आप चाहतें हैं कि नई मशीनें स्वचालित रूप से प्रोविजन हों — इमेजिंग, पैकेज, एक एआई एजेंट — लेकिन नीति (या समझदारी) के मुताबिक एजेंट को कंट्रोल मिलने से पहले ठीक एक मानव अनुमोदन आवश्यक है।

IT टीमें और डेवऑप्स इंजीनियर नई मशीनों को बिना लगातार मार्गदर्शन के ऑनलाइन चाहते हैं, लेकिन उन्हें एक ऐसा, ऑडिटेबल क्षण भी चाहिए जहाँ कोई मानव बिल्ड की जांच करे। यह गाइड एक व्यावहारिक पैटर्न दिखाता है स्वत: उपकरण सेटअप के लिए जो इमेजिंग से लेकर प्रारंभिक कॉन्फ़िगरेशन तक बिना देखरेख के रहता है — जिसमें ठीक एक अनुमोदन द्वार होता है जहाँ एक मानव सहमति देता/देती है। आपको एक एंड-टू-एंड वर्कफ़्लो, ठोस स्क्रिप्ट्स और उदाहरण कमांड्स मिलेंगे, और सुरक्षा के ट्रेड-ऑफ़्स जो आपको इसे रोल आउट करने से पहले जानना चाहिए।

डिज़ाइन लक्ष्य

मशीनों को स्वतः प्रोविजन करें (इमेजिंग, पैकेज, एजेंट इंस्टॉल) बिना किसी इंटरएक्टिव प्रॉम्प्ट के।
नेटवर्क एक्सेस और विशेषाधिकार प्राप्त रिमोट-कंट्रोल को एक मानव सत्यापन चरण पूरा होने तक विलंबित करें।
उस सत्यापन को ऑडिट करने योग्य, संक्षिप्त (एकल निर्णय), और रिमोट छेड़छाड़ के प्रति प्रतिरोधी बनाएं।
ऑपरेशनल ओवरहेड को न्यूनतम रखें — Tenvo प्रबंधित रिले को प्राथमिकता दें जब तक कि कोई लिखित अनुपालन आवश्यकता आपको स्व-होस्टेड विकल्प (उदा., स्व-होस्टेड RustDesk) उपयोग करने के लिए मजबूर न करे।

उच्च-स्तरीय प्रवाह: बिना देखरेख प्रोविजनिंग + एक अनुमोदन

इमेज / cloud-init बनाएँ: OS अपडेट इंस्टॉल करें, जहाँ संभव हो Secure Boot / TPM अटेस्टेशन चालू करें, Tenvo क्लाइंट इंस्टॉल करें लेकिन अपने-आप अनुमोदन न करें।
बूट के समय cloud-init एजेंट का पंजीकरण सीमित अवस्था में चलाता है: डिवाइस मैनेजमेंट बैकएंड में UNAPPROVED के रूप में दर्ज होता है और कंसोल या लॉक स्क्रीन पर एक छोटा स्थानीय कोड (6–8 अंक) दिखाता है।
ऑपरेटर मशीन की भौतिक जाँच करके (या सुरक्षित आउट-ऑफ़-बैंड कॉल के ज़रिए) कोड सत्यापित करता है और मैनेजमेंट कंसोल में डिवाइस को अनुमोदित करता है — यही एकमात्र मानवीय स्वीकृति है।
अनुमोदन मिलते ही बैकएंड डिवाइस सर्टिफ़िकेट/भूमिका जारी करता है और रिमोट एक्सेस तथा प्रबंधन नीतियाँ चालू करता है। Tenvo क्लाइंट सामान्य संचालन में आ जाता है और सीधे P2P या मैनेज्ड रिले के ज़रिए कनेक्ट हो सकता है।
सभी कार्रवाइयाँ ऑडिट इवेंट बनाती हैं (पंजीकरण, अनुमोदन, सर्टिफ़िकेट जारी करना) और अनुपालन के लिए सुरक्षित रखी जाती हैं।

क्यों स्थानीय रूप से प्रदर्शित कोड सही एकल स्वीकृति है

एकल अनुमोदन बिंदु दोनों ही आसान और विश्वसनीय होना चाहिए। सामान्य पैटर्न एक स्थानीय रूप से प्रदर्शित एक-बार वाला कोड है जिसे डिवाइस पहली बार बूट होने पर दिखाता है। व्यवस्थापक भौतिक डिवाइस (या एक भरोसेमंद दूरस्थ कैमरा) की जाँच करता है और अनुमोदन पर क्लिक करने से पहले कोड को कंसोल में टाइप करता है। इससे यह सुनिश्चित होता है कि किसी मानव ने वास्तव में मशीन देखी और नेटवर्क या इमेज रिपॉज़िटरी को हाईजैक कर चुके दूरस्थ हमलावरों को बिना भौतिक निरीक्षण के डिवाइस स्वचालित रूप से नामांकित करने से रोका जा सके।

कार्यान्वयन पैटर्न और उदाहरण

यह तरीका सभी परिवेशों में समान है: एक इमेज बनाएं जो एक संक्षिप्त बूटस्ट्रैप चलाती है, आपके बैकएंड पर एक रजिस्ट्रेशन अनुरोध भेजती है, और अपने आप को अस्वीकृत के रूप में चिह्नित करती है जब तक बैकएंड 'स्वीकृत' बिट को फ्लिप नहीं कर देता। नीचे व्यावहारिक निर्माण खंड दिए गए हैं।

1) इमेज / cloud-init उदाहरण (Linux)

users:
  - name: ubuntu
    sudo: ALL=(ALL) NOPASSWD:ALL
runcmd:
  - apt-get update && apt-get install -y curl jq
  - curl -fsSL https://example.com/bootstrap.sh | bash
# bootstrap.sh should install the Tenvo client and write /etc/tenvo/state=unapproved

2) Windows स्वचालित इंस्टॉलर (उदाहरण)

Tenvo नेटिव क्लाइंट MSI को चुपचाप चलाएँ और डिवाइस को पेंडिंग स्थिति में छोड़ दें. एक वास्तविक msiexec उदाहरण:

msiexec /i TenvoClient.msi /qn TENVO_BOOTSTRAP=1 TENVO_REG_URL=https://relay.example.com/register

इंस्टॉलर को एक छोटा सा सेवा बनानी चाहिए जो एक पंजीकरण अनुरोध पोस्ट करे और एक स्थानीय पुष्टि कोड लॉक किए गए कंसोल या Windows लॉगिन स्क्रीन पर लिखे (स्थल पर मौजूद अनुमोदक द्वारा पहुँच योग्य)।

3) पंजीकरण API और UNAPPROVED स्थिति

जब क्लाइंट पंजीकरण करता है, उसे तुरंत पूर्ण अधिकार नहीं मिलने चाहिए। उदाहरण JSON पेलोड (TLS के माध्यम से आपके backend/relay को भेजा गया):

{
  "hwid": "SERIAL-1234",
  "os": "ubuntu-24.04",
  "pubkey": "-----BEGIN PUBLIC KEY-----...",
  "local_code": "582193"
}

बैकएंड डिवाइस पंक्ति को UNAPPROVED के रूप में रिकॉर्ड करता है, पब्लिक की को संग्रहीत करता है, पोलिंग के लिए एक केवल-पढ़ने योग्य टोकन लौटाता है, और प्रशासक कंसोल पर एक अलर्ट भेजता है। Tenvo क्लाइंट एक सीमित मोड में रहता है जो अनुमोदन तक दूरस्थ-नियंत्रण सत्रों को अस्वीकार करता है।

4) मानव अनुमोदन: सटीक, एकमात्र द्वार

प्रशासक कंसोल नामांकन अनुरोध और डिवाइस का लोकल_कोड प्रदर्शित करता है। ऑपरेटर डिवाइस पर जाता है, सत्यापित करता है कि कोड स्थानीय रूप से दिख रहा है, और अनुमोदन करें पर क्लिक करता है। उस क्रिया से:

बैकएंड में डिवाइस की स्थिति को APPROVED पर सेट करता है।
डिवाइस प्रमाणपत्र या रोल टोकन (अल्पकालिक) के जारी होने को ट्रिगर करता है जिसे क्लाइंट प्राप्त करता है।
दूरस्थ सत्र क्षमता और किसी भी अनुमोदन-उपरांत प्रोविजनिंग कार्यों को सक्षम करता है (e.g., निगरानी एजेंट स्थापित करना)।

5) अंतिम क्रेडेंशियल के लिए पुश की बजाय पुल

क्लाइंट को अनुमोदन परिणाम के लिए पोल करने दें और फिर अपने क्रेडेंशियल्स को पुल करें, बजाय इसके कि बैकएंड उन्हें पुश करे। यह असुरक्षित कॉलबैक के जोखिम को कम करता है और फ्लो को अधिक NAT / फ़ायरवॉल-अनुकूल बनाता है। उदाहरण पोल अंतराल: पहले मिनट के लिए 5s, फिर 30s तक एक्सपोनेंशियल बैकऑफ; टाइमआउट 24 घंटे।

संचालन स्क्रिप्ट और उदाहरण

नीचे स्थानीय बूटस्ट्रैप सेवा के लिए एक न्यूनतम स्टेट मशीन (छद্মकोड):

# pseudo-steps for bootstrap service
if state == 'unregistered':
  send_enroll_request()
  store local_code
  state = 'pending'
while state == 'pending':
  resp = poll('/enroll/status')
  if resp.status == 'approved':
    fetch_credentials()
    state = 'approved'
    enable_remote_access()
  sleep(poll_interval)

सुरक्षा और संचालन संबंधी विचार

TLS + प्रति-डिवाइस प्रमाणपत्र: अपने CA से प्रति-डिवाइस प्रमाणपत्र के साथ TLS का उपयोग करें। जब सत्र किसी रिले का उपयोग करते हैं, तो TLS रिले पर समाप्त हो जाता है और रिले ऑपरेटर ट्रैफ़िक की जाँच कर सकता है — तदनुसार ऑडिट और ट्रस्ट सीमाएँ योजना बनाएं।
हार्डवेयर रूट ऑफ ट्रस्ट: जहाँ संभव हो, कुंजियाँ संग्रहीत करने और पंजीकरण पर प्लेटफ़ॉर्म पहचान का प्रमाण देने के लिए TPM का उपयोग करें। TPM बाइंडिंग डिवाइस की नकल करना बहुत कठिन बना देता है।
स्थानीय कोड एन्ट्रॉपी और प्रदर्शन: 6–8 अंक उपयोग करें (आकस्मिक अनुमान से बचने के लिए पर्याप्त) और सत्यापन के लिए लॉक किए गए कंसोल या डिवाइस से जुड़े लेबल/कैमरा दृश्य पर प्रदर्शित करें।
संक्षिप्त अनुमोदन विंडो और रोटेशन: अनुमोदन टोकन को अल्पकालिक रखें और यदि इसे X घंटे के भीतर उपयोग नहीं किया जाता है तो पुनः-अनुमोदन आवश्यक करें।
ऑडिट लॉग: रिकॉर्ड रखें कि किसने डिवाइस को अनुमोदित किया, अनुमोदक की पहचान, टाइमस्टैम्प, डिवाइस फिंगरप्रिंट, और local_code. अपनी अनुपालन नीति के अनुसार लॉग सुरक्षित रखें।
घटना हैंडलिंग: यदि प्रशासक किसी असंगत सीरियल या संदिग्ध छवि को नोटिस करता है, तो अनुमोदन अस्वीकार करें, डिवाइस को क्वारंटीन के रूप में चिह्नित करें, और एक पुनर्निर्माण वर्कफ़्लो ट्रिगर करें।

क्यों Tenvo का प्रबंधित रिले अनुशंसित डिफ़ॉल्ट है

ऑपरेशनल टीमें अक्सर अपना खुद का रिले चलाने की लागत को कम आंका करती हैं: उपलब्धता, पैचिंग, कुंजी की सुरक्षा, प्रमाणपत्र नवीनीकरण और फ्लीट स्केल। Tenvo का मैनेज्ड रिले (सर्वर जर्मनी में) ज़्यादातर परिचालन बोझ हटा देता है। Tenvo के पास macOS, Windows और Linux के लिए नेटिव क्लाइंट हैं, एक ब्राउज़र क्लाइंट सार्वजनिक बीटा में है, और प्राइसिंग टियर Free $0 / Lite $2.99/mo / Pro $7.99/mo हैं। केवल तब स्व-होस्टिंग चुनें जब कोई लिखित आवश्यकता इसे मजबूर करे: एक अलग नेटवर्क, एक डेटा-रेज़िडेंसी नियम या ऐसा नियामक अनुपालन जो तीसरे-पक्ष इंफ्रास्ट्रक्चर पर प्रतिबंध लगाता हो। यदि आपको स्व-होस्ट करना ही हो, तो प्रतिबद्ध होने से पहले स्व-होस्टेड रिमोट डेस्कटॉप: क्यों, कैसे, और क्या टूटता है पढ़ें।

ऑडिटयोग्यता: एकल स्वीकृति को स्पष्ट रूप से रिकॉर्ड करें

उस एक मानव गेट को स्पष्ट रूप से रिकॉर्ड किया जाना चाहिए। आपके ऑडिट ट्रेल में निम्न शामिल होने चाहिए:

डिवाइस फ़िंगरप्रिंट (मॉडल, सीरियल, इमेज हैश)
पंजीकरण अनुरोध टाइमस्टैम्प
दिखाया गया Local_code मान
अनुमोदक की पहचान और तरीका (SSO पहचान, MFA स्टैम्प)
अनुमोदन टाइमस्टैम्प और जारी प्रमाणपत्र सीरियल

Tenvo ग्राहकों को इसे सत्र लॉगिंग के साथ जोड़ना चाहिए; उदाहरणों के लिए देखें रिमोट डेस्कटॉप ऑडिट लॉगिंग कि अनुपालन के लिए क्या कैप्चर करना चाहिए।

रोलआउट चेकलिस्ट और व्यावहारिक नोट्स

10–50 मशीनों के पायलट के साथ शुरू करें और अनुमोदन के लिए भौतिक उपस्थिति आवश्यक करें।
इमेज बूट से अनुमोदन तक का समय मापें और लक्ष्य रखें कि ऑन-साइट सामान्यतः < 5 मिनट हों।
निर्धारित करें कि कौन अनुमोदन कर सकता है: भूमिका-आधारित पहुँच नियंत्रण जोखिम कम करता है (उदाहरण के लिए, केवल प्रोविजनिंग इंजीनियर अनुमोदन कर सकते हैं)।
खोए हुए या चोरी हुए डिवाइस के लिए सर्टिफिकेट रद्दीकरण और रिमोट वाइप नीतियाँ लागू करें।
अनुमोदन के बाद के कॉन्फ़िगरेशन कार्यों (मॉनिटरिंग इंस्टॉल करना, फ़ायरवॉल नियम लागू करना) को स्वचालित करें, लेकिन सक्रियकरण स्वयं एक ही मैन्युअल क्लिक रखें।
यदि आपको Windows के लिए बड़े पैमाने पर तैनाती हेतु स्क्रिप्टेड इंस्टॉलर की आवश्यकता है, तो व्यावहारिक MSI सुझावों के लिए हमारी तैनाती नोट्स देखें रिमोट डेस्कटॉप MSI तैनाती: रोलआउट के माध्यम से Group Policy।

विचित्र मामले और सावधानियाँ

केवल रिमोट प्रोविज़निंग (कोई भौतिक पहुँच नहीं): इस पैटर्न का उपयोग न करें जब तक कि आपके पास हार्डवेयर प्रमाणीकरण न हो। केवल रिमोट अनुमोदन कमजोर होता है क्योंकि आप भौतिक कब्ज़ा सत्यापित नहीं कर सकते।
इमेजेस का ड्रिफ्ट होना: यदि आप किसी इमेज को पुनर्निर्मित करते हैं, तो अपने साइनिंग कीज़ घुमाएँ या फिंगरप्रिंट बदलें ताकि ऑडिट ट्रेल नई इमेज हैश दिखाए।
रिले की दृश्यता: याद रखें कि रिले TLS को डीक्रिप्ट करते हैं; रिले ऑपरेटरों को संवेदनशील सत्रों के लिए इन-स्कोप मानें और अधिक सख्त लॉगिंग तथा रिटेंशन नियम लागू करें।

1,000-मशीन रोलआउट के लिए उदाहरण समयरेखा

पायलट (2 सप्ताह): 25 मशीनें, डिस्प्ले विधि और अनुमोदन UX को परिष्कृत करें।
छोटा रोलआउट (4 सप्ताह): 100 मशीनें, RBAC नियंत्रण जोड़ें और लॉग रिटेंशन नीति लागू करें, घटना टेबलटॉप चलाएँ।
पूर्ण रोलआउट (8–12 सप्ताह): साइट के अनुसार चरणबद्ध; अनुमोदन में लगने वाला समय और सपोर्ट टिकटों की निगरानी करें। रिपोर्टिंग को स्वचालित करें ताकि दिखाया जा सके कि किसने कौन-सी डिवाइस कब अनुमोदित की।

कब रिले को स्वयं होस्ट करें

रिले का स्वयं होस्ट करना तभी उचित ठहराया जा सकता है जब कोई विशिष्ट, लिखित आवश्यकता तृतीय-पक्ष इन्फ्रास्ट्रक्चर का उपयोग रोकती हो (उदा. कानूनी, सर्वभौम-क्लाउड दायित्व, एक एयर-गैप्ड नेटवर्क). यदि आप स्वयं होस्ट करते हैं तो आपको मल्टी-रीजन फेलओवर, प्रमाणपत्र जीवनचक्र, लॉग रिटेंशन और सुरक्षा ऑप्स के बोझ के लिए बजट बनाना होगा। स्वयं होस्ट करने पर क्या टूटता है इसके संदर्भ के लिए पढ़ें स्वयं-होस्टेड रिमोट डेस्कटॉप: क्यों, कैसे, और क्या टूटता है.

स्वचालित डिवाइस सेटअप — एक अप्रूवल के साथ बिना निगरानी