RMM-wrapper: collect-rmm.ps1

Wat de wrapper doet

1. Leest de variabelen DIAG_UPLOAD_URL, DIAG_TOKEN, DIAG_COMPLAINT, DIAG_TICKET, DIAG_COMPLAINT_TIME, DIAG_DAYS, DIAG_DEVICE_ID en DIAG_SCRIPT_SHA256, of dezelfde waarden als parameters.
2. Eist https:// in de upload-URL. Het voert immers een script van die server uit als SYSTEM. Alleen voor een lokale test op 127.0.0.1 is http toegestaan.
3. Haalt GET /collect.ps1 als bytes op en controleert de sha256. Het anker is DIAG_SCRIPT_SHA256 uit de RMM; dan ligt de integriteitscontrole in de RMM en niet op dezelfde server als het script. Ontbreekt die, dan geldt /collect.ps1.sha256 van de server.
4. Voert de collector in het geheugen uit; er wordt niets op schijf gezet.
5. Herstart zichzelf via sysnative als de RMM een 32-bit PowerShell gebruikt.
6. Print als laatste regel DIAG_RESULT: OK run_id=... report=... of DIAG_RESULT: FAILED <reden>.

Eisen aan de RMM-job

• Context SYSTEM, 64-bit PowerShell waar instelbaar.
• Time-out minimaal 15 minuten.
• Het token alleen als geheime variabele DIAG_TOKEN; de wrapper zet het nooit op een commandoregel.
• Klachttijd in de vorm yyyy-MM-dd HH:mm.
• Een proxy via DIAG_PROXY als de endpoints alleen via een proxy naar buiten kunnen.
• Het certificaat van de server moet op de endpoints vertrouwd zijn; er wordt niets overgeslagen.

Wat er nog niet in zit (versie 0.3.0)

• Geen base64-vorm van de klacht. Bij NinjaOne en Defender Live Response, die tekens als &, ;, $ en de verticale streep in parameters verbieden, schrijft u de klacht zonder die tekens.
• Geen pull-model. Platforms zonder variabelen of parameters (Intune Remediations) vereisen dat de waarden in het $Settings-blok van het script staan.

Welke platforms variabelen, SYSTEM en 64-bit ondersteunen staat per tool in het RMM-overzicht.