Proxy strict et domaines à autoriser

PatchFactory fonctionne derrière un proxy filtrant à condition d’autoriser les destinations correspondant aux modules réellement utilisés. Tous les flux Internet du client utilisent HTTPS sur le port TCP 443, sauf le serveur SMTP facultatif dont le port est défini par l’administrateur.

Important

Pour le catalogue applicatif standard, il n’est pas nécessaire d’autoriser les sites de chaque éditeur. Les manifestes, icônes, packages vérifiés, mises à jour du client et runtimes PatchFactory sont fournis par le service central.

Règle minimale

Destination	Port	Usage	Nécessité
catalogue.patchfactory.fr	443	Activation, catalogue, icônes, packages, mises à jour, tâches et runtimes	Obligatoire
docs.patchfactory.fr	443	Ouverture de l’aide depuis le client	Facultatif

Le proxy doit accepter les requêtes HTTPS GET et POST vers catalogue.patchfactory.fr, les téléchargements de fichiers volumineux et les connexions pouvant durer plusieurs minutes. Il ne doit ni réécrire ni tronquer le contenu : les archives, installateurs et métadonnées sont vérifiés par empreinte avant utilisation.

Microsoft Intune

Ajoutez ces destinations uniquement lorsque l’intégration Intune est activée :

Destination	Port	Usage
login.microsoftonline.com	443	Obtention du jeton Microsoft Entra avec le certificat configuré
graph.microsoft.com	443	Applications Win32, groupes, affectations, supersédence, rapports et baselines
*.blob.core.windows.net	443	Envoi segmenté des packages .intunewin vers l’URL SAS temporaire fournie par Microsoft Graph

Microsoft Graph utilise notamment les méthodes GET, POST, PATCH et DELETE. L’envoi vers Azure Storage utilise PUT. Un filtrage limité à GET et POST laisse donc le test de connexion fonctionner mais bloque ensuite la publication ou la mise à jour d’une application.

Si votre organisation utilise un cloud Microsoft souverain et modifie les URL Microsoft Entra ou Graph dans PatchFactory, autorisez les hôtes configurés ainsi que le suffixe de stockage retourné par ce cloud.

BIOS, pilotes et WinPE

Le catalogue matériel et les manifestes vérifiables proviennent de catalogue.patchfactory.fr. Les archives OEM sélectionnées sont ensuite téléchargées directement depuis le constructeur afin d’éviter leur transit par le service PatchFactory.

Autorisez seulement les constructeurs gérés dans votre parc :

Constructeur ou fonction	Destinations HTTPS
Dell	downloads.dell.com, dl.dell.com
HP	hpia.hpcloud.hp.com, ftp.hp.com, ftp.ext.hp.com
Lenovo	download.lenovo.com
Microsoft Surface	download.microsoft.com
Surveillance des versions Windows	learn.microsoft.com

Les noms ftp.hp.com et ftp.ext.hp.com sont ici utilisés en HTTPS sur le port 443, pas avec le protocole FTP.

Certains constructeurs peuvent rediriger un téléchargement vers un autre hôte de distribution. Dans ce cas, ajoutez uniquement le FQDN final observé dans les journaux du proxy pour la source concernée. PatchFactory refuse une redirection vers HTTP et contrôle ensuite la taille, l’empreinte et, lorsqu’elle est déclarée, la signature Authenticode du fichier.

Les packs matériels peuvent atteindre plusieurs gigaoctets. Ajustez les limites de taille, le délai d’inactivité et la durée maximale de transfert du proxy pour ces destinations.

Sources et notifications personnalisées

Des règles supplémentaires sont nécessaires uniquement si vous configurez ces fonctions :

• application maison avec URL : autorisez le FQDN de l’URL saisie et ses éventuelles redirections HTTPS ;
• notification Teams : autorisez le FQDN exact présent dans l’URL du webhook Workflow ;
• notification SMTP : autorisez l’hôte et le port SMTP configurés ; ce flux ne passe généralement pas par le proxy HTTP ;
• serveur PatchFactory de laboratoire : autorisez l’hôte indiqué par l’option --server à la place du domaine canonique.

MECM et ressources internes

Les accès MECM ne sont pas des flux Internet et ne doivent généralement pas traverser le proxy. Prévoyez une exception de contournement pour les noms internes utilisés par :

• le SMS Provider et le lecteur de site Configuration Manager ;
• l’Administration Service si son mode HTTPS est activé ;
• les partages UNC de contenu et les sources OSD ;
• les points et groupes de distribution.

Les ports MECM, RPC/DCOM et SMB dépendent de votre architecture Configuration Manager. Appliquez les règles réseau internes et les droits RBAC de votre organisation plutôt qu’une ouverture Internet générique.

Compte interactif et tâche automatique

PatchFactory utilise la configuration proxy Windows et ne conserve aucun identifiant de proxy. Le client interactif s’exécute avec le compte de l’administrateur, alors que la tâche PatchFactory\Client Automation s’exécute sous SYSTEM.

Un test réussi dans le navigateur de l’administrateur ne valide donc pas automatiquement l’automatisation. Le proxy doit accepter le compte machine ou un accès transparent pour SYSTEM, et sa configuration machine doit être cohérente avec celle de la session interactive. Évitez de dépendre uniquement d’un proxy ou d’un fichier PAC défini dans le profil utilisateur.

Contrôlez les deux configurations :

netsh winhttp show proxy
Get-ScheduledTask -TaskPath '\PatchFactory\' | Get-ScheduledTaskInfo

Inspection TLS et validation des certificats

Une inspection TLS avec une autorité interne approuvée par Windows peut fonctionner si elle ne modifie pas les fichiers téléchargés. En revanche, une passerelle qui remplace, recompresse ou injecte du contenu provoque volontairement un refus d’intégrité.

La validation Authenticode des packages OEM contrôle aussi la chaîne de certificats et sa révocation. Autorisez les URL AIA, CRL ou OCSP indiquées par les certificats de l’éditeur selon la politique PKI de votre organisation ; ces hôtes varient avec le certificat et ne peuvent pas être remplacés par une liste PatchFactory fixe.

Vérifications rapides

Exécutez ces commandes dans la session qui utilise le client :

Resolve-DnsName catalogue.patchfactory.fr
Test-NetConnection catalogue.patchfactory.fr -Port 443
Invoke-WebRequest 'https://catalogue.patchfactory.fr/health/live' -UseBasicParsing -ProxyUseDefaultCredentials

Avec Intune :

Test-NetConnection login.microsoftonline.com -Port 443
Test-NetConnection graph.microsoft.com -Port 443

Une réponse HTTP 407 indique un problème d’authentification proxy. Les codes 502, 503 ou 504 indiquent généralement une passerelle ou une destination indisponible. Après correction, relancez l’action depuis PatchFactory et consultez Activité pour vérifier le flux fonctionnel complet, pas seulement l’ouverture du port.