Τι είναι ένα Connector;

Ένα Connector είναι ο ελαφρύς agent που εγκαθίσταται εντός του δικτύου σας (κέντρο δεδομένων, VPC, σε σταθμό εργασίας) και επιτρέπει στο VaultPAM να διαμεσολαβήσει περιόδους λειτουργίας σε στόχους που δεν είναι άμεσα προσβάσιμοι από το internet.

Γιατί χρειάζεστε ένα

Οι στόχοι σας (Windows servers, Linux hosts, databases) συνήθως βρίσκονται πίσω από ένα τείχος προστασίας. Δεν θέλετε να δημιουργήσετε εισερχόμενες τρύπες για το VaultPAM. Ένα Connector λύνει αυτό το πρόβλημα δημιουργώντας ένα εξερχόμενο reverse tunnel στο επίπεδο ελέγχου VaultPAM: οι περίοδοι λειτουργίας ρέουν διαμέσου του tunnel, επομένως δεν απαιτούνται αλλαγές στο εισερχόμενο τείχος προστασίας.

Σχήματα ανάπτυξης

• Docker (συνιστάται για servers) — ένα container ανά Connector.
• Native installer — MSI (Windows), DMG (macOS), DEB/RPM (Linux).
• VM appliance — προ-κατασκευασμένο OVA για περιβάλλοντα που θέλουν μια αμετάβλητη, υπογεγραμμένη εικόνα VM.
• Kubernetes — Helm chart (v2 roadmap) ή τα Kustomize manifests που παρέχουμε σήμερα.

Πώς λειτουργεί ο ζευγωματισμός

1. Κάνετε κλικ στο Add Connector στο Dashboard. Το VaultPAM δημιουργεί ένα token εγγραφής που χρησιμοποιείται μόνο μία φορά.
2. Εκκινείτε το Connector με το token (επικολλημένο σε μια docker run, σε μια προτροπή native installer, ή — μόλις το AIC-1958 κυκλοφορήσει — μέσω μιας ροής auto-pair του browser).
3. Το Connector παρουσιάζει το token, επιλύει μια πρόκληση πιστοποιητικού και λαμβάνει ένα πιστοποιητικό mTLS client που είναι συνδεδεμένο με την ταυτότητα του.
4. Σε αυτόνομο κατάσταση επανεκκίνησης, η εκδοθείσα ταυτότητα αποθηκεύεται κάτω από PAM_AGENT_DATA_DIR και πρέπει να διατηρηθεί κατά τις επανεκκινήσεις. Χρησιμοποιήστε ένα Docker named volume ή bind mount, μια ανθεκτική διαδρομή VM/native host, ή ένα Kubernetes PVC.
5. Από εκείνο το σημείο και μετά, το Connector διατηρεί ένα εξερχόμενο TLS tunnel ανοιχτό στο επίπεδο ελέγχου. Οι περίοδοι λειτουργίας είναι πολυπλεξημένες πάνω από αυτό το tunnel.

Λειτουργικές καταστάσεις

Το Connector έχει δύο υποστηριζόμενες καταστάσεις:

• Autonomous restart mode: το Connector έχει επίμονη /data ή ισοδύναμη ανθεκτική τοπική κατάσταση, επομένως η ταυτότητα διατηρείται κατά την επανεκκίνηση και το Connector επανασυνδέεται από μόνο του.
• Guided recovery mode: το Connector εκτελείται χωρίς επίμονη /data, επομένως η ταυτότητα ενδέχεται να χαθεί κατά την επανεκκίνηση και το UI καθοδηγεί την ανάκαμψη. Η εσωτερική κατάσταση χρόνου εκτέλεσης είναι needs_recovery· το UI το αποδίδει ως Needs recovery.

Και στις δύο καταστάσεις, η διαμόρφωση του Connector πρέπει να παραμείνει διαθέσιμη χωριστά από την ταυτότητα του χρόνου εκτέλεσης. Η διαμόρφωση είναι κατάσταση που κατέχεται από την ανάπτυξη και δεν πρέπει να χαθεί απλώς επειδή η /data δεν είναι επίμονη. Η διαμόρφωση δεν πρέπει να περιλαμβάνει bootstrap tokens, private keys, certificate private material, ή αποκρυπτογραφημένα μυστικά.

Προσβασιμότητα και δρομολόγηση

Ένας Resource δηλώνει ποιο Connector μπορεί να το φτάσει. Εάν έχετε πολλά Connectors σε διαφορετικά δίκτυα, κάθε Resource δείχνει στο σωστό. Το VaultPAM δεν προσπαθεί ποτέ να φτάσει στον στόχο απευθείας — μόνο μέσω ενός Connector.

Υγεία

Ένα Connector αναφέρει ένα heartbeat κάθε 10 s. Εάν το heartbeat σταματήσει, το Dashboard εμφανίζει Offline και το Connector αφαιρείται από τις αποφάσεις δρομολόγησης έως ότου ανακάμψει. Οι περίοδοι λειτουργίας που βρίσκονται σε εξέλιξη μέσω ενός offline Connector πέφτουν ομαλά.

Σχετικά άρθρα

• Ζευγαρώστε το πρώτο σας Connector
• Το Connector μου είναι offline
• Τι είναι ένα Safe;