ქსელი, აუდიტი და იზოლირებული
ეს გვერდი მოიცავს კონტროლის ელემენტებს, რომლებიც განსაზღვრავენ სად შეიძლება მიაღწიოს AiHummer-ს და სად შეუძლია მას მიაღწიოს, რას უწერს იგი და რისგან არის იგი შექმნილი: ადმინისტრატორის ნებადართული IP-მისამართების სია, იზოლაციის რეჟიმი, აუდიტის ჟურნალი და სატრანსპორტო ჯაჭვის მდგომარეობა.
საფეხური: ეს არის გადახდილი დონის მართვის ელემენტები, არა თავისუფალი/მთელი პლატფორმისთვის. დონე, რომელიც ყველას ეზღუდება:
| ფუნქცია | საფეხური |
|---|---|
| ადმინიის IP-მისამართების თეთრი სია | ბიზნესი+/მეწარმეობა |
| აუდიტის ჟურნალი | ბიზნესი |
| ჰაეროვანი სხრეტის რეჟიმი | წარმოება |
თეთრი IP სია (IP-ით წვდომის მართვა ადმინისტრაციული გატარებისთვის)
თქვენ შეგიძლიათ შეზღუდოთ ადმინ-მომხმარებლის ინტერფეისი ცნობილი ქსელებით ხელმისაწვდომი IP-მისამართების სია, მართულია /v1/admin/security/ip-allowlist. კონფიგურაციის დროს, ადმინისტრაციული წვდომა ფილტრირდება წყაროს IP-ით, ამიტომ ადმინისტრატორის API და ინტერფეისი პასუხობს მხოლოდ იმ მისამართებიდან მიღებულ მოთხოვნებს, რომლებიც თქვენ გქონდათ ნდობით
[!TIP] ერთიანად შეაერთეთ ნებადართული IP-ამარჯვებულების სია კორპორატიული SSO და შეზღუდული API კლავიშები: ქსელის მართვის შეზღუდვები სად SSO ზღუდავს ვინც, ხოლო დომენები ზღუდავენ რაც.
ჰაეროვანი სხრეტის რეჟიმი
თვითმმართველი ან იზოლირებული განთავსებისთვის დააყენეთ AIHUMMER_AIRGAPPED=1 ბლოკირება საჯარო გამოსვლა, მოდელის მიერ კონტროლირებულიამ რეჟიმში აგენტის ინსტრუმენტები არ შეუძლიათ მოდელის სახელით საჯარო ინტერნეტში გასვლა, რაც აღმოფხვრის ექსფილტრაციისა და SSRF-ის მთელი ჯგუფის რისკებს.
# /home/.aihummer/etc/gateway.env
AIHUMMER_AIRGAPPED=1[!WARNING] ქსელიდან იზოლაციის რეჟიმი გამორთავს ხელსაწყოებს, რომლებიც დამოკიდებული არიან საზოგადოებრივი ქსელის წვდომაზე (მაგალითად open-web ით ამოღებს). გააერთიანეთ ეს თქვენი საკუთარ საიდქარებთან და ადგილობრივ მოდელებთან, რათა მოპოვება რჩება სრულიად ფუნქციონალური გარე ზარების გარეშე. უფრო დახვეწილი კონტროლისთვის სრული ჰაეროვანი შეწყვეტის ნაცვლად გამოიყენეთ გარე დაშვების ნებართვების სიის, რომელიც აღწერილია ღობეები.
აუდიტის ჟურნალი
მოძღვრის ცვლილებები ჩაიწერება აუდიტის ჟურნალი შენახვით და გვერდებად დაყოფით, წაკითხად /v1/admin/audit. შენახვა კონტროლდება AIHUMMER_AUDIT_RETENTION_DAYS, რათა თქვენ გეყოთ ანგარიშის გაგრძელება იმ დროზე, რაც თქვენი შესაბამისობის პოლიტიკით განსაზღვრულა, და საშუალებას მიანიჭოთ მოძველებული ჩანაწერების მოძველება.
# /home/.aihummer/etc/gateway.env
AIHUMMER_AUDIT_RETENTION_DAYS=365აუდიტის ჟურნალი ბუნებრივად ერწყმის RBAC-ს და SSO-ს: SSO და IP-ის თეთრი სია განსაზღვრავს, ვინ შეუძლია მოქმედება, შეზღუდული გასაღებები განსაზღვრავს, რა შეუძლიათ გააკეთონ, ხოლო აუდიტის ჟურნალი ითვლის, რა გააკეთეს.
მიწოდების ჯაჭვი და შესრულების მიმდინარე მდგომარეობა
AiHummer-ის შესრულების დრო განზრახ მცირეა და შეიძლება გადამოწმდეს:
| მიწოდებულობა | პოზა |
|---|---|
| გეიტვეი | ერთი ბინარული Go ფაილი (მართვის პანელი + turn ძრავა). |
| გაწყვეტილი დამოკიდებულებები | დაახლოებით 25 პირდაპირი Go მოდული — პატარა, შემოწმებადი ზედაპირი. |
| გაფუთვა | Host-native: tarball-ის გამოშვება + systemd, არ აქვს Docker. |
| გვერდის ეტლები | ცალკეული HTTP-სერვისები, რომლებსაც URL-ის საშუალებით აქვს წვდომა, იწყება მხოლოდ საჭიროების შემთხვევაში. |
[!NOTE] ჰოსტზე ორიენტირებული პაკეტი ნიშნავს, რომ არ არსებობს კონტეინერის შესრულების გარემო, რომელიც საჭიროა გაძლიერებას ან გამოსასწორებლად მიმატება აპენდიქსს — თქვენ აკეთებთ ერთ Go ბინარულ ფაილის გაშვებას systemd-ის ქვეშ
/home/.aihummer. ეს არის სასარგებლო თვისება იმის შესახებ, როგორ წარმოადგენს პროდუქტი, და არა დადასტურება აბსოლუტურ უსაფრთხოებაზე.
სად შემდეგ?
- კორპორატიული SSO — ვის აქვს შესვლის უფლება.
- RBAC და შეზღუდული API გასაღებები — რას შეიძლება გააკეთონ ერთხელ შესვლის შემდეგ.
- ღობეები და რჩევების შეღწევისგან დაცვა — გამოსავალი თეთრი სიის და SSRF-ისგან დაცვის ინსტრუმენტები, რომლებიც მართლაც მიმართავენ გარეთ.