SSH
Команда на хосте, перед ней карточка, а приватный ключ рядом с executor’ом не лежит.
Никто в этой категории не брокерит SSH с одобрением на вызов и запечатанной записью сессии. Агент просит выполнить команду на хосте, и вся команда целиком стоит на карточке.
Что вызывает агент
web-01.exec { "cmd": "systemctl restart api" }Где ключ
Executor не получает приватный ключ вовсе. Ему достаётся handle вида «ssh signer», и он просит control подписать каждый challenge по взаимному TLS. У скомпрометированной реплики нет ничего, что откроет хост завтра.
Что показывает карточка
- Хост, пользователь и вся команда целиком, отрисованные из нашей канонической формы, а не из текста агента.
- Агент, делегировавший человек и воркспейс.
- Класс, который получила команда, и правило, которое его выдало.
В этой версии только публичные хосты. Хост во внутренней сети требует коннектора, а это более поздний релиз; egress-страж отклоняет приватные адреса независимо от того, назван ли на них binding.