https:\/\/www.youtube.com\/watch\u00a0?v=nuXa-bn32Iw&t=4s<\/p>\n
Si vous cr\u00e9ez des automatisations qui appellent l’API de NinjaOne ou qui r\u00e9cup\u00e8rent des donn\u00e9es depuis des outils comme Microsoft Defender ou Tenable, il vous faut un endroit pour ex\u00e9cuter ces scripts et un endroit pour stocker les identifiants qu’ils utilisent. Les ex\u00e9cuter depuis un poste de travail quelconque ou depuis votre propre compte technicien, c’est la meilleure fa\u00e7on de voir des identifiants fuiter ou \u00eatre utilis\u00e9s sans que vous puissiez facilement en assurer le suivi.<\/p>\n
Un serveur API r\u00e9sout ce probl\u00e8me. Il s’agit d’un appareil Windows d\u00e9di\u00e9, isol\u00e9 dans sa propre soci\u00e9t\u00e9 et dans son propre r\u00f4le, qui conserve vos identifiants API dans des champs personnalis\u00e9s s\u00e9curis\u00e9s visibles uniquement par les administrateurs syst\u00e8me. Ce guide vous explique comment en configurer un de A \u00e0 Z.<\/p>\n
Il vous faudra\u00a0:<\/p>\n
La seule exigence incontournable\u00a0: personne, en dehors de vos administrateurs syst\u00e8me NinjaOne, ne doit avoir acc\u00e8s \u00e0 cet appareil. Il va contenir des identifiants dot\u00e9s d’autorisations de niveau administrateur syst\u00e8me.<\/p>\n
Cr\u00e9ez une nouvelle soci\u00e9t\u00e9 pour h\u00e9berger votre serveur API. Il reste ainsi totalement s\u00e9par\u00e9 de vos autres soci\u00e9t\u00e9s et n’appara\u00eet pas m\u00e9lang\u00e9 aux donn\u00e9es r\u00e9elles de vos clients ou de vos terminaux.<\/p>\n
Pour cr\u00e9er une nouvelle soci\u00e9t\u00e9\u00a0:<\/p>\n
cliquez sur le \u00ab\u00a0+\u00a0\u00bb en haut \u00e0 droite > s\u00e9lectionnez Soci\u00e9t\u00e9<\/strong> > donnez-lui un nom du type \u00ab\u00a0Serveur API\u00a0\u00bb<\/strong> > cliquez sur Enregistrer<\/strong> en haut \u00e0 droite.<\/p>\n Allez dans Administration > Appareils > R\u00f4les<\/strong>.<\/p>\n Cliquez sur Syst\u00e8mes Windows<\/strong> pour d\u00e9velopper la liste > survolez Windows Server (ou Ordinateurs de bureau et portables Windows<\/strong>, si votre serveur API fonctionne sous Windows 11) et cliquez sur les trois points > cliquez sur Ajouter un r\u00f4le enfant<\/strong>.<\/p>\n Nommez le r\u00f4le \u00ab\u00a0Serveur API\u00a0\u00bb<\/strong> et cr\u00e9ez-le sous le parent correspondant \u00e0 votre syst\u00e8me d’exploitation.<\/p>\n Toujours dans la page R\u00f4les, allez dans Champs personnalis\u00e9s d’appareil<\/strong> \u00e0 gauche et cr\u00e9ez trois nouveaux champs, tous de type S\u00e9curis\u00e9<\/strong>.<\/p>\n Cliquez sur Ajouter un champ personnalis\u00e9<\/strong> > s\u00e9lectionnez S\u00e9curis\u00e9<\/strong> > dans le libell\u00e9, saisissez \u00ab\u00a0NinjaOne Instance\u00a0\u00bb.<\/strong><\/p>\n \u00c0 gauche, allez dans Autorisations<\/strong> > r\u00e9glez Automatisations sur Lecture seule<\/strong> > r\u00e9glez API<\/strong> sur Aucun<\/strong> > r\u00e9glez l’acc\u00e8s Tous les techniciens<\/strong> sur Modifiable<\/strong> > cliquez sur Soumettre<\/strong>.<\/p>\n R\u00e9p\u00e9tez exactement la m\u00eame proc\u00e9dure pour les deux champs suivants, en ne changeant que les libell\u00e9s\u00a0:<\/p>\n Reprenez ces libell\u00e9s exactement comme indiqu\u00e9 ci-dessus. NinjaOne convertit automatiquement le libell\u00e9 en un nom de champ en camelCase, et ce nom est sensible \u00e0 la casse lorsque vous le r\u00e9f\u00e9rencez plus tard dans un script.<\/p>\n R\u00e9glez l’autorisation API<\/strong> sur Aucun<\/strong> pour les trois champs. Rien ne justifie un acc\u00e8s de niveau API \u00e0 un champ qui stocke justement les identifiants servant \u00e0 authentifier vos appels API.<\/p>\n Conseil\u00a0:<\/strong> si vous pr\u00e9voyez de r\u00e9cup\u00e9rer des donn\u00e9es depuis d’autres services comme Defender ou Tenable, r\u00e9p\u00e9tez cette proc\u00e9dure et cr\u00e9ez des champs personnalis\u00e9s s\u00e9curis\u00e9s d\u00e9di\u00e9s pour les identifiants de chacun d’eux.<\/p>\n Revenez \u00e0 R\u00f4les<\/strong> \u00e0 gauche > d\u00e9veloppez Syst\u00e8mes Windows<\/strong> > d\u00e9veloppez votre r\u00f4le parent > rep\u00e9rez Serveur API<\/strong> et cliquez sur les trois points \u00e0 droite > cliquez sur Modifier<\/strong>.<\/p>\n Cliquez sur G\u00e9rer les onglets<\/strong> en haut \u00e0 droite > cliquez sur Ajouter un onglet<\/strong> et cr\u00e9ez un nouvel onglet (par exemple \u00ab\u00a0Identifiants API\u00a0\u00bb<\/strong>) > une fois cr\u00e9\u00e9, cliquez sur le menu d\u00e9roulant en haut \u00e0 droite et basculez vers le nouvel onglet > dans la barre de recherche \u00e0 gauche, saisissez \u00ab\u00a0NinjaOne\u00a0\u00bb<\/strong> > ajoutez les trois champs personnalis\u00e9s s\u00e9curis\u00e9s cr\u00e9\u00e9s \u00e0 l’\u00e9tape 3 > cliquez sur Enregistrer les modifications<\/strong> en haut \u00e0 droite.<\/p>\n Allez dans Politiques<\/strong> > cliquez sur Ajouter une politique d’agent<\/strong> > nommez-la \u00ab\u00a0Serveur API\u00a0\u00bb<\/strong> > pour le r\u00f4le, s\u00e9lectionnez le r\u00f4le Windows Server (ou Windows Desktop) sous lequel vous avez cr\u00e9\u00e9 le r\u00f4le personnalis\u00e9 > cliquez sur Cr\u00e9er<\/strong> > une fois la politique ouverte, cliquez sur Fermer<\/strong> en haut \u00e0 droite.<\/p>\n Allez ensuite dans Soci\u00e9t\u00e9s<\/strong> > s\u00e9lectionnez votre soci\u00e9t\u00e9 Serveur API<\/strong> > cliquez sur Politiques<\/strong> \u00e0 gauche > rep\u00e9rez la ligne Serveur API<\/strong> et ouvrez le menu d\u00e9roulant > attribuez la politique que vous venez de cr\u00e9er > cliquez sur Enregistrer<\/strong> en haut \u00e0 droite > une fois l’enregistrement effectu\u00e9, cliquez sur Fermer<\/strong>.<\/p>\n Dans Administration<\/strong>, allez dans Biblioth\u00e8que<\/strong> > cliquez sur Automatisation<\/strong> \u00e0 gauche > s\u00e9lectionnez l’onglet Cat\u00e9gories<\/strong> > cliquez sur Cr\u00e9er une cat\u00e9gorie<\/strong> tout \u00e0 droite > donnez-lui un nom du type \u00ab\u00a0Scripts API\u00a0\u00bb<\/strong> > cliquez sur Cr\u00e9er<\/strong>.<\/p>\n Vos scripts li\u00e9s \u00e0 l’API restent ainsi bien organis\u00e9s, et vous disposez d’une cat\u00e9gorie que vous pourrez ensuite restreindre aux seuls administrateurs syst\u00e8me.<\/p>\n T\u00e9l\u00e9chargez l’installateur de l’agent NinjaOne pour votre soci\u00e9t\u00e9 Serveur API et ex\u00e9cutez-le sur votre appareil ou votre MV (machine virtuelle) d\u00e9di\u00e9. Si vous r\u00e9affectez un appareil existant, d\u00e9placez-le plut\u00f4t dans la soci\u00e9t\u00e9 Serveur API, mettez \u00e0 jour son r\u00f4le et v\u00e9rifiez que la politique Serveur API<\/strong> est bien appliqu\u00e9e via la nouvelle attribution.<\/p>\n Dans NinjaOne, cliquez sur le signe \u00ab\u00a0+\u00a0\u00bb<\/strong> en haut \u00e0 droite > cliquez sur Appareil<\/strong> > cliquez sur Ordinateur<\/strong> > s\u00e9lectionnez votre soci\u00e9t\u00e9 Serveur API<\/strong> et le r\u00f4le de serveur API > cliquez sur G\u00e9n\u00e9rer l’installateur<\/strong> > t\u00e9l\u00e9chargez ensuite l’installateur ou copiez le lien et ex\u00e9cutez-le sur votre appareil.<\/p>\n Attendez que l’appareil soit enti\u00e8rement enregistr\u00e9 avant de poursuivre.<\/p>\n Si vous r\u00e9affectez un appareil existant, vous pouvez le faire depuis la grille de recherche des appareils\u00a0:<\/p>\n dans le volet de navigation bleu \u00e0 gauche, s\u00e9lectionnez l’onglet Appareils<\/strong> > dans la liste des appareils, rep\u00e9rez l’appareil existant > cochez la case \u00e0 c\u00f4t\u00e9 du nom de l’appareil > cliquez sur Modifier<\/strong> > cliquez sur Soci\u00e9t\u00e9\/Site<\/strong> et basculez vers la soci\u00e9t\u00e9 Serveur API<\/strong> > cliquez sur Mettre \u00e0 jour<\/strong><\/p>\n L’appareil toujours s\u00e9lectionn\u00e9, cliquez sur Modifier<\/strong> > cliquez sur R\u00f4le de l’appareil<\/strong> et choisissez le r\u00f4le personnalis\u00e9 API<\/strong> > cliquez sur Mettre \u00e0 jour<\/strong>.<\/p>\n L’appareil toujours s\u00e9lectionn\u00e9, cliquez sur Modifier<\/strong> > cliquez sur Politique<\/strong> et choisissez la politique Serveur API<\/strong> > cliquez sur Mettre \u00e0 jour<\/strong>.<\/p>\n Une fois votre appareil connect\u00e9, allez dans Administration > Applications > API<\/strong> et cliquez sur Ajouter une application client<\/strong> en haut \u00e0 droite.<\/p>\n S\u00e9lectionnez API Services (machine-to-machine)<\/strong> et cr\u00e9ez une application client avec\u00a0:<\/p>\n Cliquez sur Ajouter<\/strong>. NinjaOne g\u00e9n\u00e8re alors un ID client et un secret client.<\/p>\n Copiez l’ID client et le secret client de l’application que vous venez de cr\u00e9er > acc\u00e9dez \u00e0 votre appareil Serveur API > survolez l’onglet personnalis\u00e9 et s\u00e9lectionnez l’onglet Identifiants API<\/strong> > cliquez sur l’ic\u00f4ne de modification tout \u00e0 droite > collez l’ID client et le secret client dans les champs correspondants.<\/p>\n Pour le champ d’instance, saisissez votre r\u00e9gion NinjaOne (visible dans l’URL de connexion)\u00a0:<\/p>\n Conseil\u00a0:<\/strong> ces noms de champs sont sensibles \u00e0 la casse une fois convertis en camelCase (ninjaoneClientId<\/strong>, ninjaoneClientSecret<\/strong>, ninjaoneInstance<\/strong>). Si vos scripts r\u00e9f\u00e9rencent les champs mais ne renvoient rien \u00e0 l’ex\u00e9cution, v\u00e9rifiez que les libell\u00e9s correspondent exactement.<\/p>\n Une fois vos identifiants renseign\u00e9s et test\u00e9s, retournez dans Administration > Appareils > Champs personnalis\u00e9s d’appareil > recherchez \u00ab\u00a0ninjaone\u00a0\u00bb<\/strong> et cliquez sur le ou les noms de champs pour faire repasser l’autorisation Acc\u00e8s Tous les techniciens<\/strong> des trois champs de Modifiable<\/strong> \u00e0 Lecture seule<\/strong>. Les valeurs ne pourront ainsi plus \u00eatre modifi\u00e9es apr\u00e8s la configuration.<\/p>\n C’est cette \u00e9tape qui rend la configuration s\u00e9curis\u00e9e. Sans elle, n’importe quel technicien peut consulter des identifiants dot\u00e9s d’un acc\u00e8s de niveau administrateur syst\u00e8me.<\/p>\n Allez dans Administration > Comptes > R\u00f4les de technicien<\/strong>.<\/p>\n Pour chaque r\u00f4le de technicien qui ne doit pas avoir acc\u00e8s (dans la plupart des cas, tous sauf les administrateurs syst\u00e8me)\u00a0:<\/p>\n cliquez sur le r\u00f4le concern\u00e9 pour ouvrir l’\u00e9diteur > allez dans Soci\u00e9t\u00e9s<\/strong> \u00e0 gauche.<\/p>\n Comment v\u00e9rifier la configuration de votre serveur API. Une fois termin\u00e9, vous devriez avoir\u00a0:<\/p>\n Si un technicien de niveau 1 peut acc\u00e9der \u00e0 la soci\u00e9t\u00e9 Serveur API et y voir quoi que ce soit, revenez \u00e0 l’\u00e9tape 10.<\/p>\n Des identifiants API avec un type d’autorisation \u00ab\u00a0identifiants client\u00a0\u00bb p\u00e8sent lourd. Selon les port\u00e9es que vous s\u00e9lectionnez, la personne qui les d\u00e9tient peut lire et \u00e9crire des donn\u00e9es dans tout votre environnement NinjaOne. Stocker ces identifiants dans un champ personnalis\u00e9 ordinaire sur un appareil partag\u00e9, ou les laisser visibles par tous les techniciens, transforme une configuration d’automatisation utile en v\u00e9ritable risque.<\/p>\n Mettre en place un serveur API d\u00e9di\u00e9 prend une vingtaine de minutes la premi\u00e8re fois. En \u00e9change, vous obtenez une structure propre et auditable\u00a0: un seul endroit pour les identifiants, une seule politique qui les r\u00e9git et un mod\u00e8le d’autorisations techniciens qui verrouille l’ensemble. Une fois cette base construite, ajouter une nouvelle int\u00e9gration consiste simplement \u00e0 cr\u00e9er quelques champs personnalis\u00e9s suppl\u00e9mentaires et \u00e0 d\u00e9poser le script dans votre cat\u00e9gorie Scripts API.<\/p>\n Quelques exemples d’usages concrets de cette configuration\u00a0:<\/p>\n l’importation de donn\u00e9es de vuln\u00e9rabilit\u00e9 depuis Microsoft Defender, pour que les r\u00e9sultats d’analyse arrivent directement dans NinjaOne au lieu de rester dans une console distincte. Les rapports sur la gestion des correctifs du syst\u00e8me d’exploitation Windows, qui consolident l’\u00e9tat des correctifs de tout votre environnement dans une vue unique.\u00c9tape 2\u00a0: cr\u00e9er un r\u00f4le d’appareil personnalis\u00e9<\/h3>\n
\u00c9tape 3\u00a0: cr\u00e9er des champs personnalis\u00e9s s\u00e9curis\u00e9s<\/h3>\n
\n
\u00c9tape 4\u00a0: associer les champs \u00e0 votre r\u00f4le<\/h3>\n
\u00c9tape 5\u00a0: cr\u00e9er et appliquer votre politique<\/h3>\n
\u00c9tape 6\u00a0: cr\u00e9er une cat\u00e9gorie d’automatisation<\/h3>\n
\u00c9tape 7\u00a0: installer l’agent<\/h3>\n
\u00c9tape 8\u00a0: cr\u00e9er les identifiants API<\/h3>\n
\n
\u00c9tape 9\u00a0: renseigner vos champs personnalis\u00e9s<\/h3>\n
\n
\u00c9tape 10\u00a0: verrouiller les acc\u00e8s des techniciens<\/h3>\n
\n
\n
L’int\u00e9r\u00eat de cette approche<\/h2>\n
\nImportation des vuln\u00e9rabilit\u00e9s Microsoft Defender<\/a><\/p>\n
\nRapports sur la gestion des correctifs du syst\u00e8me d’exploitation Windows<\/a><\/p>\n