Inventario y tickets: GLPI en Docker con agentes en Ubuntu y Windows

1. Introducción

GLPI es una plataforma libre de gestión de activos informáticos y mesa de ayuda: mantiene el inventario de equipos, software y licencias, y gestiona los tickets de soporte sobre esos mismos activos. Esta guía la despliega con Docker Compose, usando MariaDB como base de datos y un proxy inverso Nginx con certificado autofirmado por delante, y añade el agente oficial GLPI-Agent en dos equipos reales para que el inventario se rellene solo.

2. Variables de esta guía

Todos los bloques usan los siguientes marcadores en MAYÚSCULAS. Sustitúyelos por los valores reales del entorno donde se aplique esta guía.

3. Arquitectura y flujo

Tres contenedores en el servidor, y un agente nativo instalado en cada equipo a inventariar. El agente no vive en un contenedor: se instala directamente sobre el sistema operativo de cada máquina, tal y como se haría en un despliegue real sobre equipos físicos o virtuales.

[UBUNTU SERVER]            [WINDOWS 11]
  glpi-agent                 GLPI-Agent
       |                          |
       |  inventario por HTTPS    |
       |  (el agente inicia la conexión)
       +------------+-------------+
                    |
                    v
        https://IP_HOST_DOCKER:8446   (certificado autofirmado)
                    |
                    v
            [glpi-proxy] :8446   (Nginx)
                    |
                    v
              [glpi] :80   (GLPI + cron interno)
                    |
                    v
             [glpi-db]   (MariaDB)

4. Requisitos

• Un host Linux con Docker Engine y el plugin Docker Compose (docker compose, sin guion) ya instalados.
• Un Ubuntu Server y un Windows 11 en la misma red, que serán los equipos inventariados.
• Salida a Internet desde los equipos donde se instale el agente, únicamente para descargar el instalador desde GitHub.
• Al menos 2 GB de RAM libres para el contenedor de GLPI.

5. Levantar MariaDB y GLPI con Docker

Misma organización de siempre: cada stack en su carpeta dentro de /docker, y las credenciales en un .env aparte, nunca escritas dentro del docker-compose.yml.

sudo mkdir -p /docker/glpi && cd /docker/glpi

sudo nano .env

MARIADB_ROOT_PASSWORD=glpi_root_pwd
GLPI_DB_NAME=glpi
GLPI_DB_USER=glpi
GLPI_DB_PASSWORD=glpi_pwd

Ahora el archivo del stack, en la misma carpeta:

sudo nano docker-compose.yml

services:
  glpi-db:
    image: mariadb:11
    container_name: glpi-db
    command:
      - --character-set-server=utf8mb4
      - --collation-server=utf8mb4_unicode_ci
    environment:
      MARIADB_ROOT_PASSWORD: ${MARIADB_ROOT_PASSWORD}
      MARIADB_DATABASE: ${GLPI_DB_NAME}
      MARIADB_USER: ${GLPI_DB_USER}
      MARIADB_PASSWORD: ${GLPI_DB_PASSWORD}
    volumes:
      - glpi-db-data:/var/lib/mysql
    healthcheck:
      test: ["CMD-SHELL", "healthcheck.sh --connect --innodb_initialized"]
      interval: 5s
      timeout: 5s
      retries: 20
      start_period: 30s
    restart: unless-stopped

  glpi:
    image: glpi/glpi:11.0
    container_name: glpi
    environment:
      GLPI_DB_HOST: glpi-db
      GLPI_DB_PORT: 3306
      GLPI_DB_NAME: ${GLPI_DB_NAME}
      GLPI_DB_USER: ${GLPI_DB_USER}
      GLPI_DB_PASSWORD: ${GLPI_DB_PASSWORD}
      TZ: Europe/Madrid
    volumes:
      - glpi-data:/var/glpi
    depends_on:
      glpi-db:
        condition: service_healthy
    restart: unless-stopped

  proxy:
    image: nginx:alpine
    container_name: glpi-proxy
    volumes:
      - ./nginx.conf:/etc/nginx/conf.d/default.conf:ro
      - ./proxy-selfsigned.crt:/etc/nginx/certs/proxy-selfsigned.crt:ro
      - ./proxy-selfsigned.key:/etc/nginx/certs/proxy-selfsigned.key:ro
    ports:
      - "8446:8446"
    depends_on:
      - glpi
    restart: unless-stopped

volumes:
  glpi-db-data:
  glpi-data:

6. Configurar el proxy inverso con HTTPS propio

Genera un certificado autofirmado con clave EC, válido para la IP del host:

cd /docker/glpi
sudo openssl ecparam -name prime256v1 -genkey -noout -out proxy-selfsigned.key
sudo openssl req -new -x509 -key proxy-selfsigned.key -out proxy-selfsigned.crt -days 825 \
  -subj "/CN=IP_HOST_DOCKER" \
  -addext "subjectAltName=IP:IP_HOST_DOCKER"

Servidor con varias interfaces de red

Es habitual que el servidor tenga más de una interfaz: una en la red de administración, desde la que se accede a la interfaz web, y otra en una red interna donde viven los equipos a inventariar. En ese escenario, los agentes alcanzarán el servidor por una IP distinta a la que se usa desde el navegador.

La solución es emitir un único certificado válido para ambas direcciones, añadiendo las dos al campo subjectAltName separadas por comas:

cd /docker/glpi
sudo openssl ecparam -name prime256v1 -genkey -noout -out proxy-selfsigned.key
sudo openssl req -new -x509 -key proxy-selfsigned.key -out proxy-selfsigned.crt -days 825 \
  -subj "/CN=IP_HOST_DOCKER" \
  -addext "subjectAltName=IP:IP_HOST_DOCKER,IP:IP_HOST_DOCKER_2"

Ahora la configuración de Nginx:

sudo nano nginx.conf

resolver 127.0.0.11 valid=10s;

server {
    listen 8446 ssl;
    server_name IP_HOST_DOCKER;

    ssl_certificate     /etc/nginx/certs/proxy-selfsigned.crt;
    ssl_certificate_key /etc/nginx/certs/proxy-selfsigned.key;

    # Los inventarios y los documentos adjuntos pueden superar el limite por defecto
    client_max_body_size 64M;

    location / {
        set $upstream_glpi http://glpi:80;
        proxy_pass $upstream_glpi;
        proxy_set_header Host $host:$server_port;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

7. Arrancar el stack y verificar

cd /docker/glpi
docker compose up -d
docker compose ps

El primer arranque tarda más de lo normal porque GLPI crea el esquema completo de la base de datos. Sigue el registro para verlo:

docker logs -f glpi

Cuando termine la instalación automática y no aparezcan errores de conexión a la base de datos, sal con Ctrl+C y comprueba que el proxy responde:

curl -kI https://IP_HOST_DOCKER:8446

8. Primer acceso y cuentas por defecto

Abre en el navegador:

https://IP_HOST_DOCKER:8446

GLPI se instala con cuatro cuentas de demostración, una por cada perfil, y todas con la contraseña igual al nombre de usuario:

9. Activar el soporte de zonas horarias

GLPI necesita que MariaDB tenga cargada su tabla de zonas horarias y que el usuario de la aplicación pueda consultarla. Sin esto, la instalación no puede fijar su zona horaria y las fechas quedan atadas a la configuración por defecto del servidor.

Primero, dale permiso de lectura al usuario de GLPI sobre esa tabla (te pedirá la contraseña root que definiste en el .env):

docker exec -it glpi-db mariadb -u root -p \
  -e "GRANT SELECT ON mysql.time_zone_name TO 'glpi'@'%'; FLUSH PRIVILEGES;"

Después, dile a GLPI que active el soporte:

docker exec -it glpi /var/www/glpi/bin/console database:enable_timezones

10. Activar el inventario nativo

Desde GLPI 10, el inventario viene integrado en el producto y ya no hace falta el antiguo complemento FusionInventory. Pero llega desactivado de fábrica: si instalas los agentes sin dar este paso, enviarán su inventario y el servidor lo descartará sin decir gran cosa.

• Entra como administrador y ve a Administración → Inventario.
• Abre la pestaña de configuración general del inventario.
• Activa la opción para habilitar el inventario.
• Revisa las opciones de importación (equipos, monitores, impresoras, componentes) y déjalas según lo que quieras que entre en el inventario.
• Guarda.

11. Instalar el agente en Ubuntu Server

El proyecto GLPI publica un instalador en Perl que detecta la distribución y coloca el paquete adecuado. Descárgalo desde las publicaciones oficiales del agente, sustituyendo el número de versión por el actual que veas en la página de releases:

cd /tmp
wget https://github.com/glpi-project/glpi-agent/releases/download/1.19/glpi-agent-1.19-linux-installer.pl
sudo perl glpi-agent-1.19-linux-installer.pl

Ahora configura a qué servidor debe reportar. En lugar de editar el archivo principal, se añade un fichero propio en la carpeta de configuración adicional, que es la forma recomendada porque sobrevive a las actualizaciones del paquete:

sudo nano /etc/glpi-agent/conf.d/00-clockwork.cfg

server = https://IP_HOST_DOCKER:8446
no-ssl-check = 1
tag = laboratorio

Fuerza una ejecución inmediata para comprobar que llega:

sudo systemctl restart glpi-agent
sudo glpi-agent --force --debug

Del atajo a la configuración correcta

En la salida del comando anterior, con no-ssl-check activo, el agente indica la huella SHA256 del certificado del servidor. Cópiala, y sustituye el contenido del archivo de configuración por esta versión definitiva:

server = https://IP_HOST_DOCKER:8446
ssl-fingerprint = FINGERPRINT_CERT
tag = laboratorio

sudo systemctl restart glpi-agent
sudo glpi-agent --force --debug

12. Instalar el agente en Windows 11

Descarga el instalador MSI de 64 bits desde la misma página de releases y ejecútalo en modo silencioso desde PowerShell como administrador. Igual que en Linux, el primer intento sirve para obtener la huella del certificado:

msiexec /i "C:\Users\$env:USERNAME\Downloads\GLPI-Agent-1.19-x64.msi" /quiet SERVER="https://IP_HOST_DOCKER:8446" NO_SSL_CHECK=1 TAG="laboratorio" RUNNOW=1 EXECMODE=1 /l*v "C:\Users\$env:USERNAME\Downloads\glpi-agent-install.log"

Comprueba que el servicio quedó instalado y en marcha:

Get-Service -Name "glpi-agent"

Y revisa el registro del agente, donde aparecerá la huella del certificado:

Get-Content "C:\Program Files\GLPI-Agent\logs\glpi-agent.log" -Tail 40

Con la huella ya conocida, reinstala pasando la configuración correcta en lugar de desactivar la validación:

msiexec /i "C:\Users\$env:USERNAME\Downloads\GLPI-Agent-1.19-x64.msi" /quiet SERVER="https://IP_HOST_DOCKER:8446" SSL_FINGERPRINT="FINGERPRINT_CERT" TAG="laboratorio" RUNNOW=1 EXECMODE=1

13. Verificar el inventario en GLPI

En la interfaz web, ve a Activos → Equipos. Deberían aparecer los dos equipos con su nombre, y al abrir cualquiera de ellos verás la información recogida automáticamente: procesador, memoria, discos, tarjetas de red, sistema operativo y el listado completo de software instalado.

Para revisar los agentes en sí y cuándo contactaron por última vez:

• Administración → Inventario → Agentes muestra cada agente registrado, su versión y la fecha del último contacto.
• En la ficha de cada equipo, el historial permite ver qué cambió entre un inventario y el siguiente.

Una última comprobación confirma que el inventario se mantiene vivo y no es una foto fija: instalar o desinstalar cualquier programa en uno de los equipos, forzar un inventario nuevo y verificar que GLPI refleja el cambio en el listado de software y lo registra en el historial del activo.

14. Tabla de puertos y componentes

15. Errores comunes y cómo resolverlos

16. Notas de ampliación

El montaje de esta guía cubre lo necesario para tener el inventario automático funcionando y la mesa de ayuda operativa. Para un uso continuado conviene ampliar con:

• Reglas de importación de activos, para que los equipos entren clasificados solos en la entidad, ubicación o grupo que corresponda, apoyándose en la etiqueta tag que ya envían los agentes.
• Notificaciones por correo, para que la apertura y actualización de tickets avise automáticamente a quien corresponda.
• Descubrimiento de red por SNMP, que permite inventariar switches, impresoras y otros equipos donde no se puede instalar un agente.
• Dominio propio y certificado válido en lugar del autofirmado, lo que además simplifica los agentes: con un certificado reconocido dejan de necesitar la huella y basta con indicarles la URL.
• Copias de seguridad del volumen de MariaDB y del volumen glpi-data, que contiene la configuración y todos los documentos adjuntos a los tickets.
• Integración con la monitorización, para que una alerta de un sistema como Zabbix abra automáticamente un ticket sobre el activo correspondiente ya inventariado en GLPI.