Che cos'è un Connector?
Un Connector è l'agente leggero installato all'interno della tua rete (data centre, VPC, su una workstation) che consente a VaultPAM di intermediare sessioni verso target non direttamente raggiungibili da internet.
Perché ne hai bisogno
I tuoi target (server Windows, host Linux, database) tipicamente risiedono dietro un firewall. Non desideri aprire buchi in ingresso per VaultPAM. Un Connector risolve questo problema creando un tunnel inverso in uscita verso il piano di controllo VaultPAM: le sessioni fluiscono attraverso quel tunnel, quindi non sono necessari cambiamenti al firewall in ingresso.
Forme di distribuzione
- Docker (consigliato per server) — un contenitore per Connector.
- Programma di installazione nativo — MSI (Windows), DMG (macOS), DEB/RPM (Linux).
- Appliance VM — OVA precompilata per ambienti che desiderano un'immagine VM immutabile e firmata.
- Kubernetes — Helm chart (roadmap v2) o manifesti Kustomize che forniamo oggi.
Come funziona l'accoppiamento
- Fai clic su Add Connector nel Dashboard. VaultPAM genera un token di registrazione monouso.
- Avvii il Connector con il token (incollato in un
docker run, nel prompt di un programma di installazione nativo, o — una volta che AIC-1958 sarà disponibile — tramite un flusso di accoppiamento automatico dal browser). - Il Connector presenta il token, risolve una sfida di certificato e riceve un certificato client mTLS legato alla sua identità.
- In modalità riavvio autonomo, l'identità rilasciata viene memorizzata in
PAM_AGENT_DATA_DIRe deve sopravvivere ai riavvii. Utilizza un volume denominato Docker o un bind mount, un percorso VM/host nativo durevole, o un PVC Kubernetes. - Da quel momento il Connector mantiene aperto un tunnel TLS in uscita verso il piano di controllo. Le sessioni sono multiplexate su quel tunnel.
Modalità di esecuzione
Il Connector supporta due modalità:
- Modalità riavvio autonomo: il Connector ha uno stato locale durevole
/datao equivalente, quindi l'identità sopravvive ai riavvii e il Connector si riconnette automaticamente. - Modalità recovery guidato: il Connector funziona senza
/datapersistente, quindi l'identità può andare persa al riavvio e l'interfaccia utente guida il recovery. Lo stato runtime interno èneeds_recovery; l'interfaccia utente lo rappresenta comeNeeds recovery.
In entrambe le modalità, la configurazione del Connector deve rimanere disponibile separatamente dall'identità runtime. La configurazione è uno stato di proprietà della distribuzione e non deve andare persa semplicemente perché /data non è persistente. La configurazione non deve includere token di bootstrap, chiavi private, materiale privato di certificati, o segreti decifrati.
Raggiungibilità e instradamento
Una Risorsa indica quale Connector può raggiungerla. Se hai più Connector in reti diverse, ogni Risorsa punta a quello giusto. VaultPAM non tenta mai di raggiungere il target direttamente — solo attraverso un Connector.
Stato di salute
Un Connector invia un heartbeat ogni 10 s. Se l'heartbeat si interrompe, il Dashboard mostra Offline e il Connector viene rimosso dalle decisioni di instradamento finché non si recupera. Le sessioni in corso attraverso un Connector offline terminano correttamente.