Was ist ein Connector?

Ein Connector ist der schlanke Agent, der innerhalb Ihres Netzwerks (Rechenzentrum, VPC, auf einer Workstation) installiert wird und mit dem VaultPAM Sitzungen zu Zielen vermitteln kann, die nicht direkt aus dem Internet erreichbar sind.

Warum Sie einen benötigen

Ihre Ziele (Windows-Server, Linux-Hosts, Datenbanken) befinden sich in der Regel hinter einer Firewall. Sie möchten keine eingehenden Öffnungen für VaultPAM schaffen. Ein Connector löst dies, indem er einen ausgehenden Reverse-Tunnel zur VaultPAM-Steuerungsebene aufbaut: Sitzungen fließen durch diesen Tunnel, sodass keine eingehenden Firewall-Änderungen erforderlich sind.

Bereitstellungsvarianten

• Docker (empfohlen für Server) — ein Container pro Connector.
• Nativer Installer — MSI (Windows), DMG (macOS), DEB/RPM (Linux).
• VM-Appliance — vorgefertigte OVA für Umgebungen, die ein unveränderliches, signiertes VM-Image wünschen.
• Kubernetes — Helm-Chart (v2-Roadmap) oder die Kustomize-Manifeste, die wir heute ausliefern.

So funktioniert das Pairing

1. Sie klicken im Dashboard auf Add Connector. VaultPAM generiert ein einmalig nutzbares Enrolment-Token.
2. Sie starten den Connector mit dem Token (eingefügt in ein docker run, in eine Eingabeaufforderung des nativen Installers oder — sobald AIC-1958 verfügbar ist — über einen automatischen Pairing-Flow im Browser).
3. Der Connector legt das Token vor, löst eine Zertifikats-Challenge und erhält ein mTLS-Client-Zertifikat, das an seine Identität gebunden ist.
4. Im autonomen Neustartmodus wird die ausgestellte Identität unter PAM_AGENT_DATA_DIR gespeichert und muss Neustarts überstehen. Verwenden Sie ein benanntes Docker-Volume oder einen Bind-Mount, einen dauerhaften VM-/nativen Host-Pfad oder einen Kubernetes-PVC.
5. Von da an hält der Connector einen ausgehenden TLS-Tunnel zur Steuerungsebene offen. Sitzungen werden über diesen Tunnel gemultiplext.

Laufzeitmodi

Der Connector verfügt über zwei Unterstützungsmodi:

• Autonomer Neustartmodus: Der Connector verfügt über persistenten lokalen Zustand unter /data oder einem entsprechenden dauerhaften Speicher, sodass die Identität einen Neustart übersteht und der Connector sich selbständig wieder verbindet.
• Geführter Wiederherstellungsmodus: Der Connector läuft ohne persistenten /data-Speicher, sodass die Identität bei einem Neustart verloren gehen kann und die Benutzeroberfläche durch die Wiederherstellung führt. Der interne Laufzeitzustand lautet needs_recovery; die Benutzeroberfläche stellt ihn als Needs recovery dar.

In beiden Modi muss die Connector-Konfiguration unabhängig von der Laufzeitidentität verfügbar bleiben. Die Konfiguration ist ein durch die Bereitstellung verwalteter Zustand und darf nicht allein deshalb verloren gehen, weil /data nicht persistent ist. Die Konfiguration darf keine Bootstrap-Token, privaten Schlüssel, privaten Zertifikatsmaterialien oder entschlüsselten Geheimnisse enthalten.

Erreichbarkeit und Routing

Eine Ressource gibt an, welcher Connector sie erreichen kann. Wenn Sie mehrere Connectors in verschiedenen Netzwerken haben, verweist jede Ressource auf den richtigen. VaultPAM versucht niemals, das Ziel direkt zu erreichen — nur über einen Connector.

Zustand

Ein Connector meldet alle 10 s einen Heartbeat. Wenn der Heartbeat ausbleibt, zeigt das Dashboard Offline an, und der Connector wird aus den Routing-Entscheidungen entfernt, bis er sich erholt. Laufende Sitzungen über einen Offline-Connector werden ordnungsgemäß beendet.

Verwandte Artikel

• Pairen Sie Ihren ersten Connector
• Mein Connector ist offline
• Was ist ein Safe?