Pocket Agent плагині

Pocket Agent — қысқа мерзімді, TTL-тикеттік қашықтан қол жеткізу құралы. Ол операторға шектелген тапсырманы орындау үшін нысана машинаға жетуге мүмкіндік береді, әрі қауіпсіздік моделі нысана ешқашан портты ашпайтындай немесе кіріс қосылымға сенбейтіндей етіп жасалған.

[!WARNING] Pocket Agent — мобильді серіктес қолданба емес. Атауы телефон клиентін емес, шағын, талап бойынша іске қосылатын қашықтан қол жеткізу агентін білдіреді. Клиент қолданбасы үшін Мобильді және үстелдік қолданба плагинін қараңыз.

Ол хост-нативті жұмыс істейді және шлюзбен келісімі бойынша сөйлеседі.

Фактілер

Өріс	Мән
Нұсқа	0.1.0
Порт	8814
Орындалу ортасы	хост-нативті

Бұл не

Нысанада тұрақты инфрақұрылым ұстамай-ақ қашықтағы нысанада шектелген әрекетті орындаудың тәсілі. Кіріс командаларды тыңдайтын демонның орнына модель тикетпен жүргізіледі әрі тек шығысты қолданады:

Оператор тикет береді — белгілі бір тапсырмаға қысқа мерзімді (TTL-мен шектелген) грант.
Нысана тикетті тексеретін қол қойылған bootstrap-ты орындайды.
Содан кейін нысана шығыс сұрау циклына кіреді, жұмысты әкелу және нәтижелерді хабарлау үшін өзі байланысады.

Тикеттің TTL мерзімі бітсе, қол жеткізу жоғалады. Тыңдап тұрған тұрақты ештеңе қалмайды.

Қауіпсіздік моделі

[!NOTE] Pocket Agent-тің бүкіл мәні — ыңғайлылық емес, қауіпсіздік ұстанымы. Орналастыру алдында оны түсініп алыңыз:

Қысқа мерзімді тикеттер (TTL). Қол жеткізу уақытпен шектелген; мерзімі біткен тикет ештеңе бермейді.

Қол қойылған bootstrap. Нысана тикетпен байланған қол қойылған bootstrap-ты тексергеннен кейін ғана жалғастырады.

Тек шығыс сұрау циклы. Барлық қосылымдарды нысана бастайды. Шабуылдайтын кіріс сокеті жоқ және push арнасы жоқ.

Allowlist. Нысаналар мен әрекеттер allowlist-пен шектелген.

Аудит. Әрекет тексеру үшін жазылады.

Кіріс тыңдаушы да, push та болмағандықтан, нысанадағы шабуыл беті ең аз: шабуылдаушы Pocket Agent арқылы нысанаға қарай қосыла алмайды, әрі тикет мерзімі бітсе қол жеткізу автоматты түрде жойылады.

Қалай қолданылады

Оператор белгілі бір тапсырмаға тикет береді; нысана оны қол қойылған bootstrap пен шығыс сұрау циклы арқылы алады, allowlist-телген жұмысты орындайды және кері хабарлайды. Әрбір қадам тикет TTL-імен шектелген әрі аудит жолында жазылады.

operator issues TTL ticket ─▶ target verifies signed bootstrap ─▶ target polls outbound ─▶ allowlisted work ─▶ audit

Орнату

Pocket Agent-ті әкімшілік UI-дегі marketplace-тен бір рет басумен орнатыңыз. Хост-нативті деплойер плагинді жүктеп алады, оның орнату қадамын орындайды, оқшауланған systemd бірлігін рендерлейді және оны дайын деп белгілемес бұрын денсаулықты күтеді — қараңыз Орнату және жаңартулар. Контейнерлер қатыспайды.

Қауіпсіздік және шектеулер

Тек TTL-тикеттік қол жеткізу — уақытпен шектелген, тұрақты қашықтан сеанс емес.
Тек шығыс — нысанада кіріс сокеті жоқ, push арнасы жоқ.
Allowlist + қол қойылған bootstrap + аудит кім нені істей алатынын қамтамасыз етеді әрі оны жазады.
Серіктес қолданба емес — бұл оператор жүргізетін қашықтан қол жеткізу, телефон клиенті емес.
Хост-нативті — контейнерде емес, systemd астында жұмыс істейді.