Statut | Compteurs du site | Dernier contact |
|---|---|---|---|
| SMS_DISTRIBUTION_MANAGER | Critique | 37 err. / 5 avert. | — |
| SMS_WSUS_SYNC_MANAGER | Attention | 0 err. / 3 avert. | — |
1 arrêtés
Disques
| Lecteur | Espace libre | Taille | |
|---|---|---|---|
| E: | 210 GB | 500 GB | 58% utilisé |
| C: | 88.0 GB | 200 GB | 56% utilisé |
Rôles
Composants à regarder
Cette machine ne remonte aucun composant.
Disques
| Lecteur | Espace libre | Taille | |
|---|---|---|---|
| D: | 62.0 GB | 1000 GB | 93.8% utilisé |
Rôles
Composants à regarder
Aucun composant en anomalie.
Disques
| Lecteur | Espace libre | Taille | |
|---|---|---|---|
| E: | 11.0 GB | 400 GB | 97.2% utilisé |
| F: | 150 GB | 400 GB | 62.5% utilisé |
Rôles
Composants à regarder
Cette machine ne remonte aucun composant.
Disques
| Lecteur | Espace libre | Taille | |
|---|---|---|---|
| E: | 34.0 GB | 400 GB | 91.5% utilisé |
Rôles
Composants à regarder
Aucun composant en anomalie.
Disques
aucun disque remonté
Rôles
Composants à regarder
| Composant | Statut | Compteurs du site | Dernier contact |
|---|---|---|---|
| SMS_SRS_REPORTING_POINT | Attention | 0 err. / 2 avert. | — |
Disques
| Lecteur | Espace libre | Taille | |
|---|---|---|---|
| C: | 70.0 GB | 120 GB | 41.7% utilisé |
Rôles
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Infrastructure de ce site | À vérifier | 6 machine(s) portent ce site, pour 9 rôle(s) distincts, dont 3 points de distribution. | — | — |
| Espace libre sur un disqueSQL01.corp.local — D: | Attention | Il reste 6.2 % sur D: de SQL01.corp.local — 62.0 GB sur 1000 GB. | Libérez de la place sur la bibliothèque de contenu, ou déplacez-la sur un volume plus grand. Un point de distribution saturé échoue sur les paquets qu’on lui demande sans tomber en panne lui-même. | — |
| Espace libre sur un disqueDP-LYON.corp.local — E: | Critique | Il reste 2.8 % sur E: de DP-LYON.corp.local — 11.0 GB sur 400 GB. | Libérez de la place sur la bibliothèque de contenu, ou déplacez-la sur un volume plus grand. Un point de distribution saturé échoue sur les paquets qu’on lui demande sans tomber en panne lui-même. | — |
| Système de site qui ne remonte rienDP-NANTES.corp.local | Attention | DP-NANTES.corp.local héberge DP, Component, Site system et ne remonte aucun composant : la console l’affiche donc en bonne santé sur la foi de son silence. | Soit la machine ne parle plus au site, soit ses rôles ont été retirés en laissant sa fiche derrière eux. Les deux paraissent sains dans la console. | ↗ |
| Espace libre sur un disqueDP-NANTES.corp.local — E: | Attention | Il reste 8.5 % sur E: de DP-NANTES.corp.local — 34.0 GB sur 400 GB. | Libérez de la place sur la bibliothèque de contenu, ou déplacez-la sur un volume plus grand. Un point de distribution saturé échoue sur les paquets qu’on lui demande sans tomber en panne lui-même. | — |
| Point de distribution en retard sur le siteDP-NANTES.corp.local | Attention | DP-NANTES.corp.local est en 5.00.9058.1000 alors que le site est en 5.00.9128.1000. | Regardez la mise à niveau du point de distribution dans Surveillance, puis État de configuration des points de distribution. Un point qui ne prend jamais la mise à niveau cesse discrètement de servir le nouveau contenu. | — |
| Serveur de base de données du siteSQL01.corp.local | À vérifier | La base de données du site est hébergée sur SQL01.corp.local. | Vérifiez que ce serveur est dimensionné, sauvegardé et mis à jour comme un composant du site et non comme un hôte de base de données ordinaire. | — |
| Couverture du durcissement | À vérifier | Le collecteur de durcissement a tourné sur 5 machines sur 6. On ne sait rien du système d’exploitation des autres : MP02.corp.local | Lancez le collecteur sur les machines restantes : un point de distribution en agence a ses propres administrateurs locaux et son propre pare-feu. | — |
| Systèmes de site, synthèse | À vérifier | 6 machine(s), dont 5 avec un point à regarder : CM01.corp.local, SQL01.corp.local, DP-LYON.corp.local, DP-NANTES.corp.local, RPT01.corp.local | — | — |
Aucun contrôle ne correspond à ce filtre.
Les machines gérées par le site, lues comme une population : le client est-il là, parle-t-il à l’infrastructure, remonte-t-il ses informations, est-il sain, et quelle part est déjà passée sur Intune.
Machines connues
36
dont 2 obsolètes
Clients sains
20
66.7% des clients · actifs, santé OK, stratégie < 7 j, inventaire < 14 j
Sans client
4
parmi les machines découvertes
Muets depuis une semaine
4
13.3% · 2 depuis plus d’un mois
Santé client en échec
2
3 jamais évalués
Inventaire périmé
4
13.3%
Co-gérées
22
73.3%
build du site 5.00.9128.1000
sur 30 machines gérées
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Clients, synthèse | À vérifier | 36 machines connues du site, 32 porteuses d’un client, 2 obsolètes. | — | — |
| Machines sans client | Attention | 4 machines découvertes sur 34 n’ont pas de client (11.8 %). 32 en ont un. | Une machine découverte sans client est une machine que le site ne peut ni gérer ni mesurer. Regardez l’installation par push, le groupe de limites dont elle relève, et si elle existe encore. | ↗ |
| Enregistrements obsolètes | OK | 2 enregistrements sur 36 sont obsolètes (5.6 %). | — | — |
| Clients que le site déclare inactifs | Attention | Le site déclare inactifs 3 clients gérés sur 30 (10 %). | Inactif est le verdict du site lui-même, fondé sur le battement de cœur et la stratégie. Commencez par ceux qui sont aussi silencieux. | — |
| Clients qui ne demandent plus leur stratégie | Attention | 4 clients sur 30 (13.3 %) n’ont pas demandé leur stratégie depuis plus de 7 jours, dont 2 depuis plus de 30. | Un client qui cesse de demander sa stratégie cesse de recevoir les déploiements sans en faire échouer un seul. C’est le signe le plus fiable d’un client présent et mort. | — |
| Clients qui n’ont jamais demandé de stratégie | Attention | 1 clients sur 30 n’ont jamais demandé la moindre stratégie. | Un client qui n’a jamais demandé de stratégie a été installé sans jamais s’enregistrer. Contrôlez son certificat, son point de gestion et son groupe de limites. | — |
| Clients qui ne remontent plus d’inventaire | Attention | 4 clients sur 30 (13.3 %) n’ont pas remonté d’inventaire matériel depuis plus de 14 jours, et 2 ne l’ont jamais fait. | Un client qui demande sa stratégie mais ne remonte aucun inventaire fausse tous vos rapports sans jamais tomber en panne. Contrôlez le dépôt WMI et le cycle d’inventaire sur ces machines. | ↗ |
| Évaluation de santé du client | Attention | 2 clients évalués sur 27 échouent à leur contrôle de santé (7.4 %). 3 n’ont jamais été évalués. | Ouvrez Surveillance, puis État du client, pour le détail des contrôles. Les échecs viennent le plus souvent du dépôt WMI, du certificat client ou du service de l’agent. | ↗ |
| Clients en retard sur la build du site | Attention | 4 clients sur 30 (13.3 %) sont sur une build autre que le 5.00.9128 du site. | Un client en retard sur la build du site fait échouer des déploiements pour des raisons qui n’apparaissent jamais dans le déploiement. Poussez la mise à niveau du client. | ↗ |
| Co-gestion | À vérifier | 22 clients gérés sur 30 sont co-gérés (73.3 %), et 22 sont inscrits dans Intune. | La co-gestion est la sortie de ce site. Chaque machine non co-gérée est une machine sur laquelle la migration n’a pas commencé. | ↗ |
| Charges basculées sur Intune | À vérifier | 2 charge(s) de travail sont passées sur Intune : compliance, deviceConfiguration. Masque brut sur une machine témoin : 11. | Chaque charge basculée sur Intune est une charge que ce site n’a plus à porter. Le masque brut est imprimé pour que la lecture puisse être confirmée dans la console. | ↗ |
| Échecs d’inscription MDM | Critique | 3 clients sur 30 (10 %) n’ont pas réussi à s’inscrire dans Intune. Statuts les plus fréquents : 0x8018000a (2), 0x80180014 (1) | Ces machines sont candidates à la co-gestion et n’arrivent pas à s’inscrire : la migration s’arrête sur elles. Le code de statut est la solution : cherchez-le avant de toucher à la machine. | ↗ |
Aucun contrôle ne correspond à ce filtre.
| Serveur | Système | Client | Stratégie | Inventaire | Ce qui ne va pas |
|---|---|---|---|---|---|
| PC-0202 | Microsoft Windows NT Workstation 10.0 | 5.00.9058.1000 | 119 j | 129 j | muet depuis un moisinactifinventaire périmé |
| PC-0201 | Microsoft Windows NT Workstation 10.0 | 5.00.9058.1000 | 63 j | 69 j | muet depuis un moisinactifinventaire périmé |
| PC-0301 | Microsoft Windows NT Workstation 10.0 | 5.00.9128.1025 | jamais | jamais | jamais demandé de stratégieinactifjamais inventorié |
| PC-0102 | Microsoft Windows NT Workstation 10.0 | 5.00.9128.1025 | 11 j | 19 j | silencieuxinventaire périmé |
| PC-0401 | Microsoft Windows NT Workstation 10.0 | 5.00.9128.1025 | -1 j | 44 j | évaluation en échecinventaire périmé |
| PC-0402 | Microsoft Windows NT Workstation 10.0 | 5.00.9128.1025 | -1 j | jamais | évaluation en échecjamais inventorié |
| PC-0101 | Microsoft Windows NT Workstation 10.0 | 5.00.9128.1025 | 8 j | 8 j | silencieux |
| PC-0502 | Microsoft Windows NT Workstation 10.0 | 5.00.9128.1025 | 0 j | 1 j | inscription en échec |
| PC-0501 | Microsoft Windows NT Workstation 10.0 | 5.00.9128.1025 | -1 j | 0 j | inscription en échec |
| PC-0503 | Microsoft Windows NT Workstation 10.0 | 5.00.9128.1025 | -1 j | 0 j | inscription en échec |
Site
PS1
5.00.9128.1000
Rôles de systèmes de site
11
Composants
11
Déploiements
5
Points de distribution
3
Regroupements
3
Messages d’état
9
72 dernières h
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Identité et version du sitePS1 | À vérifier | Site PS1 (Primary site - SYNTHETIC) sur CM01.corp.local, version 5.00.9128.1000, build 9128. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Rôle de système de siteSMS Distribution Point — DP-LYON.corp.local | Critique | Configuration Manager annonce SMS Distribution Point sur DP-LYON.corp.local au statut 2 (0 sain, 1 avertissement, 2 critique). | Ouvrez Surveillance, puis État du système de site, pour les messages enregistrés par ce rôle. | ↗ |
| Rôle de système de siteSMS Software Update Point — CM01.corp.local | Attention | Configuration Manager annonce SMS Software Update Point sur CM01.corp.local au statut 1 (0 sain, 1 avertissement, 2 critique). | Ouvrez Surveillance, puis État du système de site, pour les messages enregistrés par ce rôle. | ↗ |
| Rôle de système de siteStorage Object — SQL01.corp.local | Attention | Configuration Manager annonce Storage Object sur SQL01.corp.local au statut 1 (0 sain, 1 avertissement, 2 critique). | Ouvrez Surveillance, puis État du système de site, pour les messages enregistrés par ce rôle. | ↗ |
| Rôles de systèmes de site, synthèse | À vérifier | 8 rôles de systèmes de site sains sur 11. | — | — |
| Composant du siteSMS_DISTRIBUTION_MANAGER — CM01 | Critique | SMS_DISTRIBUTION_MANAGER sur CM01 est au statut 2, avec 37 erreur(s) et 5 avertissement(s) sur l’intervalle de synthèse. | Ouvrez Surveillance, puis État des composants, et lisez les messages récents de ce composant. | ↗ |
| Composant du siteSMS_WSUS_SYNC_MANAGER — CM01 | Attention | SMS_WSUS_SYNC_MANAGER sur CM01 est au statut 1, avec 0 erreur(s) et 3 avertissement(s) sur l’intervalle de synthèse. | Ouvrez Surveillance, puis État des composants, et lisez les messages récents de ce composant. | ↗ |
| Composant du siteSMS_SRS_REPORTING_POINT — RPT01 | Attention | SMS_SRS_REPORTING_POINT sur RPT01 est au statut 1, avec 0 erreur(s) et 2 avertissement(s) sur l’intervalle de synthèse. | Ouvrez Surveillance, puis État des composants, et lisez les messages récents de ce composant. | ↗ |
| Composant arrêté mais annoncé conformeSMS_SITE_BACKUP — CM01 | Attention | SMS_SITE_BACKUP sur CM01 ne tourne pas : il ne remonte donc aucune erreur récente, ce qui explique un statut encore sain. | Redémarrez le composant, ou confirmez délibérément que le site doit tourner sans lui. | — |
| Composants du site, synthèse | À vérifier | 11 composants surveillés, dont 3 en anomalie. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Taux d’échec d’un déploiementContoso CAD 2026 → Engineering laptops | Critique | 39 cibles en échec sur 64 (60.9 %). Réussites 22, en cours 1, sans réponse 2. | Ouvrez ce déploiement dans Surveillance, puis Déploiements, et remontez depuis les codes d’erreur renvoyés par les postes. | ↗ |
| Cibles qui n’ont jamais répondu2026-09 Cumulative Update → All Workstations | Attention | 288 cibles sur 420 (68.6 %) n’ont jamais rendu compte de ce déploiement. | Des cibles qui ne répondent jamais relèvent plus souvent de la santé du client que du déploiement. Vérifiez que les machines du regroupement ont encore un agent fonctionnel. | — |
| Déploiements, synthèse | À vérifier | 5 déploiements actifs, dont 1 en échec sur plus d’un dixième de leurs cibles. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Distribution en échecPS100001 — DP-LYON.corp.local | Critique | Le paquet PS100001 n’a pas pu être placé sur DP-LYON.corp.local et n’est plus retenté (état 3). | Redistribuez le paquet vers ce point de distribution, et contrôlez son espace disque et sa bibliothèque de contenu. | ↗ |
| Distribution en nouvelle tentativePS100002 — DP-LYON.corp.local | Attention | Le paquet PS100002 fait encore l’objet de nouvelles tentatives vers DP-LYON.corp.local. | Laissez faire si la tentative est récente ; si cela dure depuis plusieurs jours, traitez-le comme un échec. | — |
| Distribution de contenu, synthèse | À vérifier | 5 états paquet/point de distribution : 1 en échec, 1 en nouvelle tentative, 1 en cours. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Ancienneté de la dernière synchronisation réussieCM01.corp.local | Attention | Dernière synchronisation réussie il y a 13 jour(s), le 2026-09-11 02:04 UTC. État brut remonté : 6702. | Un catalogue qui cesse de se synchroniser cesse de proposer des mises à jour sans jamais tomber en erreur. Rétablissez la planification. | — |
| Règle de déploiement automatique en échecDefender definitions | Critique | Defender definitions s’est exécutée le 2026-09-22 01:00 UTC et s’est terminée sur l’erreur 0x87D01101. | Relancez la règle à la main et lisez l’erreur renvoyée : une règle qui échoue en silence ne déploie plus rien du tout. | ↗ |
| Règles de déploiement automatique, synthèse | À vérifier | 2 règles de déploiement automatique, dont 1 se terminent en erreur. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Regroupements en évaluation incrémentielle | OK | 3 regroupements sur 3 sont évalués de façon incrémentielle (la recommandation plafonne autour de 200). | — | — |
| Regroupements vides | OK | 0 regroupements sur 3 n’ont aucun membre. | — | — |
| Regroupements jamais réévalués | À vérifier | 0 regroupements sur 3 n’ont pas de planification d’évaluation et ne bougent que sur action manuelle. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Erreurs et avertissements sur la période | Attention | Sur les 72 dernières heures, le site a enregistré 5 erreur(s) et 4 avertissement(s). | Ouvrez Surveillance, puis État du système, puis Requêtes de messages d’état, pour le texte complet de chaque message. | — |
| Composant qui remonte en boucleSMS_DISTRIBUTION_MANAGER | Attention | SMS_DISTRIBUTION_MANAGER a enregistré 4 erreur(s) sur les 72 dernières heures. | Un composant qui répète la même erreur traduit en général un seul problème, pas plusieurs. Commencez par l’occurrence la plus ancienne. | — |
| Composant qui remonte en boucleSMS_WSUS_SYNC_MANAGER | Attention | SMS_WSUS_SYNC_MANAGER a enregistré 1 erreur(s) sur les 72 dernières heures. | Un composant qui répète la même erreur traduit en général un seul problème, pas plusieurs. Commencez par l’occurrence la plus ancienne. | — |
Aucun contrôle ne correspond à ce filtre.
Ce que le site expose lui-même : qui l’administre, comment les postes le joignent, comment il les installe, et ce qu’une machine inconnue peut lui demander. Le durcissement du serveur qui l’héberge est dans l’onglet suivant, et il ne se lit pas d’ici.
Critique
1
Attention
5
OK
2
À vérifier
7
Les 23 mesures préventives de Misconfiguration Manager (SpecterOps), et ce que ce rapport en mesure. Le statut est le pire des contrôles concernés, toutes machines confondues.
| ID | Mesure | Statut | Contrôlé par |
|---|---|---|---|
| PREVENT-1 | Installer le correctif KB15599094 sur le serveur de site | OK | 1 contrôle(s) : Correctif NTLM du push (KB15599094) |
| PREVENT-2 | Désactiver le repli NTLM | — | Non collecté : la lecture correspondante n’a pas eu lieu ou n’a rien renvoyé. |
| PREVENT-3 | Durcir ou supprimer les comptes d’accès réseau | À vérifier | 1 contrôle(s) : Compte d’accès réseau (NAA) |
| PREVENT-4 | Configurer Enhanced HTTP | À vérifier | 1 contrôle(s) : Mode de communication des clients |
| PREVENT-5 | Désactiver l’installation automatique du client par push | Attention | 1 contrôle(s) : Installation automatique du client par push |
| PREVENT-6 | Définir un mot de passe PXE robuste | — | Non mesurable en lecture seule depuis le site : à vérifier à la main. |
| PREVENT-7 | Désactiver la prise en charge des commandes au démarrage PXE | — | Non collecté : la lecture correspondante n’a pas eu lieu ou n’a rien renvoyé. |
| PREVENT-8 | Exiger des certificats PKI pour l’authentification des clients | À vérifier | 1 contrôle(s) : Mode de communication des clients |
| PREVENT-9 | Exiger l’authentification multifacteur pour le fournisseur SMS | — | Non mesurable en lecture seule depuis le site : à vérifier à la main. |
| PREVENT-10 | Appliquer le moindre privilège aux comptes | Critique | 11 contrôle(s) : Détenteurs du rôle Administrateur complet, Groupe Administrateurs local, Groupe d’annuaire trop large chez les administrateurs locaux |
| PREVENT-11 | Désactiver et désinstaller WebClient sur les serveurs de site | Attention | 5 contrôle(s) : Service WebClient (WebDAV) |
| PREVENT-12 | Exiger la signature SMB sur les systèmes de site | Attention | 10 contrôle(s) : Signature SMB exigée (serveur), Signature SMB exigée (client) |
| PREVENT-13 | Exiger la liaison de canal et la signature LDAP | — | Hors périmètre : réglage des contrôleurs de domaine ou de l’annuaire, pas des systèmes de site. |
| PREVENT-14 | Exiger EPA sur AD CS et sur les bases du site | — | Non collecté : la lecture correspondante n’a pas eu lieu ou n’a rien renvoyé. |
| PREVENT-15 | Désactiver les anciens NAA et changer les mots de passe des NAA et des variables de regroupement | À vérifier | 1 contrôle(s) : Compte d’accès réseau (NAA) |
| PREVENT-16 | Retirer SeMachineAccountPrivilege et mettre MachineAccountQuota à 0 | — | Non collecté : la lecture correspondante n’a pas eu lieu ou n’a rien renvoyé. |
| PREVENT-17 | Retirer les droits étendus aux comptes qui n’en ont pas besoin | — | Hors périmètre : réglage des contrôleurs de domaine ou de l’annuaire, pas des systèmes de site. |
| PREVENT-18 | Utiliser des mots de passe robustes pour les comptes DBA | — | Non mesurable en lecture seule depuis le site : à vérifier à la main. |
| PREVENT-19 | Supprimer les liens inutiles vers les bases du site | — | Non mesurable en lecture seule depuis le site : à vérifier à la main. |
| PREVENT-20 | Bloquer les connexions inutiles vers les systèmes de site | Critique | 17 contrôle(s) : Profil du pare-feu Windows, Partage SMB |
| PREVENT-21 | Limiter le démarrage PXE aux VLAN autorisés | — | Non mesurable en lecture seule depuis le site : à vérifier à la main. |
| PREVENT-22 | Ne pas gérer des ressources de forêts, domaines ou réseaux cloisonnés | — | Hors périmètre : réglage des contrôleurs de domaine ou de l’annuaire, pas des systèmes de site. |
| PREVENT-23 | Interdire l’écriture dans le cache du client (ccmcache) aux non-administrateurs | — | Non collecté : la lecture correspondante n’a pas eu lieu ou n’a rien renvoyé. |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Détenteurs du rôle Administrateur complet | À vérifier | 1 compte(s) ou groupe(s) détiennent Administrateur complet : CORP\g-sccm-fulladmins | Réservez Administrateur complet au strict nécessaire et utilisez des rôles plus étroits pour le quotidien. | ↗ |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Installation automatique du client par push | Attention | Le site installe le client automatiquement par push. | Vecteur documenté de relais d’identifiants. Préférez un déploiement par stratégie de groupe ou par Intune, et désactivez le push automatique. | ↗ |
| Push du client vers les contrôleurs de domaine | OK | Les contrôleurs de domaine sont exclus du push automatique du client. | — | — |
| Correctif NTLM du push (KB15599094) | OK | Build 9128 : version postérieure à 2207, qui intègre le correctif KB15599094. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Compte d’accès réseau (NAA) | À vérifier | Le réglage du compte d’accès réseau n’a pas pu être lu (composant Software Distribution du site control file). | S’il en existe un, ses identifiants sont récupérables depuis n’importe quel poste par un administrateur local. Limitez-le à la lecture seule, ou retirez-le au profit d’Enhanced HTTP ou de HTTPS. | ↗ |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Mode de communication des clients | À vérifier | Le fournisseur n’a renvoyé aucun mode de communication des clients pour ce site. | Confirmez que le site est en HTTPS ou en Enhanced HTTP, et pas en HTTP non chiffré. | ↗ |
| Point de distribution servant en HTTPDP-LYON.corp.local | Attention | DP-LYON.corp.local sert le contenu en HTTP non chiffré. | Passez ce point de distribution en HTTPS, ou activez Enhanced HTTP sur le site. | ↗ |
| Transport des points de distribution, synthèse | À vérifier | 2 points de distribution sur 3 servent en HTTPS. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Points de distribution répondant au PXE | À vérifier | 1 point(s) de distribution répondent au PXE : DP-LYON.corp.local | Exigez un mot de passe de démarrage et restreignez les segments réseau qui atteignent le répondeur PXE. | ↗ |
| PXE ouvert aux machines inconnuesDP-LYON.corp.local | Attention | DP-LYON.corp.local répond au PXE pour des machines que le site n’a jamais vues. | Répondre aux machines inconnues permet à n’importe qui sur le segment de lancer un déploiement d’OS. À désactiver hors des périodes de masterisation. | ↗ |
| Séquence de tâches déployée sur un regroupement intégréWindows 11 24H2 build → All Unknown Computers | Critique | La séquence de tâches Windows 11 24H2 build est déployée sur All Unknown Computers, un regroupement intégré plutôt qu’une population choisie. | Déployez la séquence de tâches sur un regroupement créé pour elle, et rendez-la disponible plutôt que requise. | ↗ |
| Séquences de tâches | À vérifier | 2 séquence(s) de tâches sur ce site. Leurs étapes et variables n’ont pas été ouvertes par ce contrôle. | Vérifiez qu’aucune séquence de tâches ne stocke un mot de passe dans une variable non masquée. | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Groupes de limites | À vérifier | 3 groupe(s) de limites : Lyon, Nantes, Default-Site-Boundary-Group<PS1> | Vérifiez qu’aucun groupe de limites n’accorde l’accès au contenu bien au-delà du site qu’il dessert. | ↗ |
| Limite excessivement largeCorporate | Attention | Corporate couvre 16 777 216 adresses (10.0.0.0/8). | Une limite aussi large donne contenu et affectation de site à des machines que personne n’avait prévues. Découpez-la selon les segments réellement couverts. | — |
| Limites rattachées à aucun groupe | Attention | 1 limites sur 4 n’appartiennent à aucun groupe : elles ne routent rien. | Une limite rattachée à aucun groupe ne sert à rien. Rattachez-la ou supprimez-la, pour que la liste des limites décrive encore le réseau. | — |
Aucun contrôle ne correspond à ce filtre.
Clés de registre, groupes locaux, services et protocoles du serveur de site. Aucune interface REST n’expose cela : un script en lecture seule est exécuté sur ce serveur, et son résultat est noté ici.
Collecté sur 5 machines sur 6.
MP02.corp.local — Connecting to remote server MP02.corp.local failed with the following error message : WinRM cannot complete the operation. Verify that the specified computer name is valid, that the computer is accessible over the network, and that a firewall exception for the WinRM service is enabled and allows access from this computer.
Serveur analysé
5
machines collectées
Collecté le
22/09/2026
la plus récente d’entre elles
Critique
13
Attention
56
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Partages SMB non administratifsRPT01 | OK | Ce serveur ne publie aucun partage au-delà des partages administratifs. | — | — |
| Noms de fichiers évoquant des secretsRPT01 | À vérifier | La recherche dans le contenu des partages n’a pas été demandée : aucun nom de fichier n’a été examiné. | Relancez le collecteur avec la recherche sur les partages si vous voulez examiner les noms de fichiers. Il ne lit que les noms, jamais le contenu. | — |
| Partages créés par Configuration Manager, WSUS ou WindowsDP-NANTES | OK | 1 partage(s) créé(s) par un produit, vérifiés au niveau du partage et en NTFS : aucun groupe large ne peut y écrire. SCCMContentLib$ (contenu ConfigMgr) | — | — |
| Contenu publié par le point de distributionDP-NANTES | À vérifier | Ce serveur publie la bibliothèque de contenu (SCCMContentLib$). Par conception, le contenu d’un point de distribution est lisible par tous les utilisateurs du domaine, en SMB comme en HTTP : tout script, fichier de configuration ou paquet qui contient un mot de passe y est donc exposé. | La mesure n’est pas dans les ACL du partage mais dans ce qu’on y publie : aucun identifiant dans les sources de paquets, d’applications ou de séquences de tâches (utilisez des variables de collection masquées ou un coffre, et recherchez les secrets existants avec -ScanShares). Pour restreindre un paquet sensible, utilisez les comptes d’accès au package (point de distribution en HTTP), la voie documentée par Microsoft. Retirez le rôle de point de distribution du serveur de site, n’activez pas l’accès anonyme sur les DP, et filtrez les flux vers les DP (Misconfiguration Manager CRED-6, PREVENT-10 et PREVENT-20). | ↗ |
| Partages SMB non administratifsDP-NANTES | OK | Aucun partage créé à la main : ce serveur ne publie que des partages administratifs ou créés par un produit. | — | — |
| Noms de fichiers évoquant des secretsDP-NANTES | À vérifier | La recherche dans le contenu des partages n’a pas été demandée : aucun nom de fichier n’a été examiné. | Relancez le collecteur avec la recherche sur les partages si vous voulez examiner les noms de fichiers. Il ne lit que les noms, jamais le contenu. | — |
| Partages créés par Configuration Manager, WSUS ou WindowsDP-LYON | OK | 2 partage(s) créé(s) par un produit, vérifiés au niveau du partage et en NTFS : aucun groupe large ne peut y écrire. REMINST (WDS / PXE), SCCMContentLib$ (contenu ConfigMgr) | — | — |
| Contenu publié par le point de distributionDP-LYON | À vérifier | Ce serveur publie la bibliothèque de contenu (SCCMContentLib$). Par conception, le contenu d’un point de distribution est lisible par tous les utilisateurs du domaine, en SMB comme en HTTP : tout script, fichier de configuration ou paquet qui contient un mot de passe y est donc exposé. | La mesure n’est pas dans les ACL du partage mais dans ce qu’on y publie : aucun identifiant dans les sources de paquets, d’applications ou de séquences de tâches (utilisez des variables de collection masquées ou un coffre, et recherchez les secrets existants avec -ScanShares). Pour restreindre un paquet sensible, utilisez les comptes d’accès au package (point de distribution en HTTP), la voie documentée par Microsoft. Retirez le rôle de point de distribution du serveur de site, n’activez pas l’accès anonyme sur les DP, et filtrez les flux vers les DP (Misconfiguration Manager CRED-6, PREVENT-10 et PREVENT-20). | ↗ |
| Partage SMBDP-LYON — Temp | Attention | Temp pointe vers C:\Temp et accorde l’écriture beaucoup trop largement : Everyone (Change) — au niveau du partage. Les permissions NTFS n’ont pas été lues : l’accès réel est le plus restrictif des deux, vérifiez-les avant de conclure. | Ce partage a été créé à la main : restreignez l’écriture à des groupes nominatifs (administrateurs du contenu) et contrôlez les permissions NTFS sous-jacentes. Pour un partage de sources de paquets, le compte ordinateur du serveur de site a besoin de la lecture ; sécurisez aussi le canal par la signature SMB, comme le recommande Microsoft. | — |
| Noms de fichiers évoquant des secretsDP-LYON | À vérifier | La recherche dans le contenu des partages n’a pas été demandée : aucun nom de fichier n’a été examiné. | Relancez le collecteur avec la recherche sur les partages si vous voulez examiner les noms de fichiers. Il ne lit que les noms, jamais le contenu. | — |
| Partages SMB non administratifsSQL01 | OK | Ce serveur ne publie aucun partage au-delà des partages administratifs. | — | — |
| Noms de fichiers évoquant des secretsSQL01 | À vérifier | La recherche dans le contenu des partages n’a pas été demandée : aucun nom de fichier n’a été examiné. | Relancez le collecteur avec la recherche sur les partages si vous voulez examiner les noms de fichiers. Il ne lit que les noms, jamais le contenu. | — |
| Partages créés par Configuration Manager, WSUS ou WindowsCM01 | OK | 2 partage(s) créé(s) par un produit, vérifiés au niveau du partage et en NTFS : aucun groupe large ne peut y écrire. SCCMContentLib$ (contenu ConfigMgr), SMS_PS1 (site ConfigMgr) | — | — |
| Contenu publié par le point de distributionCM01 | À vérifier | Ce serveur publie la bibliothèque de contenu (SCCMContentLib$). Par conception, le contenu d’un point de distribution est lisible par tous les utilisateurs du domaine, en SMB comme en HTTP : tout script, fichier de configuration ou paquet qui contient un mot de passe y est donc exposé. | La mesure n’est pas dans les ACL du partage mais dans ce qu’on y publie : aucun identifiant dans les sources de paquets, d’applications ou de séquences de tâches (utilisez des variables de collection masquées ou un coffre, et recherchez les secrets existants avec -ScanShares). Pour restreindre un paquet sensible, utilisez les comptes d’accès au package (point de distribution en HTTP), la voie documentée par Microsoft. Retirez le rôle de point de distribution du serveur de site, n’activez pas l’accès anonyme sur les DP, et filtrez les flux vers les DP (Misconfiguration Manager CRED-6, PREVENT-10 et PREVENT-20). | ↗ |
| Partage SMBCM01 — Sources | Attention | Sources pointe vers E:\Sources et accorde l’écriture beaucoup trop largement : Everyone (Full) — au niveau du partage. Les permissions NTFS n’ont pas été lues : l’accès réel est le plus restrictif des deux, vérifiez-les avant de conclure. | Ce partage a été créé à la main : restreignez l’écriture à des groupes nominatifs (administrateurs du contenu) et contrôlez les permissions NTFS sous-jacentes. Pour un partage de sources de paquets, le compte ordinateur du serveur de site a besoin de la lecture ; sécurisez aussi le canal par la signature SMB, comme le recommande Microsoft. | — |
| Noms de fichiers évoquant des secretsCM01 | À vérifier | La recherche dans le contenu des partages n’a pas été demandée : aucun nom de fichier n’a été examiné. | Relancez le collecteur avec la recherche sur les partages si vous voulez examiner les noms de fichiers. Il ne lit que les noms, jamais le contenu. | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Groupe Administrateurs localRPT01 | À vérifier | 2 membre(s) : RPT01\Administrator, CORP\Domain Admins | Ne gardez que le nécessaire : les comptes de service Configuration Manager et les administrateurs nommés. | — |
| Groupe d’annuaire trop large chez les administrateurs locauxRPT01 — CORP\Domain Admins | Critique | CORP\Domain Admins est un groupe d’annuaire au périmètre très large, et il est administrateur local du serveur de site. | Retirez le groupe et utilisez-en un dédié à l’administration de ce serveur. | — |
| Compte administrateur intégréRPT01 — Administrator | OK | Le compte intégré Administrator est désactivé. | — | — |
| Compte invitéRPT01 — Guest | OK | Le compte invité Guest est désactivé. | — | — |
| LAPSRPT01 | OK | Une configuration LAPS est présente sur ce serveur (windows). | — | — |
| Groupe Administrateurs localDP-NANTES | À vérifier | 3 membre(s) : DP-NANTES\Administrator, CORP\Domain Admins, CORP\CM01$ | Ne gardez que le nécessaire : les comptes de service Configuration Manager et les administrateurs nommés. | — |
| Groupe d’annuaire trop large chez les administrateurs locauxDP-NANTES — CORP\Domain Admins | Critique | CORP\Domain Admins est un groupe d’annuaire au périmètre très large, et il est administrateur local du serveur de site. | Retirez le groupe et utilisez-en un dédié à l’administration de ce serveur. | — |
| Compte administrateur intégréDP-NANTES — Administrator | OK | Le compte intégré Administrator est désactivé. | — | — |
| Compte invitéDP-NANTES — Guest | OK | Le compte invité Guest est désactivé. | — | — |
| LAPSDP-NANTES | OK | Une configuration LAPS est présente sur ce serveur (windows). | — | — |
| Groupe Administrateurs localDP-LYON | À vérifier | 4 membre(s) : DP-LYON\Administrator, DP-LYON\support, CORP\Domain Admins, CORP\CM01$ | Ne gardez que le nécessaire : les comptes de service Configuration Manager et les administrateurs nommés. | — |
| Groupe d’annuaire trop large chez les administrateurs locauxDP-LYON — CORP\Domain Admins | Critique | CORP\Domain Admins est un groupe d’annuaire au périmètre très large, et il est administrateur local du serveur de site. | Retirez le groupe et utilisez-en un dédié à l’administration de ce serveur. | — |
| Compte administrateur intégréDP-LYON — Administrator | Attention | Le compte intégré Administrator est actif. | Désactivez-le au profit de comptes nominatifs, ou gérez son mot de passe avec LAPS. | ↗ |
| Compte invitéDP-LYON — Guest | Critique | Le compte invité Guest est actif. | Désactivez le compte invité. | — |
| LAPSDP-LYON | À vérifier | Ce relevé n’a pas pu être pris sur le serveur ; il est reporté comme non mesuré plutôt que compté comme conforme. | Relancez le collecteur avec les droits d’administrateur local sur le serveur de site, ou vérifiez ce réglage à la main. | — |
| Groupe Administrateurs localSQL01 | À vérifier | 4 membre(s) : SQL01\Administrator, CORP\Domain Admins, CORP\GG-SCCM-Admins, CORP\Domain Users | Ne gardez que le nécessaire : les comptes de service Configuration Manager et les administrateurs nommés. | — |
| Groupe d’annuaire trop large chez les administrateurs locauxSQL01 — CORP\Domain Admins | Critique | CORP\Domain Admins est un groupe d’annuaire au périmètre très large, et il est administrateur local du serveur de site. | Retirez le groupe et utilisez-en un dédié à l’administration de ce serveur. | — |
| Compte administrateur intégréSQL01 — Administrator | Attention | Le compte intégré Administrator est actif. | Désactivez-le au profit de comptes nominatifs, ou gérez son mot de passe avec LAPS. | ↗ |
| Compte invitéSQL01 — Guest | OK | Le compte invité Guest est désactivé. | — | — |
| LAPSSQL01 | À vérifier | Ce relevé n’a pas pu être pris sur le serveur ; il est reporté comme non mesuré plutôt que compté comme conforme. | Relancez le collecteur avec les droits d’administrateur local sur le serveur de site, ou vérifiez ce réglage à la main. | — |
| Groupe Administrateurs localCM01 | À vérifier | 4 membre(s) : CM01\Administrator, CORP\Domain Admins, CORP\GG-SCCM-Admins, CORP\svc-cm-push | Ne gardez que le nécessaire : les comptes de service Configuration Manager et les administrateurs nommés. | — |
| Groupe d’annuaire trop large chez les administrateurs locauxCM01 — CORP\Domain Admins | Critique | CORP\Domain Admins est un groupe d’annuaire au périmètre très large, et il est administrateur local du serveur de site. | Retirez le groupe et utilisez-en un dédié à l’administration de ce serveur. | — |
| Compte administrateur intégréCM01 — Administrator | Attention | Le compte intégré Administrator est actif. | Désactivez-le au profit de comptes nominatifs, ou gérez son mot de passe avec LAPS. | ↗ |
| Compte invitéCM01 — Guest | OK | Le compte invité Guest est désactivé. | — | — |
| LAPSCM01 | OK | Une configuration LAPS est présente sur ce serveur (windows). | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Longueur minimale du mot de passeRPT01 | OK | La longueur minimale locale est de 14 caractères. | — | — |
| Complexité du mot de passeRPT01 | OK | La complexité des mots de passe est exigée localement. | — | — |
| Seuil de verrouillage de compteRPT01 | OK | Les comptes se verrouillent après 10 tentative(s) infructueuse(s). | — | — |
| Longueur minimale du mot de passeDP-NANTES | OK | La longueur minimale locale est de 14 caractères. | — | — |
| Complexité du mot de passeDP-NANTES | OK | La complexité des mots de passe est exigée localement. | — | — |
| Seuil de verrouillage de compteDP-NANTES | OK | Les comptes se verrouillent après 10 tentative(s) infructueuse(s). | — | — |
| Longueur minimale du mot de passeDP-LYON | Attention | La longueur minimale locale est de 7 caractères. | Portez la longueur minimale à quatorze caractères ou plus. | — |
| Complexité du mot de passeDP-LYON | Attention | La complexité des mots de passe n’est pas exigée localement. | Exigez la complexité dans la stratégie de sécurité locale. | — |
| Seuil de verrouillage de compteDP-LYON | Attention | Aucun seuil de verrouillage de compte n’est configuré localement. | Définissez un seuil de verrouillage, dix tentatives par exemple, pour qu’un mot de passe ne se devine pas à loisir. | — |
| Longueur minimale du mot de passeSQL01 | Attention | La longueur minimale locale est de 8 caractères. | Portez la longueur minimale à quatorze caractères ou plus. | — |
| Complexité du mot de passeSQL01 | OK | La complexité des mots de passe est exigée localement. | — | — |
| Seuil de verrouillage de compteSQL01 | Attention | Aucun seuil de verrouillage de compte n’est configuré localement. | Définissez un seuil de verrouillage, dix tentatives par exemple, pour qu’un mot de passe ne se devine pas à loisir. | — |
| Longueur minimale du mot de passeCM01 | Attention | La longueur minimale locale est de 12 caractères. | Portez la longueur minimale à quatorze caractères ou plus. | — |
| Complexité du mot de passeCM01 | OK | La complexité des mots de passe est exigée localement. | — | — |
| Seuil de verrouillage de compteCM01 | OK | Les comptes se verrouillent après 10 tentative(s) infructueuse(s). | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Service sous un compte nomméRPT01 — SQLServerReportingServices | À vérifier | SQL Server Reporting Services s’exécute sous NT SERVICE\SQLServerReportingServices et se trouve actuellement dans l’état Running. | Vérifiez que ce compte ne détient que les droits nécessaires au service. | — |
| Service WebClient (WebDAV)RPT01 | OK | Le service WebClient est absent, désactivé ou arrêté. | — | — |
| Service Spouleur d’impressionRPT01 | OK | Le service Spouleur d’impression est absent, désactivé ou arrêté. | — | — |
| Chemins de service sans guillemetsRPT01 | OK | Aucun service n’a de chemin d’exécution sans guillemets hors du répertoire Windows. | — | — |
| Services exécutés sous un compte nomméDP-NANTES | OK | Aucun service tiers ne tourne sous un compte nommé. | — | — |
| Service WebClient (WebDAV)DP-NANTES | OK | Le service WebClient est absent, désactivé ou arrêté. | — | — |
| Service Spouleur d’impressionDP-NANTES | OK | Le service Spouleur d’impression est absent, désactivé ou arrêté. | — | — |
| Chemins de service sans guillemetsDP-NANTES | OK | Aucun service n’a de chemin d’exécution sans guillemets hors du répertoire Windows. | — | — |
| Services exécutés sous un compte nomméDP-LYON | OK | Aucun service tiers ne tourne sous un compte nommé. | — | — |
| Service WebClient (WebDAV)DP-LYON | Attention | Le service WebClient tourne sur ce serveur. | WebDAV facilite la coercition d’authentification. Désactivez le service si rien n’en dépend. | — |
| Service Spouleur d’impressionDP-LYON | Attention | Le service Spouleur d’impression tourne sur ce serveur. | Vecteur connu d’élévation de privilèges et de coercition. À désactiver si ce serveur n’imprime pas. | — |
| Chemins de service sans guillemetsDP-LYON | OK | Aucun service n’a de chemin d’exécution sans guillemets hors du répertoire Windows. | — | — |
| Service sous un compte nomméSQL01 — MSSQLSERVER | À vérifier | SQL Server (MSSQLSERVER) s’exécute sous CORP\svc-sql et se trouve actuellement dans l’état Running. | Vérifiez que ce compte ne détient que les droits nécessaires au service. | — |
| Service sous un compte nomméSQL01 — SQLSERVERAGENT | À vérifier | SQL Server Agent (MSSQLSERVER) s’exécute sous CORP\svc-sql et se trouve actuellement dans l’état Running. | Vérifiez que ce compte ne détient que les droits nécessaires au service. | — |
| Service WebClient (WebDAV)SQL01 | OK | Le service WebClient est absent, désactivé ou arrêté. | — | — |
| Service Spouleur d’impressionSQL01 | Attention | Le service Spouleur d’impression tourne sur ce serveur. | Vecteur connu d’élévation de privilèges et de coercition. À désactiver si ce serveur n’imprime pas. | — |
| Chemins de service sans guillemetsSQL01 | Attention | 1 service(s) ont un chemin d’exécution contenant un espace et non entouré de guillemets : SqlMonitor : C:\Program Files\Contoso Tools\sqlmon.exe -service | Entourez chaque chemin d’exécution de guillemets, pour qu’un fichier déposé plus tôt dans le chemin ne soit pas lancé à sa place. | — |
| Service sous un compte nomméCM01 — SMS_EXECUTIVE | À vérifier | SMS_EXECUTIVE s’exécute sous LocalSystem et se trouve actuellement dans l’état Running. | Vérifiez que ce compte ne détient que les droits nécessaires au service. | — |
| Service sous un compte nomméCM01 — CcmExec | À vérifier | SMS Agent Host s’exécute sous LocalSystem et se trouve actuellement dans l’état Running. | Vérifiez que ce compte ne détient que les droits nécessaires au service. | — |
| Service sous un compte nomméCM01 — BackupAgent | À vérifier | Contoso Backup Agent s’exécute sous CORP\svc-backup et se trouve actuellement dans l’état Running. | Vérifiez que ce compte ne détient que les droits nécessaires au service. | — |
| Service WebClient (WebDAV)CM01 | OK | Le service WebClient est absent, désactivé ou arrêté. | — | — |
| Service Spouleur d’impressionCM01 | Attention | Le service Spouleur d’impression tourne sur ce serveur. | Vecteur connu d’élévation de privilèges et de coercition. À désactiver si ce serveur n’imprime pas. | — |
| Chemins de service sans guillemetsCM01 | OK | Aucun service n’a de chemin d’exécution sans guillemets hors du répertoire Windows. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Protocole SMBv1RPT01 | OK | SMBv1 est désactivé. | — | — |
| Signature SMB exigée (serveur)RPT01 | OK | La signature SMB est exigée pour les connexions entrantes. | — | — |
| Signature SMB exigée (client)RPT01 | OK | La signature SMB est exigée pour les connexions sortantes. | — | — |
| NetBIOS sur TCP/IPRPT01 | OK | NetBIOS sur TCP/IP est désactivé sur toutes les interfaces IP actives. | — | — |
| LLMNRRPT01 | OK | LLMNR est désactivé par stratégie. | — | — |
| mDNSRPT01 | OK | mDNS est désactivé. | — | — |
| Protocole SMBv1DP-NANTES | OK | SMBv1 est désactivé. | — | — |
| Signature SMB exigée (serveur)DP-NANTES | OK | La signature SMB est exigée pour les connexions entrantes. | — | — |
| Signature SMB exigée (client)DP-NANTES | OK | La signature SMB est exigée pour les connexions sortantes. | — | — |
| NetBIOS sur TCP/IPDP-NANTES | OK | NetBIOS sur TCP/IP est désactivé sur toutes les interfaces IP actives. | — | — |
| LLMNRDP-NANTES | OK | LLMNR est désactivé par stratégie. | — | — |
| mDNSDP-NANTES | À vérifier | mDNS n’est pas explicitement désactivé. | Sur les versions qui le permettent, envisagez aussi de désactiver mDNS. | — |
| Protocole SMBv1DP-LYON | Critique | SMBv1 est activé sur ce serveur. | Retirez SMBv1 : le protocole est obsolète et les attaques non authentifiées contre lui sont publiques. | — |
| Signature SMB exigée (serveur)DP-LYON | Attention | La signature SMB n’est pas exigée pour les connexions entrantes. | Exigez la signature SMB pour qu’une session interceptée ne puisse pas être relayée. | — |
| Signature SMB exigée (client)DP-LYON | Attention | La signature SMB n’est pas exigée pour les connexions sortantes. | Exigez aussi la signature SMB sur les connexions sortantes : le côté serveur seul n’arrête pas un relais. | — |
| NetBIOS sur TCP/IPDP-LYON | Attention | NetBIOS sur TCP/IP est actif ou laissé par défaut sur : Ethernet0; Ethernet1 | Désactivez NetBIOS sur TCP/IP pour fermer les attaques d’empoisonnement de nom du type Responder. | — |
| LLMNRDP-LYON | Attention | LLMNR n’est pas explicitement désactivé : le comportement par défaut s’applique et il répond. | Désactivez LLMNR par stratégie de groupe, en complément de NetBIOS. | — |
| mDNSDP-LYON | À vérifier | mDNS n’est pas explicitement désactivé. | Sur les versions qui le permettent, envisagez aussi de désactiver mDNS. | — |
| Protocole SMBv1SQL01 | OK | SMBv1 est désactivé. | — | — |
| Signature SMB exigée (serveur)SQL01 | Attention | La signature SMB n’est pas exigée pour les connexions entrantes. | Exigez la signature SMB pour qu’une session interceptée ne puisse pas être relayée. | — |
| Signature SMB exigée (client)SQL01 | Attention | La signature SMB n’est pas exigée pour les connexions sortantes. | Exigez aussi la signature SMB sur les connexions sortantes : le côté serveur seul n’arrête pas un relais. | — |
| NetBIOS sur TCP/IPSQL01 | Attention | NetBIOS sur TCP/IP est actif ou laissé par défaut sur : Ethernet0 | Désactivez NetBIOS sur TCP/IP pour fermer les attaques d’empoisonnement de nom du type Responder. | — |
| LLMNRSQL01 | Attention | LLMNR n’est pas explicitement désactivé : le comportement par défaut s’applique et il répond. | Désactivez LLMNR par stratégie de groupe, en complément de NetBIOS. | — |
| mDNSSQL01 | À vérifier | mDNS n’est pas explicitement désactivé. | Sur les versions qui le permettent, envisagez aussi de désactiver mDNS. | — |
| Protocole SMBv1CM01 | OK | SMBv1 est désactivé. | — | — |
| Signature SMB exigée (serveur)CM01 | OK | La signature SMB est exigée pour les connexions entrantes. | — | — |
| Signature SMB exigée (client)CM01 | Attention | La signature SMB n’est pas exigée pour les connexions sortantes. | Exigez aussi la signature SMB sur les connexions sortantes : le côté serveur seul n’arrête pas un relais. | — |
| NetBIOS sur TCP/IPCM01 | Attention | NetBIOS sur TCP/IP est actif ou laissé par défaut sur : Ethernet0 | Désactivez NetBIOS sur TCP/IP pour fermer les attaques d’empoisonnement de nom du type Responder. | — |
| LLMNRCM01 | Attention | LLMNR n’est pas explicitement désactivé : le comportement par défaut s’applique et il répond. | Désactivez LLMNR par stratégie de groupe, en complément de NetBIOS. | — |
| mDNSCM01 | À vérifier | mDNS n’est pas explicitement désactivé. | Sur les versions qui le permettent, envisagez aussi de désactiver mDNS. | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Profil du pare-feu WindowsRPT01 — Domain | OK | Le profil Domain est actif. | — | — |
| Profil du pare-feu WindowsRPT01 — Private | OK | Le profil Private est actif. | — | — |
| Profil du pare-feu WindowsRPT01 — Public | OK | Le profil Public est actif. | — | — |
| Profil du pare-feu WindowsDP-NANTES — Domain | OK | Le profil Domain est actif. | — | — |
| Profil du pare-feu WindowsDP-NANTES — Private | OK | Le profil Private est actif. | — | — |
| Profil du pare-feu WindowsDP-NANTES — Public | OK | Le profil Public est actif. | — | — |
| Profil du pare-feu WindowsDP-LYON — Domain | Critique | Le profil Domain est désactivé. | Réactivez le pare-feu pour ce profil. | — |
| Profil du pare-feu WindowsDP-LYON — Private | Critique | Le profil Private est désactivé. | Réactivez le pare-feu pour ce profil. | — |
| Profil du pare-feu WindowsDP-LYON — Public | OK | Le profil Public est actif. | — | — |
| Profil du pare-feu WindowsSQL01 — Domain | Critique | Le profil Domain est désactivé. | Réactivez le pare-feu pour ce profil. | — |
| Profil du pare-feu WindowsSQL01 — Private | OK | Le profil Private est actif. | — | — |
| Profil du pare-feu WindowsSQL01 — Public | OK | Le profil Public est actif. | — | — |
| Profil du pare-feu WindowsCM01 — Domain | OK | Le profil Domain est actif. | — | — |
| Profil du pare-feu WindowsCM01 — Private | OK | Le profil Private est actif. | — | — |
| Profil du pare-feu WindowsCM01 — Public | OK | Le profil Public est actif. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Niveau d’authentification LAN ManagerRPT01 | OK | Réglé sur 5, qui n’envoie que NTLMv2 et refuse LM et NTLM. | — | — |
| Trafic NTLM sortantRPT01 | OK | Le trafic NTLM sortant est restreint (valeur 2). | — | — |
| Trafic NTLM entrantRPT01 | OK | Le trafic NTLM entrant est restreint (valeur 2). | — | — |
| Niveau d’authentification LAN ManagerDP-NANTES | OK | Réglé sur 5, qui n’envoie que NTLMv2 et refuse LM et NTLM. | — | — |
| Trafic NTLM sortantDP-NANTES | OK | Le trafic NTLM sortant est restreint (valeur 1). | — | — |
| Trafic NTLM entrantDP-NANTES | À vérifier | Le trafic NTLM entrant n’est pas restreint (valeur 0). | Sur un serveur aussi sensible qu’un serveur de site, évaluez cette restriction en mode audit. | — |
| Niveau d’authentification LAN ManagerDP-LYON | Attention | Réglé sur 2, qui accepte encore une authentification plus faible que NTLMv2. | Réglez le niveau d’authentification LAN Manager sur 5, qui n’envoie que NTLMv2 et refuse LM et NTLM. | ↗ |
| Trafic NTLM sortantDP-LYON | À vérifier | Le trafic NTLM sortant n’est pas restreint (valeur 0). | Envisagez de le restreindre, d’abord en mode audit, dans une démarche de sortie de NTLM au profit de Kerberos. | — |
| Trafic NTLM entrantDP-LYON | À vérifier | Le trafic NTLM entrant n’est pas restreint (valeur 0). | Sur un serveur aussi sensible qu’un serveur de site, évaluez cette restriction en mode audit. | — |
| Niveau d’authentification LAN ManagerSQL01 | Attention | Réglé sur 3, qui accepte encore une authentification plus faible que NTLMv2. | Réglez le niveau d’authentification LAN Manager sur 5, qui n’envoie que NTLMv2 et refuse LM et NTLM. | ↗ |
| Trafic NTLM sortantSQL01 | À vérifier | Le trafic NTLM sortant n’est pas restreint (valeur 0). | Envisagez de le restreindre, d’abord en mode audit, dans une démarche de sortie de NTLM au profit de Kerberos. | — |
| Trafic NTLM entrantSQL01 | À vérifier | Le trafic NTLM entrant n’est pas restreint (valeur 0). | Sur un serveur aussi sensible qu’un serveur de site, évaluez cette restriction en mode audit. | — |
| Niveau d’authentification LAN ManagerCM01 | Attention | Réglé sur 3, qui accepte encore une authentification plus faible que NTLMv2. | Réglez le niveau d’authentification LAN Manager sur 5, qui n’envoie que NTLMv2 et refuse LM et NTLM. | ↗ |
| Trafic NTLM sortantCM01 | À vérifier | Le trafic NTLM sortant n’est pas restreint (valeur 0). | Envisagez de le restreindre, d’abord en mode audit, dans une démarche de sortie de NTLM au profit de Kerberos. | — |
| Trafic NTLM entrantCM01 | À vérifier | Le trafic NTLM entrant n’est pas restreint (valeur 0). | Sur un serveur aussi sensible qu’un serveur de site, évaluez cette restriction en mode audit. | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Mise en cache des identifiants WDigestRPT01 | OK | WDigest est désactivé ou non configuré. | — | — |
| Protection du LSA (RunAsPPL)RPT01 | OK | Le processus LSA s’exécute en mode protégé. | — | — |
| Credential GuardRPT01 | OK | Credential Guard est actif. | — | — |
| AlwaysInstallElevatedRPT01 | OK | Non activé au niveau machine. | — | — |
| Ouverture de session automatiqueRPT01 | OK | L’ouverture de session automatique n’est pas configurée. | — | — |
| Mise en cache des identifiants WDigestDP-NANTES | OK | WDigest est désactivé ou non configuré. | — | — |
| Protection du LSA (RunAsPPL)DP-NANTES | OK | Le processus LSA s’exécute en mode protégé. | — | — |
| Credential GuardDP-NANTES | À vérifier | Credential Guard ne semble pas actif. | Évaluez son activation, en tenant compte des prérequis matériels et de la compatibilité des agents. | — |
| AlwaysInstallElevatedDP-NANTES | OK | Non activé au niveau machine. | — | — |
| Ouverture de session automatiqueDP-NANTES | OK | L’ouverture de session automatique n’est pas configurée. | — | — |
| Mise en cache des identifiants WDigestDP-LYON | Critique | WDigest est activé : des mots de passe en clair peuvent séjourner en mémoire. | Mettez UseLogonCredential à 0 pour que les identifiants cessent d’être mis en cache en clair. | — |
| Protection du LSA (RunAsPPL)DP-LYON | Attention | Le processus LSA ne s’exécute pas en mode protégé. | Activez la protection du LSA une fois testée la compatibilité des pilotes et agents tiers. | — |
| Credential GuardDP-LYON | À vérifier | Credential Guard ne semble pas actif. | Évaluez son activation, en tenant compte des prérequis matériels et de la compatibilité des agents. | — |
| AlwaysInstallElevatedDP-LYON | OK | Non activé au niveau machine. | — | — |
| Ouverture de session automatiqueDP-LYON | Critique | L’ouverture de session automatique est configurée et son mot de passe figure en clair dans le registre. | Coupez l’ouverture de session automatique sur un serveur de production, et changez immédiatement le mot de passe s’il en existe un stocké. | — |
| Mise en cache des identifiants WDigestSQL01 | À vérifier | Ce relevé n’a pas pu être pris sur le serveur ; il est reporté comme non mesuré plutôt que compté comme conforme. | Relancez le collecteur avec les droits d’administrateur local sur le serveur de site, ou vérifiez ce réglage à la main. | — |
| Protection du LSA (RunAsPPL)SQL01 | Attention | Le processus LSA ne s’exécute pas en mode protégé. | Activez la protection du LSA une fois testée la compatibilité des pilotes et agents tiers. | — |
| Credential GuardSQL01 | À vérifier | Credential Guard ne semble pas actif. | Évaluez son activation, en tenant compte des prérequis matériels et de la compatibilité des agents. | — |
| AlwaysInstallElevatedSQL01 | OK | Non activé au niveau machine. | — | — |
| Ouverture de session automatiqueSQL01 | OK | L’ouverture de session automatique n’est pas configurée. | — | — |
| Mise en cache des identifiants WDigestCM01 | OK | WDigest est désactivé ou non configuré. | — | — |
| Protection du LSA (RunAsPPL)CM01 | Attention | Le processus LSA ne s’exécute pas en mode protégé. | Activez la protection du LSA une fois testée la compatibilité des pilotes et agents tiers. | — |
| Credential GuardCM01 | À vérifier | Credential Guard ne semble pas actif. | Évaluez son activation, en tenant compte des prérequis matériels et de la compatibilité des agents. | — |
| AlwaysInstallElevatedCM01 | OK | Non activé au niveau machine. | — | — |
| Ouverture de session automatiqueCM01 | OK | L’ouverture de session automatique n’est pas configurée. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Bureau à distanceRPT01 | OK | Les connexions Bureau à distance sont refusées. | — | — |
| Bureau à distanceDP-NANTES | À vérifier | Les connexions Bureau à distance sont autorisées sur ce serveur. | Restreignez le Bureau à distance au maximum : pare-feu, groupe restreint, et rebond ou poste d’administration. | — |
| Authentification au niveau réseauDP-NANTES | OK | L’authentification au niveau réseau est exigée. | — | — |
| Bureau à distanceDP-LYON | À vérifier | Les connexions Bureau à distance sont autorisées sur ce serveur. | Restreignez le Bureau à distance au maximum : pare-feu, groupe restreint, et rebond ou poste d’administration. | — |
| Authentification au niveau réseauDP-LYON | Critique | L’authentification au niveau réseau n’est pas exigée : l’écran d’ouverture est atteignable avant toute authentification. | Exigez l’authentification au niveau réseau, pour qu’un appelant non authentifié n’atteigne jamais l’hôte de session. | — |
| Bureau à distanceSQL01 | À vérifier | Les connexions Bureau à distance sont autorisées sur ce serveur. | Restreignez le Bureau à distance au maximum : pare-feu, groupe restreint, et rebond ou poste d’administration. | — |
| Authentification au niveau réseauSQL01 | OK | L’authentification au niveau réseau est exigée. | — | — |
| Bureau à distanceCM01 | À vérifier | Les connexions Bureau à distance sont autorisées sur ce serveur. | Restreignez le Bureau à distance au maximum : pare-feu, groupe restreint, et rebond ou poste d’administration. | — |
| Authentification au niveau réseauCM01 | OK | L’authentification au niveau réseau est exigée. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Écouteurs WinRMRPT01 | OK | Aucun écouteur WinRM en HTTP non chiffré n’est configuré. | — | — |
| TrustedHosts WinRMRPT01 | OK | TrustedHosts est vide. | — | — |
| Écouteurs WinRMDP-NANTES | Attention | Au moins un écouteur WinRM accepte le HTTP non chiffré. | Préférez un écouteur HTTPS avec un certificat valide. | — |
| TrustedHosts WinRMDP-NANTES | OK | TrustedHosts est vide. | — | — |
| Écouteurs WinRMDP-LYON | Attention | Au moins un écouteur WinRM accepte le HTTP non chiffré. | Préférez un écouteur HTTPS avec un certificat valide. | — |
| TrustedHosts WinRMDP-LYON | Attention | TrustedHosts vaut le joker : ce client s’authentifiera auprès de n’importe quel hôte. | Remplacez le joker par une liste explicite de serveurs de confiance. | — |
| Écouteurs WinRMSQL01 | Attention | Au moins un écouteur WinRM accepte le HTTP non chiffré. | Préférez un écouteur HTTPS avec un certificat valide. | — |
| TrustedHosts WinRMSQL01 | OK | TrustedHosts est vide. | — | — |
| Écouteurs WinRMCM01 | Attention | Au moins un écouteur WinRM accepte le HTTP non chiffré. | Préférez un écouteur HTTPS avec un certificat valide. | — |
| TrustedHosts WinRMCM01 | OK | TrustedHosts est vide. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Antivirus Microsoft DefenderRPT01 | OK | La protection en temps réel est active et les signatures datent de 0 jour(s). | — | — |
| Règles de réduction de la surface d’attaqueRPT01 | OK | 14 règle(s) de réduction de la surface d’attaque configurées. | — | — |
| AppLockerRPT01 | OK | 36 règle(s) AppLocker effectives. | — | — |
| Antivirus Microsoft DefenderDP-NANTES | OK | La protection en temps réel est active et les signatures datent de 1 jour(s). | — | — |
| Règles de réduction de la surface d’attaqueDP-NANTES | OK | 6 règle(s) de réduction de la surface d’attaque configurées. | — | — |
| AppLockerDP-NANTES | À vérifier | Aucune règle AppLocker effective n’a été trouvée. | Évaluez un contrôle applicatif — AppLocker ou WDAC — sur un serveur aussi sensible. | — |
| Antivirus Microsoft DefenderDP-LYON | Attention | Protection en temps réel : true. Moteur antivirus : true. Les signatures datent de 14 jour(s). | Assurez-vous que la protection en temps réel est active et les signatures à jour, ou confirmez un agent tiers équivalent. | — |
| Règles de réduction de la surface d’attaqueDP-LYON | À vérifier | Aucune règle de réduction de la surface d’attaque n’est configurée. | Activez des règles de réduction de la surface d’attaque, à commencer par celle qui bloque le vol d’identifiants depuis LSASS. | — |
| AppLockerDP-LYON | À vérifier | Aucune règle AppLocker effective n’a été trouvée. | Évaluez un contrôle applicatif — AppLocker ou WDAC — sur un serveur aussi sensible. | — |
| Antivirus Microsoft DefenderSQL01 | OK | La protection en temps réel est active et les signatures datent de 2 jour(s). | — | — |
| Règles de réduction de la surface d’attaqueSQL01 | À vérifier | Aucune règle de réduction de la surface d’attaque n’est configurée. | Activez des règles de réduction de la surface d’attaque, à commencer par celle qui bloque le vol d’identifiants depuis LSASS. | — |
| AppLockerSQL01 | À vérifier | Aucune règle AppLocker effective n’a été trouvée. | Évaluez un contrôle applicatif — AppLocker ou WDAC — sur un serveur aussi sensible. | — |
| Antivirus Microsoft DefenderCM01 | OK | La protection en temps réel est active et les signatures datent de 1 jour(s). | — | — |
| Règles de réduction de la surface d’attaqueCM01 | À vérifier | Aucune règle de réduction de la surface d’attaque n’est configurée. | Activez des règles de réduction de la surface d’attaque, à commencer par celle qui bloque le vol d’identifiants depuis LSASS. | — |
| AppLockerCM01 | À vérifier | Aucune règle AppLocker effective n’a été trouvée. | Évaluez un contrôle applicatif — AppLocker ou WDAC — sur un serveur aussi sensible. | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Dernière mise à jour du systèmeRPT01 — KB5043050 | OK | La mise à jour la plus récente à l’historique est KB5043050, installée le 2026-09-12 00:00 UTC — il y a 10 jour(s). | — | — |
| Dernière mise à jour du systèmeDP-NANTES — KB5043050 | OK | La mise à jour la plus récente à l’historique est KB5043050, installée le 2026-09-12 00:00 UTC — il y a 10 jour(s). | — | — |
| Dernière mise à jour du systèmeDP-LYON — KB5036893 | Attention | La mise à jour la plus récente à l’historique est KB5036893, installée le 2026-04-10 00:00 UTC — il y a 165 jour(s). | Revoyez le processus de mise à jour de ce serveur. | — |
| Dernière mise à jour du systèmeSQL01 — KB5040437 | Attention | La mise à jour la plus récente à l’historique est KB5040437, installée le 2026-06-12 00:00 UTC — il y a 102 jour(s). | Revoyez le processus de mise à jour de ce serveur. | — |
| Dernière mise à jour du systèmeCM01 — KB5043050 | OK | La mise à jour la plus récente à l’historique est KB5043050, installée le 2026-09-11 00:00 UTC — il y a 11 jour(s). | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Ligne de commande dans les événements de création de processusRPT01 | OK | Les événements de création de processus incluent la ligne de commande. | — | — |
| Ligne de commande dans les événements de création de processusDP-NANTES | OK | Les événements de création de processus incluent la ligne de commande. | — | — |
| Ligne de commande dans les événements de création de processusDP-LYON | Attention | Les événements de création de processus n’incluent pas la ligne de commande. | Incluez la ligne de commande dans l’événement 4688 : sans elle, l’audit des processus ne nomme presque jamais ce qui s’est exécuté. | — |
| Ligne de commande dans les événements de création de processusSQL01 | Attention | Les événements de création de processus n’incluent pas la ligne de commande. | Incluez la ligne de commande dans l’événement 4688 : sans elle, l’audit des processus ne nomme presque jamais ce qui s’est exécuté. | — |
| Ligne de commande dans les événements de création de processusCM01 | Attention | Les événements de création de processus n’incluent pas la ligne de commande. | Incluez la ligne de commande dans l’événement 4688 : sans elle, l’audit des processus ne nomme presque jamais ce qui s’est exécuté. | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Journalisation des blocs de script PowerShellRPT01 | OK | La journalisation des blocs de script est activée. | — | — |
| Journalisation des modules PowerShellRPT01 | OK | La journalisation des modules est activée. | — | — |
| Transcription PowerShellRPT01 | OK | La transcription est activée. | — | — |
| Moteur PowerShell v2RPT01 | OK | Le moteur PowerShell v2 a été retiré. | — | — |
| Journalisation des blocs de script PowerShellDP-NANTES | OK | La journalisation des blocs de script est activée. | — | — |
| Journalisation des modules PowerShellDP-NANTES | À vérifier | La journalisation des modules n’est pas activée. | Envisagez la journalisation des modules en complément des blocs de script. | — |
| Transcription PowerShellDP-NANTES | À vérifier | La transcription n’est pas activée. | Envisagez la transcription vers un partage protégé. | — |
| Moteur PowerShell v2DP-NANTES | OK | Le moteur PowerShell v2 a été retiré. | — | — |
| Journalisation des blocs de script PowerShellDP-LYON | Attention | La journalisation des blocs de script n’est pas activée. | Activez la journalisation des blocs de script PowerShell : c’est la source la plus utile pour comprendre ce qu’un script a fait. | — |
| Journalisation des modules PowerShellDP-LYON | À vérifier | La journalisation des modules n’est pas activée. | Envisagez la journalisation des modules en complément des blocs de script. | — |
| Transcription PowerShellDP-LYON | À vérifier | La transcription n’est pas activée. | Envisagez la transcription vers un partage protégé. | — |
| Moteur PowerShell v2DP-LYON | Attention | Le moteur PowerShell v2 est toujours installé. | Désinstallez PowerShell v2 : il ne prend en charge ni AMSI ni la journalisation des blocs de script, et on peut le demander exprès pour échapper aux deux. | — |
| Journalisation des blocs de script PowerShellSQL01 | Attention | La journalisation des blocs de script n’est pas activée. | Activez la journalisation des blocs de script PowerShell : c’est la source la plus utile pour comprendre ce qu’un script a fait. | — |
| Journalisation des modules PowerShellSQL01 | À vérifier | La journalisation des modules n’est pas activée. | Envisagez la journalisation des modules en complément des blocs de script. | — |
| Transcription PowerShellSQL01 | À vérifier | La transcription n’est pas activée. | Envisagez la transcription vers un partage protégé. | — |
| Moteur PowerShell v2SQL01 | Attention | Le moteur PowerShell v2 est toujours installé. | Désinstallez PowerShell v2 : il ne prend en charge ni AMSI ni la journalisation des blocs de script, et on peut le demander exprès pour échapper aux deux. | — |
| Journalisation des blocs de script PowerShellCM01 | OK | La journalisation des blocs de script est activée. | — | — |
| Journalisation des modules PowerShellCM01 | À vérifier | La journalisation des modules n’est pas activée. | Envisagez la journalisation des modules en complément des blocs de script. | — |
| Transcription PowerShellCM01 | À vérifier | La transcription n’est pas activée. | Envisagez la transcription vers un partage protégé. | — |
| Moteur PowerShell v2CM01 | OK | Le moteur PowerShell v2 a été retiré. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Contrôle de compte d’utilisateurRPT01 | OK | Le contrôle de compte d’utilisateur est actif. | — | — |
| Énumération anonyme des comptes SAMRPT01 | OK | L’énumération anonyme des comptes SAM est refusée. | — | — |
| Chiffrement du disque systèmeRPT01 | OK | Le disque système est chiffré par BitLocker. | — | — |
| Source de synchronisation horaireRPT01 — DC01.corp.local | À vérifier | Source actuelle : DC01.corp.local | Une heure fiable est un prérequis de Kerberos, dont la tolérance par défaut est de cinq minutes. | — |
| Contrôle de compte d’utilisateurDP-NANTES | OK | Le contrôle de compte d’utilisateur est actif. | — | — |
| Énumération anonyme des comptes SAMDP-NANTES | OK | L’énumération anonyme des comptes SAM est refusée. | — | — |
| Chiffrement du disque systèmeDP-NANTES | OK | Le disque système est chiffré par BitLocker. | — | — |
| Source de synchronisation horaireDP-NANTES — DC01.corp.local | À vérifier | Source actuelle : DC01.corp.local | Une heure fiable est un prérequis de Kerberos, dont la tolérance par défaut est de cinq minutes. | — |
| Contrôle de compte d’utilisateurDP-LYON | OK | Le contrôle de compte d’utilisateur est actif. | — | — |
| Énumération anonyme des comptes SAMDP-LYON | Attention | L’énumération anonyme des comptes SAM n’est pas explicitement refusée. | Refusez l’énumération anonyme des comptes SAM et des partages. | — |
| Chiffrement du disque systèmeDP-LYON | À vérifier | Le disque système n’est pas chiffré par BitLocker. | Surtout pertinent là où la machine peut être physiquement emportée. | — |
| Source de synchronisation horaireDP-LYON — Local CMOS Clock | À vérifier | Source actuelle : Local CMOS Clock | Une heure fiable est un prérequis de Kerberos, dont la tolérance par défaut est de cinq minutes. | — |
| Contrôle de compte d’utilisateurSQL01 | OK | Le contrôle de compte d’utilisateur est actif. | — | — |
| Énumération anonyme des comptes SAMSQL01 | OK | L’énumération anonyme des comptes SAM est refusée. | — | — |
| Chiffrement du disque systèmeSQL01 | À vérifier | Le disque système n’est pas chiffré par BitLocker. | Surtout pertinent là où la machine peut être physiquement emportée. | — |
| Source de synchronisation horaireSQL01 — DC01.corp.local | À vérifier | Source actuelle : DC01.corp.local | Une heure fiable est un prérequis de Kerberos, dont la tolérance par défaut est de cinq minutes. | — |
| Contrôle de compte d’utilisateurCM01 | OK | Le contrôle de compte d’utilisateur est actif. | — | — |
| Énumération anonyme des comptes SAMCM01 | OK | L’énumération anonyme des comptes SAM est refusée. | — | — |
| Chiffrement du disque systèmeCM01 | À vérifier | Le disque système n’est pas chiffré par BitLocker. | Surtout pertinent là où la machine peut être physiquement emportée. | — |
| Source de synchronisation horaireCM01 — DC01.corp.local | À vérifier | Source actuelle : DC01.corp.local | Une heure fiable est un prérequis de Kerberos, dont la tolérance par défaut est de cinq minutes. | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Protocole TLS/SSL obsolèteRPT01 — SSL 2.0 | OK | SSL 2.0 est explicitement désactivé côté serveur. | — | — |
| Protocole TLS/SSL obsolèteRPT01 — SSL 3.0 | OK | SSL 3.0 est explicitement désactivé côté serveur. | — | — |
| Protocole TLS/SSL obsolèteRPT01 — TLS 1.0 | OK | TLS 1.0 est explicitement désactivé côté serveur. | — | — |
| Protocole TLS/SSL obsolèteRPT01 — TLS 1.1 | OK | TLS 1.1 est explicitement désactivé côté serveur. | — | — |
| TLS 1.2RPT01 — TLS 1.2 | OK | TLS 1.2 est actif, ou du moins pas explicitement désactivé. | — | — |
| Suites de chiffrementRPT01 | OK | Aucune suite de chiffrement manifestement faible n’est active. | — | — |
| Protocole TLS/SSL obsolèteDP-NANTES — SSL 2.0 | OK | SSL 2.0 est explicitement désactivé côté serveur. | — | — |
| Protocole TLS/SSL obsolèteDP-NANTES — SSL 3.0 | OK | SSL 3.0 est explicitement désactivé côté serveur. | — | — |
| Protocole TLS/SSL obsolèteDP-NANTES — TLS 1.0 | OK | TLS 1.0 est explicitement désactivé côté serveur. | — | — |
| Protocole TLS/SSL obsolèteDP-NANTES — TLS 1.1 | OK | TLS 1.1 est explicitement désactivé côté serveur. | — | — |
| TLS 1.2DP-NANTES — TLS 1.2 | OK | TLS 1.2 est actif, ou du moins pas explicitement désactivé. | — | — |
| Suites de chiffrementDP-NANTES | OK | Aucune suite de chiffrement manifestement faible n’est active. | — | — |
| Protocole TLS/SSL obsolèteDP-LYON — SSL 2.0 | À vérifier | SSL 2.0 n’est configuré ni dans un sens ni dans l’autre : la valeur par défaut du système tranche. | Désactivez explicitement ce protocole, sauf si quelque chose en dépend encore. | — |
| Protocole TLS/SSL obsolèteDP-LYON — SSL 3.0 | Attention | SSL 3.0 est actif côté serveur. | Désactivez ce protocole : il est obsolète. | — |
| Protocole TLS/SSL obsolèteDP-LYON — TLS 1.0 | Attention | TLS 1.0 est actif côté serveur. | Désactivez ce protocole : il est obsolète. | — |
| Protocole TLS/SSL obsolèteDP-LYON — TLS 1.1 | Attention | TLS 1.1 est actif côté serveur. | Désactivez ce protocole : il est obsolète. | — |
| TLS 1.2DP-LYON — TLS 1.2 | OK | TLS 1.2 est actif, ou du moins pas explicitement désactivé. | — | — |
| Suites de chiffrementDP-LYON | Attention | 1 suite(s) de chiffrement faibles restent actives : TLS_RSA_WITH_3DES_EDE_CBC_SHA | Retirez les suites obsolètes de l’ordre de priorité. | — |
| Protocole TLS/SSL obsolèteSQL01 — SSL 2.0 | OK | SSL 2.0 est explicitement désactivé côté serveur. | — | — |
| Protocole TLS/SSL obsolèteSQL01 — SSL 3.0 | OK | SSL 3.0 est explicitement désactivé côté serveur. | — | — |
| Protocole TLS/SSL obsolèteSQL01 — TLS 1.0 | Attention | TLS 1.0 est actif côté serveur. | Désactivez ce protocole : il est obsolète. | — |
| Protocole TLS/SSL obsolèteSQL01 — TLS 1.1 | Attention | TLS 1.1 est actif côté serveur. | Désactivez ce protocole : il est obsolète. | — |
| TLS 1.2SQL01 — TLS 1.2 | OK | TLS 1.2 est actif, ou du moins pas explicitement désactivé. | — | — |
| Suites de chiffrementSQL01 | Attention | 2 suite(s) de chiffrement faibles restent actives : TLS_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_RC4_128_SHA | Retirez les suites obsolètes de l’ordre de priorité. | — |
| Protocole TLS/SSL obsolèteCM01 — SSL 2.0 | OK | SSL 2.0 est explicitement désactivé côté serveur. | — | — |
| Protocole TLS/SSL obsolèteCM01 — SSL 3.0 | OK | SSL 3.0 est explicitement désactivé côté serveur. | — | — |
| Protocole TLS/SSL obsolèteCM01 — TLS 1.0 | À vérifier | TLS 1.0 n’est configuré ni dans un sens ni dans l’autre : la valeur par défaut du système tranche. | Désactivez explicitement ce protocole, sauf si quelque chose en dépend encore. | — |
| Protocole TLS/SSL obsolèteCM01 — TLS 1.1 | À vérifier | TLS 1.1 n’est configuré ni dans un sens ni dans l’autre : la valeur par défaut du système tranche. | Désactivez explicitement ce protocole, sauf si quelque chose en dépend encore. | — |
| TLS 1.2CM01 — TLS 1.2 | OK | TLS 1.2 est actif, ou du moins pas explicitement désactivé. | — | — |
| Suites de chiffrementCM01 | OK | Aucune suite de chiffrement manifestement faible n’est active. | — | — |
| Contrôle | Statut | Détail | Recommandation | Doc. |
|---|---|---|---|---|
| Délégation Kerberos non contrainteRPT01 — RPT01 | OK | Le compte ordinateur n’est pas autorisé en délégation non contrainte. | — | — |
| Délégation Kerberos non contrainteDP-NANTES — DP-NANTES | OK | Le compte ordinateur n’est pas autorisé en délégation non contrainte. | — | — |
| Délégation Kerberos non contrainteDP-LYON — DP-LYON | OK | Le compte ordinateur n’est pas autorisé en délégation non contrainte. | — | — |
| Délégation Kerberos non contrainteSQL01 — SQL01 | OK | Le compte ordinateur n’est pas autorisé en délégation non contrainte. | — | — |
| Délégation Kerberos non contrainteCM01 — CM01 | OK | Le compte ordinateur n’est pas autorisé en délégation non contrainte. | — | — |
Aucun contrôle ne correspond à ce filtre.
Les journaux Configuration Manager de chaque système de site, lus sur les 7 derniers jours, et les messages d’état des 30 derniers jours. Quatre lectures : une analyse (ce que les erreurs ont probablement en commun et quoi faire), une chronologie, chaque erreur distincte fichier par fichier, et les messages d’état composant par composant.
Heures affichées dans le fuseau de la machine qui a produit le rapport (UTC+02:00). Survolez une date pour l’heure UTC.
Journaux lus sur 6 machine(s) sur 6.
Machines lues
6 / 6
15 fichiers de journaux
Problèmes à traiter
7
familles d’erreurs, section 1
Erreurs
127
9 messages distincts
Avertissements
97
10 messages distincts
Actifs < 24 h
19
messages vus dans les dernières 24 h
Dernière erreur
05/10 16:11
à l'instant
Les messages sont regroupés par cause probable. Une famille dont la dernière occurrence date de plus de 30 jours est rangée « À vérifier », pas en alerte. Les rapprochements sont des indices, pas des verdicts : lisez les messages d’exemple.
Que faire : Un composant n’a pas pu écrire faute de place. Vérifiez le volume des boîtes de réception (inboxes), du contenu (SCCMContentLib) et de SQL ; purgez ou agrandissez avant toute autre action : un disque plein bloque le traitement de tout le site.
Du 29/09/2026 11:40 au 05/10/2026 16:11 · Journaux à ouvrir (CMTrace) : distmgr.logsmsdpprov.log
| Machine | Journal | Message (dernière occurrence) | Nb | Dernière | |
|---|---|---|---|---|---|
| CM01 | distmgr.log | Failed to copy content PS100001 to \\DP-LYON.corp.local\SMS_DP$\. Error = 0x80070070 There is not enough space on the disk. | 34 | 05/10/2026 16:11à l'instant | |
| DP-LYON | smsdpprov.log | Failed to write file E:\SCCMContentLib\FileLib\4A1F\4A1F7C2E. Error 0x80070070 not enough space on the disk. | 28 | 05/10/2026 16:05à l'instant |
Que faire : Le composant n’a pas pu joindre ou interroger la base du site. Vérifiez que le service SQL tourne, la connectivité réseau vers l’instance, les SPN/Kerberos du compte de service SQL, l’espace des fichiers de données et de journal, et les droits du compte ordinateur du serveur de site sur la base.
Du 29/09/2026 16:40 au 05/10/2026 14:35 · Journaux à ouvrir (CMTrace) : smsdbmon.logsrsrp.log
| Machine | Journal | Message (dernière occurrence) | Nb | Dernière | |
|---|---|---|---|---|---|
| RPT01 | srsrp.log | Login failed for user 'CORP\svc-cm-reporting'. Reason: The password of the account has expired. SQL Server error 18487. | 13 | 05/10/2026 14:35à l'instant | |
| CM01 | smsdbmon.log | SQL error: [40001][1205][Microsoft][ODBC Driver 17 for SQL Server][SQL Server]Transaction (Process ID 87) was deadlocked on lock resources with another process. | 4 | 04/10/2026 10:35à l'instant |
Que faire : Lisez distmgr.log et PkgXferMgr.log sur le serveur de site, puis smsdpprov.log sur le point de distribution. Causes fréquentes : source du paquet inaccessible, espace sur le DP, droits du compte ordinateur sur le partage source, IIS/WebDAV du DP.
Du 29/09/2026 12:37 au 05/10/2026 15:41 · Journaux à ouvrir (CMTrace) : distmgr.logsmsdpmon.logsmsdpusage.log
| Machine | Journal | Message (dernière occurrence) | Nb | Dernière | |
|---|---|---|---|---|---|
| CM01 | distmgr.log | DP-LYON.corp.local: failed to create the content library folder for package PS100001, error 112. | 9 | 05/10/2026 15:23à l'instant | |
| CM01 | distmgr.log | Will retry package PS100002 to DP-LYON.corp.local in 60 minutes (retry 4 of 100). | 22 | 05/10/2026 15:41à l'instant | |
| DP-LYON | smsdpusage.log | Warning: content library free space below 5% on drive E:. | 12 | 05/10/2026 15:35à l'instant | |
| DP-LYON | smsdpmon.log | Content validation for package PS100002 timed out after 3600 seconds, will retry. | 6 | 05/10/2026 08:35à l'instant | |
| DP-NANTES | smsdpmon.log | Connection to the management point timed out, retrying in 60 seconds. | 2 | 03/10/2026 14:35à l'instant |
Que faire : Lisez WCM.log (configuration du SUP et abonnement WSUS) puis wsyncmgr.log (synchronisation). Vérifiez que le pool IIS WsusPool tourne et ne recycle pas (mémoire privée), que WSUS répond sur son port (8530/8531) et que le proxy est correct pour la synchronisation en amont.
Du 29/09/2026 10:04 au 05/10/2026 13:35 · Journaux à ouvrir (CMTrace) : ruleengine.logwcm.logwsyncmgr.log
| Machine | Journal | Message (dernière occurrence) | Nb | Dernière | |
|---|---|---|---|---|---|
| CM01 | ruleengine.log | Failed to download content for update {3f2a9c1e-8b47-4d2e-9a61-2c5b7e0d4f18}. Error = 0x87D01101 | 11 | 04/10/2026 14:35à l'instant | |
| CM01 | wsyncmgr.log | Sync failed. Will retry in 60 minutes. | 7 | 05/10/2026 13:35à l'instant | |
| CM01 | wcm.log | Timed out waiting for the WSUS server CM01.corp.local to answer on port 8530, retrying. | 5 | 05/10/2026 10:35à l'instant |
Que faire : La cible n’a pas répondu. Testez depuis le serveur concerné : résolution DNS (Resolve-DnsName), ports (Test-NetConnection -Port 445/135/443/80/1433), pare-feu, et le proxy déclaré pour le système de site si le flux sort vers Internet.
Du 29/09/2026 15:16 au 05/10/2026 13:35 · Journaux à ouvrir (CMTrace) : wsyncmgr.log
| Machine | Journal | Message (dernière occurrence) | Nb | Dernière | |
|---|---|---|---|---|---|
| CM01 | wsyncmgr.log | Sync failed: WebException: The remote server returned an error: (407) Proxy Authentication Required. Source: Microsoft.UpdateServices.Administration.AdminProxy.CreateUpdateServer | 7 | 05/10/2026 13:35à l'instant |
Que faire : Échec d’une négociation sécurisée. Vérifiez la validité et la chaîne des certificats (expiration, autorité racine approuvée, liste de révocation joignable), l’heure des machines, les protocoles TLS 1.2 activés côté client et serveur (.NET SchUseStrongCrypto), et la liaison HTTPS dans IIS.
Du 30/09/2026 22:52 au 05/10/2026 12:35 · Journaux à ouvrir (CMTrace) : MP_Location.log
| Machine | Journal | Message (dernière occurrence) | Nb | Dernière | |
|---|---|---|---|---|---|
| MP02 | MP_Location.log | MP LM: Failed to get the certificate for the site signing. Error 0x80092013, the revocation function was unable to check revocation. | 15 | 05/10/2026 12:35à l'instant |
Que faire : Un compte n’a pas les droits attendus. Identifiez le compte en cause dans le message (compte ordinateur du serveur de site, compte d’accès réseau, compte d’installation du système de site) et vérifiez son appartenance au groupe Administrateurs local de la cible, les droits sur le partage et sur le dossier.
Du 29/09/2026 11:04 au 04/10/2026 18:35 · Journaux à ouvrir (CMTrace) : smsbkup.log
| Machine | Journal | Message (dernière occurrence) | Nb | Dernière | |
|---|---|---|---|---|---|
| CM01 | smsbkup.log | Error: Backup destination \\NAS01\CMBackup is not accessible. Access is denied. (0x80070005) | 6 | 04/10/2026 18:35à l'instant |
Que faire : Messages sans signature connue : lisez-les dans leur journal avec CMTrace, en commençant par la plus ancienne occurrence d’une série.
Du 30/09/2026 01:39 au 05/10/2026 14:35 · Journaux à ouvrir (CMTrace) : srsrp.log
| Machine | Journal | Message (dernière occurrence) | Nb | Dernière | |
|---|---|---|---|---|---|
| RPT01 | srsrp.log | Retrying the data source check for report folder ConfigMgr_PS1 in 900 seconds. | 13 | 05/10/2026 14:35à l'instant |
Que faire : Lisez colleval.log : des évaluations en échec ou trop longues viennent souvent d’une requête WQL invalide ou de trop de regroupements incrémentiels. Le Collection Evaluation Viewer (outils du site) montre les durées.
Du 29/09/2026 08:19 au 05/10/2026 14:35 · Journaux à ouvrir (CMTrace) : colleval.log
| Machine | Journal | Message (dernière occurrence) | Nb | Dernière | |
|---|---|---|---|---|---|
| CM01 | colleval.log | Collection PS100021 took 412 seconds to evaluate, longer than its 300-second warning threshold. | 18 | 05/10/2026 14:35à l'instant |
Que faire : Lisez mpcontrol.log : il indique si le point de gestion répond en HTTP/HTTPS. Vérifiez IIS (pools CCM), l’extension ISAPI, BITS, et l’accès du point de gestion à la base du site. Un test rapide : https://<MP>/sms_mp/.sms_aut?mplist.
Du 01/10/2026 05:22 au 05/10/2026 11:35 · Journaux à ouvrir (CMTrace) : ccmisapi.logmpcontrol.log
| Machine | Journal | Message (dernière occurrence) | Nb | Dernière | |
|---|---|---|---|---|---|
| MP02 | ccmisapi.log | Request timed out after 30 seconds for /ccm_system/request. | 9 | 05/10/2026 11:35à l'instant | |
| CM01 | mpcontrol.log | Http test request failed, status code is 500, 'Internal Server Error'. Retrying in 5 minutes. | 3 | 04/10/2026 00:35à l'instant |
| Machine | Journal | Message (dernière occurrence) | Nb | Première | Dernière | Cause probable | |
|---|---|---|---|---|---|---|---|
| CM01 | distmgr.logGestionnaire de distribution : contenu vers les DP | Failed to copy content PS100001 to \\DP-LYON.corp.local\SMS_DP$\. Error = 0x80070070 There is not enough space on the disk.SMS_DISTRIBUTION_MANAGER | 34 | 29/09/2026 22:04à l'instant | 05/10/2026 16:11à l'instant | Espace disque insuffisant | |
| DP-LYON | smsdpprov.logFournisseur du point de distribution (sur le DP) | Failed to write file E:\SCCMContentLib\FileLib\4A1F\4A1F7C2E. Error 0x80070070 not enough space on the disk.SMS_DP_PROVIDER | 28 | 29/09/2026 11:40à l'instant | 05/10/2026 16:05à l'instant | Espace disque insuffisant | |
| CM01 | distmgr.logGestionnaire de distribution : contenu vers les DP | DP-LYON.corp.local: failed to create the content library folder for package PS100001, error 112.SMS_DISTRIBUTION_MANAGER | 9 | 29/09/2026 19:55à l'instant | 05/10/2026 15:23à l'instant | Distribution de contenu | |
| RPT01 | srsrp.logPoint de Reporting Services | Login failed for user 'CORP\svc-cm-reporting'. Reason: The password of the account has expired. SQL Server error 18487.SMS_SRS_REPORTING_POINT | 13 | 29/09/2026 16:40à l'instant | 05/10/2026 14:35à l'instant | Accès à la base SQL du site | |
| CM01 | wsyncmgr.logSynchronisation des mises à jour logicielles | Sync failed: WebException: The remote server returned an error: (407) Proxy Authentication Required. Source: Microsoft.UpdateServices.Administration.AdminProxy.CreateUpdateServerSMS_WSUS_SYNC_MANAGER | 7 | 29/09/2026 15:16à l'instant | 05/10/2026 13:35à l'instant | Réseau, résolution de noms ou proxy | |
| MP02 | MP_Location.logPoint de gestion : traitement des requêtes clients | MP LM: Failed to get the certificate for the site signing. Error 0x80092013, the revocation function was unable to check revocation.MP_LocationManager | 15 | 30/09/2026 22:52à l'instant | 05/10/2026 12:35à l'instant | Certificat, TLS ou HTTPS | |
| CM01 | smsbkup.logSauvegarde du site | Error: Backup destination \\NAS01\CMBackup is not accessible. Access is denied. (0x80070005)SMS_SITE_BACKUP | 6 | 29/09/2026 11:04à l'instant | 04/10/2026 18:35à l'instant | Accès refusé | |
| CM01 | ruleengine.logRègles de déploiement automatique (ADR) | Failed to download content for update {3f2a9c1e-8b47-4d2e-9a61-2c5b7e0d4f18}. Error = 0x87D01101SMS_RULE_ENGINE | 11 | 30/09/2026 10:32à l'instant | 04/10/2026 14:35à l'instant | Point de mise à jour logicielle et WSUS | |
| CM01 | smsdbmon.logMoniteur de base : déclencheurs SQL vers les composants | SQL error: [40001][1205][Microsoft][ODBC Driver 17 for SQL Server][SQL Server]Transaction (Process ID 87) was deadlocked on lock resources with another process.SMS_DATABASE_NOTIFICATION_MONITOR | 4 | 01/10/2026 20:50à l'instant | 04/10/2026 10:35à l'instant | Accès à la base SQL du site | |
| CM01 | distmgr.logGestionnaire de distribution : contenu vers les DP | Will retry package PS100002 to DP-LYON.corp.local in 60 minutes (retry 4 of 100).SMS_DISTRIBUTION_MANAGER | 22 | 29/09/2026 12:37à l'instant | 05/10/2026 15:41à l'instant | Distribution de contenu | |
| DP-LYON | smsdpusage.log | Warning: content library free space below 5% on drive E:.SMS_DP_USAGE | 12 | 29/09/2026 18:33à l'instant | 05/10/2026 15:35à l'instant | Distribution de contenu | |
| RPT01 | srsrp.logPoint de Reporting Services | Retrying the data source check for report folder ConfigMgr_PS1 in 900 seconds.SMS_SRS_REPORTING_POINT | 13 | 30/09/2026 01:39à l'instant | 05/10/2026 14:35à l'instant | Autres messages | |
| CM01 | colleval.logÉvaluation des regroupements | Collection PS100021 took 412 seconds to evaluate, longer than its 300-second warning threshold.SMS_COLLECTION_EVALUATOR | 18 | 29/09/2026 08:19à l'instant | 05/10/2026 14:35à l'instant | Évaluation des regroupements | |
| CM01 | wsyncmgr.logSynchronisation des mises à jour logicielles | Sync failed. Will retry in 60 minutes.SMS_WSUS_SYNC_MANAGER | 7 | 29/09/2026 10:04à l'instant | 05/10/2026 13:35à l'instant | Point de mise à jour logicielle et WSUS | |
| MP02 | ccmisapi.logExtension ISAPI du point de gestion | Request timed out after 30 seconds for /ccm_system/request.CcmIsapi | 9 | 01/10/2026 05:22à l'instant | 05/10/2026 11:35à l'instant | Point de gestion | |
| CM01 | wcm.logConfiguration du SUP et de l’abonnement WSUS | Timed out waiting for the WSUS server CM01.corp.local to answer on port 8530, retrying.SMS_WSUS_CONFIGURATION_MANAGER | 5 | 02/10/2026 01:50à l'instant | 05/10/2026 10:35à l'instant | Point de mise à jour logicielle et WSUS | |
| DP-LYON | smsdpmon.logValidation du contenu du DP | Content validation for package PS100002 timed out after 3600 seconds, will retry.SMS_DP_MONITOR | 6 | 30/09/2026 03:18à l'instant | 05/10/2026 08:35à l'instant | Distribution de contenu | |
| CM01 | mpcontrol.logContrôle du point de gestion : inscription et disponibilité HTTP | Http test request failed, status code is 500, 'Internal Server Error'. Retrying in 5 minutes.SMS_MP_CONTROL_MANAGER | 3 | 03/10/2026 17:06à l'instant | 04/10/2026 00:35à l'instant | Point de gestion | |
| DP-NANTES | smsdpmon.logValidation du contenu du DP | Connection to the management point timed out, retrying in 60 seconds.SMS_DP_MONITOR | 2 | 03/10/2026 06:54à l'instant | 03/10/2026 14:35à l'instant | Distribution de contenu |
| Machine | Fichiers lus | Erreurs | Avertissements | Dossiers |
|---|---|---|---|---|
| CM01.corp.local | 8 | 71 | 55 | E:\Program Files\Microsoft Configuration Manager\Logs C:\Windows\CCM\Logs |
| SQL01.corp.local | 0 | 0 | 0 | |
| DP-LYON.corp.local | 3 | 28 | 18 | E:\SMS_DP$\sms\logs |
| DP-NANTES.corp.local | 1 | 0 | 2 | D:\SMS_DP$\sms\logs |
| MP02.corp.local | 2 | 15 | 9 | C:\Windows\CCM\Logs |
| RPT01.corp.local | 1 | 13 | 13 | E:\Program Files\SMS_SRSRP\Logs |
Lecture seule : chaque fichier .log / .lo_ modifié dans la fenêtre est ouvert en partage lecture/écriture (sans le verrouiller) et seule sa fin est lue. Format CMTrace : la sévérité est celle écrite par le composant. Format SMS (sans sévérité) : une ligne est classée erreur ou avertissement d’après ses mots-clés (error, failed, 0x8…, warning, retry…), les formules du type « Error = 0 » étant écartées.