Agent Orkyvo Remote

Administrer un serveur Linux sans ouvrir d'accès entrant : l'agent installé sur le serveur se connecte lui-même à Orkyvo et n'exécute que les opérations autorisées.

Principe

Connexion uniquement sortante, en HTTPS (TLS 1.3 avec certificat client) : compatible avec les proxys sortants, aucun port à ouvrir.
La clé privée est générée sur le serveur et ne le quitte jamais ; le certificat de l'agent est renouvelé automatiquement.
Les blocs Commande Orkyvo Remote, Script distant, Transfert de fichier, Informations serveur et Provisionner un serveur l'utilisent.

Installer

Dans Serveurs, ajoutez le serveur avec le transport « Agent », puis ouvrez Agent et sécurité.
Choisissez la validité du jeton (30 minutes à 24 heures) et cliquez sur Générer un jeton d'enrôlement. Le jeton n'est affiché qu'une fois ; un nouveau jeton invalide le précédent.
Sur le serveur, lancez les trois commandes affichées : téléchargement, vérification de l'empreinte, installation.

Sur le serveur (Linux, Node.js 20 ou plus récent)

curl -fsSLO https://app.dev.orkyvo.fr/api/agent/download/install.sh
echo "<empreinte affichée dans Orkyvo>  install.sh" | sha256sum -c -
sudo bash install.sh --url https://app.dev.orkyvo.fr --token <jeton d'enrôlement>

Le script vérifie l'empreinte de l'agent, crée le compte système orkyvo-agent sans shell de connexion, génère la clé privée, enrôle l'agent puis active le service durci. Ajoutez --allow-sudo uniquement si des opérations privilégiées doivent être possibles : les droits effectifs restent ceux de la règle sudoers que vous écrivez.

À savoir. Le jeton rattache l'agent à ce serveur et à son environnement. L'agent ne peut pas choisir son organisation, son environnement ni son serveur.

Autoriser des opérations

Une tâche n'est remise à l'agent que si son opération (commande, script, fichier, informations) est autorisée à la fois sur la fiche du serveur et dans les capacités de l'agent. Les opérations privilégiées exigent en plus l'autorisation sudo sur la fiche du serveur. Tout le reste est refusé par défaut.

L'agent reçoit seulement ce qu'il faut pour la tâche : la commande ou le script, les variables utilisées par le bloc, les répertoires autorisés et les limites. Jamais la liste des secrets de l'environnement.

Sécurité

Service durci : aucune capacité, écriture limitée à ses répertoires et aux répertoires de transfert.
L'agent refuse de démarrer si sa clé privée est lisible par un autre utilisateur.
Chaque tâche est enregistrée sur le disque avant son lancement. Après un redémarrage de l'agent, une tâche jamais lancée est déclarée « expirée » et une tâche en cours « indéterminée » : aucune n'est relancée.
Les sorties sont masquées par la plateforme avant d'être conservées ou affichées.

Révoquer et désinstaller

Depuis Agent et sécurité, révoquez l'agent : ses tâches ne lui sont plus remises. Sur le serveur, uninstall.sh arrête le service, efface la clé et supprime les fichiers et le compte système.