Czym jest konektor?
Konektor to lekki agent instalowany wewnątrz Twojej sieci (centrum danych, VPC, na stacji roboczej), który umożliwia VaultPAM pośredniczenie w sesjach do celów, które nie są bezpośrednio osiągalne z internetu.
Dlaczego go potrzebujesz
Twoje cele (serwery Windows, hosty Linux, bazy danych) zazwyczaj znajdują się za zaporą sieciową. Nie chcesz otwierać przychodzących luk dla VaultPAM. Konektor rozwiązuje ten problem, tworząc wychodzący tunel zwrotny do warstwy sterowania VaultPAM: sesje przepływają przez ten tunel, więc nie są potrzebne żadne zmiany w przychodzących regułach zapory.
Modele wdrożenia
- Docker (zalecany dla serwerów) — jeden kontener na konektor.
- Instalator natywny — MSI (Windows), DMG (macOS), DEB/RPM (Linux).
- Urządzenie wirtualne (VM appliance) — gotowy obraz OVA dla środowisk, które wymagają niezmiennego, podpisanego obrazu maszyny wirtualnej.
- Kubernetes — chart Helm (plan na v2) lub dostarczane dziś manifesty Kustomize.
Jak działa parowanie
- Klikasz Add Connector w panelu. VaultPAM generuje jednorazowy token rejestracji.
- Uruchamiasz konektor z tokenem (wklejonym do
docker run, do monitu natywnego instalatora lub — gdy wejdzie AIC-1958 — poprzez przeglądarkowy proces automatycznego parowania). - Konektor przedstawia token, rozwiązuje wyzwanie certyfikatu i otrzymuje certyfikat klienta mTLS powiązany z jego tożsamością.
- W trybie autonomicznego restartu wydana tożsamość jest przechowywana w
PAM_AGENT_DATA_DIRi musi przetrwać restarty. Użyj nazwanego wolumenu Docker lub montowania bind, trwałej ścieżki na hoście VM/natywnym, albo PVC w Kubernetes. - Od tego momentu konektor utrzymuje otwarty wychodzący tunel TLS do warstwy sterowania. Sesje są multipleksowane przez ten tunel.
Tryby działania
Konektor obsługuje dwa tryby:
- Tryb autonomicznego restartu: konektor ma trwały stan lokalny
/datalub jego odpowiednik, dzięki czemu tożsamość przetrwa restart, a konektor samodzielnie ponownie się łączy. - Tryb prowadzonego odzyskiwania: konektor działa bez trwałego
/data, więc tożsamość może zostać utracona przy restarcie, a interfejs prowadzi przez proces odzyskiwania. Wewnętrzny stan działania toneeds_recovery; interfejs renderuje go jakoNeeds recovery.
W obu trybach konfiguracja konektora musi pozostać dostępna oddzielnie od tożsamości działania. Konfiguracja to stan należący do wdrożenia i nie może zostać utracona tylko dlatego, że /data nie jest trwałe. Konfiguracja nie może zawierać tokenów bootstrap, kluczy prywatnych, prywatnego materiału certyfikatów ani odszyfrowanych poświadczeń.
Osiągalność i routing
Zasób określa, który konektor może go osiągnąć. Jeśli masz wiele konektorów w różnych sieciach, każdy zasób wskazuje na właściwy. VaultPAM nigdy nie próbuje dotrzeć do celu bezpośrednio — wyłącznie poprzez konektor.
Kondycja
Konektor zgłasza sygnał kontrolny (heartbeat) co 10 s. Jeśli sygnał kontrolny ustanie, panel pokazuje status Offline, a konektor zostaje usunięty z decyzji routingu do czasu odzyskania sprawności. Sesje w toku przechodzące przez konektor offline są przerywane w sposób kontrolowany.