Deploy the Lutril MCP Discovery Agent with Your MDM
L'agent MCP de Lutril est un exécutable unique en lecture seule, sans runtime ni dépendance. Lutril génère un installeur par plateforme avec votre jeton déjà dedans ; voici comment le pousser avec Intune, Jamf, Kandji ou un terminal, les réglages qui comptent, et comment vérifier que le déploiement a bien abouti.
ChatGPT
Claude
Mistral
PerplexityRéponse courte
Pour déployer l'agent de découverte MCP de Lutril : ouvrez MCP Discovery, cliquez sur Deploy the agent, créez un jeton d'enrôlement et téléchargez l'installeur de chaque plateforme que vous gérez ; il contient déjà votre tenant, le jeton et l'empreinte du binaire de l'agent. Poussez chaque fichier avec votre MDM comme un script exécuté une fois par poste en root ou SYSTEM, affecté à un groupe d'appareils ; sous macOS, affectez aussi le profil Full Disk Access. Le script récupère le binaire depuis votre instance Lutril, vérifie son SHA-256 et enregistre l'agent comme service système. Chaque machine s'enrôle à son premier passage et rapporte toutes les heures.
Ce que vous déployez
L'agent MCP de Lutril est un exécutable unique en lecture seule, d'environ 7 Mo, sans runtime ni dépendance. Il lit les fichiers de configuration des clients IA installés sur un poste (Claude Desktop, Claude Code, Cursor, VS Code, Codex, Continue et une douzaine d'autres), établit ce que chaque serveur MCP serait capable d'atteindre, et le remonte à Lutril. Il ne modifie rien sur la machine.
L'exécuter avec un compte de service plutôt qu'avec l'utilisateur connecté est ce qui le rend utile : une seule installation couvre tous les comptes de la machine, y compris ceux dans lesquels personne n'est connecté, et c'est précisément là que dorment les serveurs MCP oubliés. Sous macOS et Linux ce compte est root ; sous Windows c'est SYSTEM.
- Le nom du serveur, le client qui le configure, et s'il est actif ou en cours d'exécution
- La commande et la forme de ses arguments
- Les noms des variables d'environnement et des en-têtes HTTP qu'il utilise
- Le paquet qu'il télécharge, et si cette version est figée
- L'origine (schéma et hôte) d'un serveur distant
- Le nom de la machine, la version du système, les noms des comptes locaux, et l'adresse du compte d'outil de travail connecté sur le poste lorsqu'il y en a un
- La valeur d'une variable d'environnement ou d'un en-tête HTTP
- Le contenu d'un fichier
- Un chemin absolu contenant un nom d'utilisateur
- Le chemin ou la chaîne de requête d'une URL
- La ligne de commande d'un processus en cours
- Quoi que ce soit auquel un serveur MCP a lui-même accès
Vous n'avez pas à nous croire sur parole. Lancez lutril-mcp-agent --dry-run sur un poste : il affiche la charge utile exacte qu'il enverrait, sans jeton ni réseau, et c'est la première étape recommandée de toute évaluation.
Avant de commencer
- Un moyen d'exécuter un script en root ou SYSTEM sur votre parc. N'importe quel MDM le fait ; un terminal avec
sudoaussi. - Rien d'autre. Le binaire est récupéré par le script depuis votre instance Lutril, et le script refuse d'installer quoi que ce soit dont l'empreinte ne correspond pas.
Étape 1. Créer le jeton et télécharger les installeurs
Dans Lutril, ouvrez MCP Discovery, cliquez sur Deploy the agent, puis sur Create token. Une fois le jeton affiché, choisissez une plateforme et cliquez sur Download. Chaque fichier embarque votre adresse d'API, votre tenant, le jeton, l'URL versionnée du binaire et son empreinte. Il n'y a rien à modifier. Téléchargez un fichier par plateforme que vous gérez.
Étape 2. Le pousser avec votre MDM
Téléversez chaque fichier comme un script exécuté une fois par poste, en root ou SYSTEM, affecté à un groupe d'appareils plutôt qu'à un groupe d'utilisateurs : l'agent est une installation par machine, couvrant tous ses comptes. Les réglages qui comptent sont les mêmes quel que soit le MDM.
| Plateforme | Fichier | Exécuter en | En plus |
|---|---|---|---|
| macOS | install-lutril-mcp-agent-macos.sh | root, pas l'utilisateur connecté | Affectez le profil Full Disk Access Lutril-MCP-Agent-PPPC.mobileconfig avec lui |
| Linux | install-lutril-mcp-agent-linux.sh | root | Rien |
| Windows | Install-LutrilMcpAgent.ps1 | SYSTEM, pas l'utilisateur connecté | Pas de vérification de signature, hôte 64 bits |
Où cela se trouve dans quelques consoles courantes :
- Intune. Appareils → macOS → Scripts shell, Appareils → Linux → Scripts, et Appareils → Scripts et corrections → Scripts de plateforme pour Windows. Fréquence non configurée, donc une seule exécution.
- Jamf. Une stratégie avec le script en charge utile, limitée au groupe d'ordinateurs, exécutée une fois par ordinateur. Le mobileconfig passe en profil de configuration avec la même portée.
- Kandji. Un élément de bibliothèque de type script personnalisé réglé sur une exécution unique, plus un profil personnalisé pour le mobileconfig.
- Un terminal.
sudo sh install-lutril-mcp-agent-macos.shsur un Mac, la même chose sous Linux, et le fichier PowerShell depuis une invite élevée sous Windows. Pratique pour la première machine d'une évaluation.
Étape 3. Vérifier le déploiement
Chaque machine s'enrôle à son premier passage puis rapporte toutes les heures, avec une variation aléatoire pour qu'un parc ne rapporte pas tout en même temps. Attendez-vous aux premiers postes dans les minutes qui suivent l'exécution du script, et ouvrez MCP Discovery → Devices pour les voir arriver.
Si quelque chose n'arrive pas
| Symptôme | Cause |
|---|---|
| Le script réussit, aucun poste n'apparaît | Le jeton a subi une rotation après le téléchargement du fichier. Refaites une rotation dans Lutril, téléchargez un installeur neuf, et remplacez le script dans votre MDM. |
| Le script échoue avec Checksum mismatch | Le binaire présent sur votre instance Lutril n'est pas celui pour lequel l'installeur a été généré, en général parce qu'une nouvelle version de l'agent a été publiée entre-temps. Téléchargez l'installeur de nouveau. |
| Le script échoue avec No agent binary for architecture | La version publiée sur votre instance n'embarque pas de binaire pour cette machine. Publiez-en un, ou excluez ce poste. |
| Le poste rapporte une fois, puis s'arrête | Il a été révoqué dans Lutril. L'agent se ré-enrôle une seule fois après un refus puis s'arrête au lieu de boucler ; réactivez-le sous Devices. |
| Le poste affiche Never reported | L'agent est installé et n'a pas encore tourné. Vérifiez le journal : /var/log/lutril-mcp-agent.log sous macOS, journalctl -u lutril-mcp-agent sous Linux, l'historique de la tâche Lutril MCP Discovery Agent dans le Planificateur de tâches sous Windows. |
| Partial sur la ligne du poste | Un répertoire personnel que le compte de service ne peut pas parcourir, ou un logiciel de sécurité qui bloque la lecture. L'infobulle donne le compte. Sous macOS, c'est presque toujours le profil Full Disk Access qui manque. |
Le retirer
Poussez un second script au même groupe d'appareils, ou lancez-le à la main :
# macOS
sudo launchctl bootout system /Library/LaunchDaemons/com.lutril.mcpagent.plist
sudo rm -rf /Library/LaunchDaemons/com.lutril.mcpagent.plist "/Library/Application Support/Lutril"
# Linux
sudo systemctl disable --now lutril-mcp-agent
sudo rm -rf /etc/systemd/system/lutril-mcp-agent.service /etc/lutril /var/lib/lutril-mcp-agent
# Windows (PowerShell en administrateur)
Unregister-ScheduledTask -TaskName 'Lutril MCP Discovery Agent' -Confirm:$false
Remove-Item -Recurse -Force "$env:ProgramFiles\Lutril", "$env:ProgramData\Lutril"Cela arrête l'envoi depuis la machine. Cela ne révoque pas son identifiant, qui est une décision distincte et volontairement séparée : révoquez le poste sous MCP Discovery → Devices si vous voulez lui retirer l'accès en plus de l'agent.
Les questions qui suivent
L'agent nécessite-t-il des droits administrateur ?
Il s'installe et s'exécute en root sous macOS et Linux, et en SYSTEM sous Windows, ce que n'importe quel MDM fournit à un script. C'est ce qui permet à une seule installation de couvrir tous les comptes de la machine, et pas seulement la personne connectée à cet instant.
Qu'est-ce que l'agent envoie à Lutril ?
La forme de chaque configuration de serveur MCP : son nom, le client qui le configure, la commande et la forme de ses arguments, les noms des variables d'environnement et des en-têtes qu'il utilise, le paquet qu'il télécharge et si cette version est épinglée, et l'origine d'un serveur distant. Il n'envoie jamais la valeur d'un identifiant, le contenu d'un fichier, un chemin contenant un nom d'utilisateur, ni la ligne de commande d'un processus en cours. Lancez lutril-mcp-agent --dry-run pour voir la charge utile exacte avant de déployer quoi que ce soit.
Pourquoi un script plutôt qu'un paquet ?
Un .pkg signé, un .deb ou un paquet .intunewin demandent chacun une étape de construction, une signature et une règle de détection. Un script est un seul fichier téléversé une fois par plateforme, exécuté en root ou SYSTEM, et c'est tout ce qu'il faut à l'agent : il récupère le binaire depuis votre instance Lutril, vérifie son empreinte et enregistre un LaunchDaemon, une unité systemd ou une tâche planifiée. Le même fichier se lance aussi depuis un terminal pour la première machine d'une évaluation.
Le jeton d'enrôlement peut-il figurer sans risque dans un script ?
C'est un secret de parc et non un secret de poste : la même chaîne part sur chaque machine, et quiconque peut lire le script dans votre MDM peut la voir. Elle prouve qu'un poste appartient à votre organisation, rien de plus. Elle ne permet de rien lire dans Lutril et ne permet pas de prendre le contrôle d'un poste déjà enrôlé, et sa rotation se fait en un clic, après quoi chaque agent déployé se ré-enrôle à son passage suivant et un script construit avec l'ancien jeton n'enrôle plus rien.
Comment désinstaller l'agent ?
Poussez un second script, ou lancez-le à la main : déchargez le LaunchDaemon et retirez le dossier Lutril sous macOS, désactivez l'unité systemd et retirez les répertoires Lutril sous Linux, supprimez la tâche planifiée Lutril MCP Discovery Agent et retirez les dossiers Lutril sous Windows. L'envoi depuis la machine s'arrête, mais son identifiant n'est pas révoqué, ce qui est une action distincte sous MCP Discovery, Devices.
En trente minutes, nous transposons Lutril sur votre stack et vous montrons ce que donne la gouvernance des accès en temps réel pour votre équipe. Sans slides.
Réserver une démo