¿Qué es un Connector?
Un Connector es el agente ligero instalado dentro de su red (centro de datos, VPC, en una estación de trabajo) que permite a VaultPAM intermediar sesiones a objetivos que no son directamente alcanzables desde internet.
Por qué lo necesita
Sus objetivos (servidores Windows, hosts Linux, bases de datos) típicamente residen detrás de un firewall. No desea abrir puertos de entrada para VaultPAM. Un Connector resuelve esto creando un túnel inverso de salida hacia el plano de control de VaultPAM: las sesiones fluyen a través de ese túnel, por lo que no se requieren cambios en el firewall de entrada.
Formas de implementación
- Docker (recomendado para servidores) — un contenedor por Connector.
- Instalador nativo — MSI (Windows), DMG (macOS), DEB/RPM (Linux).
- Appliance VM — OVA preconfigurado para entornos que desean una imagen de VM inmutable y firmada.
- Kubernetes — Helm chart (roadmap v2) o los manifiestos Kustomize que enviamos hoy.
Cómo funciona el emparejamiento
- Hace clic en Add Connector en el Dashboard. VaultPAM genera un token de inscripción de un solo uso.
- Inicia el Connector con el token (pegado en un
docker run, en un mensaje del instalador nativo, o — una vez que se complete AIC-1958 — mediante un flujo de auto-emparejamiento en el navegador). - El Connector presenta el token, resuelve un desafío de certificado y recibe un certificado de cliente mTLS vinculado a su identidad.
- En modo de reinicio autónomo, la identidad emitida se almacena bajo
PAM_AGENT_DATA_DIRy debe sobrevivir a los reinicios. Use un volumen nombrado de Docker o montaje de enlace, una ruta de VM/host nativo duradera, o un PVC de Kubernetes. - A partir de entonces, el Connector mantiene abierto un túnel TLS de salida hacia el plano de control. Las sesiones se multiplexan sobre ese túnel.
Modos de ejecución
El Connector tiene dos modos compatibles:
- Modo de reinicio autónomo: el Connector tiene
/datapersistente o estado local durable equivalente, por lo que la identidad sobrevive al reinicio y el Connector se reconecta automáticamente. - Modo de recuperación guiada: el Connector se ejecuta sin
/datapersistente, por lo que la identidad puede perderse en el reinicio y la UI guía la recuperación. El estado de tiempo de ejecución interno esneeds_recovery; la UI lo representa comoNeeds recovery.
En ambos modos, la configuración del Connector debe permanecer disponible por separado de la identidad en tiempo de ejecución. La configuración es un estado de propiedad de la implementación y no debe perderse simplemente porque /data no sea persistente. La configuración no debe incluir tokens de arranque, claves privadas, material privado de certificados, o secretos descifrados.
Accesibilidad y enrutamiento
Un Resource indica qué Connector puede alcanzarlo. Si tiene múltiples Connectors en diferentes redes, cada Resource apunta al correcto. VaultPAM nunca intenta alcanzar el objetivo directamente — solo a través de un Connector.
Salud
Un Connector reporta un latido cada 10 s. Si el latido se detiene, el Dashboard muestra Offline y el Connector se elimina de las decisiones de enrutamiento hasta que se recupere. Las sesiones en vuelo a través de un Connector desconectado se interrumpen correctamente.