Uç nokta ajanı filolarını yönetin

CID222 uç nokta ajanı, yapay zeka kullanım politikasını yönetilen bir masaüstünde uygular; böylece bir dizüstü bilgisayar kurumsal ağın dışındayken de denetim altında kalır. Yönetim → Uç Nokta Ajanı bunun konsol tarafıdır: bir filo oluşturur, tek kullanımlık kayıt belirtecini alır ve geri dönen cihazları izlersiniz.

Neye ihtiyacım var?

Lisans

Starter

Rol

superadmin

Ön koşullar

• superadmin olarak oturum açmış olmalısınız. Bir admin_user bu sayfadaki her çağrıda, okumalar dahil, reddedilir.
• Cihaz `CID_ENABLE_LAB` değeri `true` olarak çalışıyor ya da lisanssız bir geliştirme makinesi olmalıdır. Lisanslı bir cihazda kenar çubuğu girdisi gizlidir.
• `JWT_SECRET` ayarlı ve kalıcı olmalıdır — her filonun politika imzalama anahtarı ondan türetilen bir anahtarla şifrelenir.
• Hedef makinelere bir kurulum paketi dağıtabilmelisiniz: MDM, GPO, Intune, Jamf ya da Ansible.

Screenshot pendingBileşen bazlı durum listesi ve devam eden çalışma konsolunu açan düğmeyle Uç Nokta Ajanı geliştirme paneli/assets/screenshots/endpoint-agent@0.4.png

Bu sayfayı kim kullanabilir

endpoint.agent lisans anahtarı her katmanda bulunur; dolayısıyla bu sayfayı gizleyen şey lisans değil laboratuvar bayrağıdır. Konsolun içinde superadmin yazar, viewer okur; bir admin_user bilinçli olarak dışarıda bırakılmıştır, çünkü filo listesi bir birime kapsamlanmaz ve kuruluştaki her cihazı gösterir.

Bir filo oluşturun

Filo; tek bir politikayı, tek bir imzalama anahtarını ve tek bir kayıt belirtecini paylaşan uç noktalar grubudur.

Filo ve cihaz tablolarını okuyun

Fleets tablosunun alt başlığı {n} fleets · policy polled every 300 s şeklindedir.

Bir satırı seçmek, 15 saniyede bir yenilenen Devices — {fleet} panelini açar.

Sağlık tarayıcıda hesaplanır; ilk eşleşen kazanır:

Bir filo ya da cihaz üzerinde işlem yapın

Bir cihaz nasıl güvenilir hâle gelir

Onay kuyruğu ve bekleme durumu yoktur. Filonun kayıt belirtecine sahip olmak kabul demektir:

1. Ajan; belirteci, cihaz kimliğini, işletim sistemini ve sürümünü /endpoint-agent/enroll adresine gönderir.
2. Cihaz, belirtecin özetini aktif bir filoyla eşleştirir, cihazı kaydeder ve yalnızca o cihaza ait, dakikada 600 istekle sınırlı bir ağ geçidi API anahtarı üretir.
3. Yanıt, ilk imzalı politika paketini ve filonun imzalama açık anahtarını taşır. Ajan bu anahtarı ilk kayıtta sabitler ve sonraki her paketi ona karşı doğrular.
4. Bundan sonraki her yoklama, cihazın kendi anahtarıyla kimlik doğrular. GET /endpoint-agent/policy ve POST /endpoint-agent/heartbeat, istekteki cihaz kimliğine ait olmayan bir anahtarı reddeder.

Belirteç filo genelindedir ve yeniden kullanılabilir. Ajan başarılı bir kayıttan sonra belirteci yerelde atar, ancak cihaz tek kullanımı zorunlu kılmaz — belirteci elinde tutan herkes, siz onu yenileyene kadar filoya başka bir cihaz kaydedebilir.

Alan başvurusu

Filo oluşturma

İmzalı politika paketi neleri taşır

Doğrulama

1. Filo, Durum sütununda active ve Politika sütununda v1 ile Fleets tablosunda görünür.
2. Test makinesinde kayıt komutunu çalıştırdıktan sonra cihaz bir yoklama aralığı içinde Devices altında görünür; Sağlık sütunu healthy ve Uygulandı sütunu filonun Politika değeriyle aynıdır.
3. Kill-switch anahtarını açın. Filonun Politika değeri bir artar ve bir yoklama aralığı içinde cihazın Uygulandı değeri buna yetişir.
4. Test makinesinin, listelenen yapay zeka hedeflerinden birini ziyaret etmesini sağlayın. Olay, kaynağı uç nokta ajanı olarak ayarlanmış hâlde Tüm tespitler sayfasında görünür ve cihaz kimliği çağıranın iddiasıyla değil, cihaz tarafından damgalanır.
5. Bu modül Olay Günlükleri sayfasına hiçbir şey yazmaz. Bir filo oluşturmak, bir belirteci yenilemek, acil kapatma anahtarını kullanmak, bir filoyu silmek ve birinin dizüstü bilgisayarına kaldırma komutu kuyruğa almak — hiçbiri denetim satırı bırakmaz.

Başarısız olursa

• Invalid enrollment token (401) — belirteç hiçbir aktif filoyla eşleşmiyor. Yanlış yazılmış ya da kurulum paketi derlendikten sonra yenilenmiştir.
• Agent key does not match device (401) — cihazın ağ geçidi anahtarı başka bir cihaz kimliğine aittir. Makineyi yeniden kaydedin.
• Missing agent API key / Invalid agent API key (401) — ajan hiç taşıyıcı belirteç göndermemiş ya da bilinmeyen, iptal edilmiş veya süresi dolmuş bir belirteç göndermiştir. Bir cihazın anahtarını API Anahtarları sayfasında silmek buna yol açar.
• Fleet … not found (404) — bir ajan hâlâ yoklama yaparken filo silinmiştir. Ajan kimlik bilgisi hatası değil 404 alır.
• Fleet policy is missing required fields (selectivity, failMode) (400) — API üzerinden yazılan bir politika zorunlu bir alanı atlamıştır. Bu, politikanın kaydedildiği anda değil, her kayıtta ve her yoklamada tetiklenir.
• Only a superadmin can manage the endpoint agent. — rolünüz yola ulaşabilir ama sayfaya ulaşamaz. Bunu bir admin_user görür.
• READ_ONLY_ROLE ile birlikte This is a read-only demo account (viewer role) — actions and changes are disabled. — bir viewer, okuyabildiği ama kullanamadığı bir denetimi seçmiştir.
• Kenar çubuğunda Uç Nokta Ajanı girdisi yoksa cihaz lisanslıdır ve laboratuvar bayrağı kapalıdır. Adresi yazarsanız yol yine de açılır.
• Bir cihaz çevrimiçi olduğu hâlde stale görünüyorsa: makinenin saatini ve filonun CID endpoint adresine erişebildiğini denetleyin; konsolun kendi erişilebilirlik testi yoktur.

Bilinen boşluklar

• Denetim izi yok. Bu sayfadaki hiçbir şey olay kaydına yazmaz.
• Politika düzenleyicisi ve kademeli dağıtım yok. Dağıtım halkası saklanır ve doğrulanır ama hiçbir şey tarafından okunmaz; bir filodaki her cihaz bir sonraki yoklamasında aynı paketi alır.
• Windows hiçbir zaman gerçek donanımda çalışmamıştır, kurulum paketi imzasızdır ve macOS taslak hâlindedir.
• Kuyruğa alınan komut gönder-unut biçimindedir. Cihaz komutu uygulasın ya da uygulamasın, sinyal komutu aldığında kuyruktan temizlenir ve aynı anda yalnızca bir komut bekleyebilir.
• Cihaz sayaçları hiç doldurulmaz ve cihazın kendi bildirdiği durum saklanır ama hiç gösterilmez.
• Çözümlenen adrese göre yönlendirme kırılgandır. Aynı adresi paylaşan iki ana makine adı ayrılamaz, paylaşılan bir içerik dağıtım adresi ilgisiz trafiği incelemeye çeker ve dönen bir anycast adresi trafiği tümüyle incelenmemiş bırakabilir. Mevcut Linux pilotunu buna göre değerlendirin.
• Ajan kendini yerel bir yöneticiye karşı savunmaz. Kaldırma parolası bir politika denetimidir, kurcalama koruması değil.

Sonraki adımlar

• Dağıtım ve entegrasyon — belirteç penceresindeki komutların ait olduğu dağıtım yordamı: imzalı paket depoları, MDM çalışma kitapları, güven sağlama ve kaldırma.
• Tüm tespitler — ajanın kararlarının düştüğü yer.
• Tarayıcı eklentisi — yalnızca tarayıcıları yönetmeniz gerektiğinde daha hafif alternatif.
• Erişim anahtarları — her cihazın kendi ağ geçidi anahtarının durduğu ve sahipsiz kalan bir anahtarın kaldırıldığı yer.