Hva er problemet
Flexera kan samle inn data om maskiner og installert programvare på to måter, enten ved å lese fra SCCM-basen, eller via en installert agent på hver maskin. Vi leser i dag fra (en kopi av) SCCM. Det er ikke mulig å maskere lesing fra basen, det er enten alle maskiner eller ingen.
Vi ønsker å ha alle klientmaskiner i Flexera. Vi har imidlertid bare behov for utvalgte servere, hovedsakelig terminalservere som leverer klientprogramvare.
Serverlisenser er vesentlig dyrere (300 for kjøp og første års support ved siste klattekjøp), og vi ser vi i tillegg at antall servere i SCCM vokser raskt (over 10 % vekst siste halvår, fra under 600 i mai, til 670 i skrivende stund). Supplering av lisenser er en litt omstendelig prosess.
I tillegg kan vi få en kraftig økning i servere om vi begynner lisensstyring i TSD, som er fremmet som et ønske fra TSD. Det vil i tilfelle være naturlig driftsmessig å fase inn Flexera. (Det er i dag 1300 terminalservere i TSD. Det er planlagt å endre driftsopplegg for en vesentlig reduksjon av dette, men vi vil uansett ønske å styre innfasing.)
En mulig fremtidig ramme av UH-AD kan medføre at SCCM får en ytterligere vesentlig økning.
Siden vi som nevnt over ikke kan maskere ut maskiner i SCCM, har vi altså to alternativer.
1.Kjøpe en større mengde lisenser, så vi slipper hyppige småkjøp.
Hvis vi fortsatt skal lese fra SCCM, må vi kjøpe oss et buffer for å spare arbeidet ved stadige småkjøp.
Vi anbefaler ikke dette. Det er en unødig kostnad, vi har allerede flere lisenser enn vi har servere vi har behov for å lese. Mulige utvidelser vil medføre ytterligere unødvendig lisenskrav.
2.Gå over til agent-løsning
Vi anbefaler i stedet å gå for agent, som har mange fordeler:
- Det gir en lavere økonomisk kostnad
- Det gir en fleksibilitet i å inkludere eller ekskludere grupper av maskiner etter ønske
- Vi behøver ikke vedlikeholde lesing fra SCCM (eller skru på software metering i SCCM)
- Vi innfører ikke en ny teknologi
- Vi må uansett bruke agent for lisensstyring på Mac
- Vi må uansett bruke agent for lisensstyring på autopilot-maskiner dersom vi på et tidspunkt velger å frigjøre oss fra SCCM og bruke bare Intune/Skyen, og på andre maskiner vi ikke vil eller kan ha i SCCM
Ulempen er i praksis at vi får en agent å forholde oss til på Windowsklient.
(Vår referanse Københavns Universitet, har valgt agent fremfor SCCM, og mener også de får bedre datagrunnlag i Flexera på denne måten.)
3. Sikkerhet
IT-sikkerhet har godkjent utrulling av Flexera-agenten, etter følgende avklaringer.
1. Kan agenten administrere maskinen?
Agenten kjører som System. Vi finner imidlertid ikke noen referanse i dokumentasjonen til at agenten kan motta kode fra beacon (eller andre) som kan eksekveres på maskinen. Agenten mottar kun schedulering og disable/enable av komponenter, fra beacon.
Konsulentfirma som står for installasjonen har bekreftet vår oppfatning: "[T]he agent will not execute any commands on the client except of own schedules. This is an agent for data gathering, not for deployment/management."
FNMS-applikasjonen styrer agentkonfigurasjonen i form av policies, som agenten selv henter fra FNMS beacon. Beacon'et er essensielt en IIS.
2. Hvordan installeres agenten?
Den vil installeres som en hvilken som helst annen applikasjon, etter standardmetoden som gjelder for den aktuelle plattformen (dvs foreløpig Windows og SCCM).
3. Hvordan krypteres kommunikasjonen mellom agent og beacon?
De kommuniserer over https.
4. Hvilke data samles inn?
Den scanner maskinen etter hardware- og software-inventory, og registrerer bruk av applikasjonene. Resultatet lastes opp til beacon en gang om dagen.