Wat is een Connector?
Een Connector is de lichtgewicht agent die in uw netwerk (datacentrum, VPC, op een werkstation) wordt geïnstalleerd en waarmee VaultPAM sessies kan makelen naar doelen die niet rechtstreeks bereikbaar zijn vanaf het internet.
Waarom u er een nodig hebt
Uw doelen (Windows-servers, Linux-hosts, databases) bevinden zich doorgaans achter een firewall. U wilt geen inkomende gaten in de firewall openen voor VaultPAM. Een Connector lost dit op door een uitgaande reverse tunnel naar het VaultPAM-controleplein tot stand te brengen: sessies stromen via die tunnel, dus geen inkomende firewallwijzigingen zijn nodig.
Implementatievormen
- Docker (aanbevolen voor servers) — één container per Connector.
- Native installer — MSI (Windows), DMG (macOS), DEB/RPM (Linux).
- VM-apparaat — voorgebouwde OVA voor omgevingen die een onveranderbare, ondertekende VM-image willen.
- Kubernetes — Helm-diagram (v2-roadmap) of de Kustomize-manifesten die we vandaag leveren.
Hoe koppeling werkt
- U klikt op Add Connector in het Dashboard. VaultPAM genereert een eenmalige inschrijvingstoken.
- U start de Connector op met de token (geplakt in een
docker run, in een native installateur-prompt, of — zodra AIC-1958 live gaat — via een browser-autopair-flow). - De Connector presenteert de token, lost een certificaatuitdaging op en ontvangt een mTLS-clientcertificaat dat aan de identiteit is gekoppeld.
- In autonome herstarttransportmodus wordt de uitgegeven identiteit opgeslagen onder
PAM_AGENT_DATA_DIRen moet deze herstarts overleven. Gebruik een Docker named volume of bind mount, een duurzaam VM/native host-pad, of een Kubernetes PVC. - Hierna houdt de Connector een uitgaande TLS-tunnel open naar het controleplein. Sessies worden gemultiplexeerd over die tunnel.
Runtime-modi
De Connector heeft twee ondersteunde modi:
- Autonome herstarttransportmodus: de Connector heeft persistente
/dataof equivalente duurzame lokale staat, dus de identiteit overleeft herstart en de Connector herverbindt automatisch. - Geleide herstelmodus: de Connector draait zonder persistente
/data, dus de identiteit kan verloren gaan bij herstart en de UI begeleidt het herstel. De interne runtime-staat isneeds_recovery; de UI geeft dit weer alsNeeds recovery.
In beide modi moet de Connector-configuratie afzonderlijk beschikbaar blijven van de runtime-identiteit. Configuratie is implementatie-eigendom en mag niet verloren gaan alleen omdat /data niet persistent is. Configuratie mag geen bootstrap-tokens, persoonlijke sleutels, certificaatprivémateriaal of ontsleutelde geheimen bevatten.
Bereikbaarheid en routering
Een Resource geeft aan welke Connector deze kan bereiken. Als u meerdere Connectors in verschillende netwerken hebt, wijst elke Resource naar de juiste. VaultPAM probeert nooit het doel rechtstreeks te bereiken — alleen via een Connector.
Gezondheid
Een Connector rapporteert elke 10 s een hartslag. Als de hartslag stopt, toont het Dashboard Offline en wordt de Connector verwijderd uit routeringsbeslissingen totdat deze herstelt. Sessies in vlucht via een offline Connector vallen gracieus weg.