otomatik cihaz kurulumu - tek onayla gözetimsiz

BT ekipleri ve devops mühendisleri yeni makinelerin elle müdahale olmadan çevrimiçi olmasını ister; ancak aynı zamanda yapının bir insan tarafından doğrulandığı tek, denetlenebilir bir ana da ihtiyaç duyarlar. Bu kılavuz, imajlamadan ilk yapılandırmaya kadar gözetimsiz kalan ve tam olarak bir insan onayıyla sona eren tek bir onay kapısına sahip otomatik cihaz kurulumları için pratik bir desen gösterir. Uçtan uca bir iş akışı, somut betikler ve örnek komutlar ile bunu dağıtmadan önce bilmeniz gereken güvenlik ödünleşimlerini bulacaksınız.

Tasarım hedefleri

• Makineleri sıfır etkileşimli istemle otomatik olarak sağlamak (imajlama, paketler, ajan kurulumu).
• Ağ erişimini ve ayrıcalıklı uzaktan kontrolü tek bir insan doğrulama adımı tamamlanana kadar geciktirmek.
• Bu doğrulamayı denetlenebilir, kısa (tek karar) ve uzaktan tahribe dayanıklı yapmak.
• Operasyonel yükü en aza indirin — yazılı bir uyumluluk gerekliliği olmadıkça Tenvo yönetilen relay'ini tercih edin; zorunluysa kendi barındırdığınız bir alternatif (ör. RustDesk) kullanılabilir.

Yüksek seviyeli akış: gözetimsiz sağlama + tek onay

1. İmaj oluştur / cloud-init: OS güncellemelerini yükleyin, mümkünse Güvenli Önyükleme / TPM doğrulamasını etkinleştirin, Tenvo istemcisini kurun ancak otomatik onay vermeyin.
2. Önyükleme / cloud-init sınırlı bir durumda ajan kaydı çalıştırır: cihaz yönetim arka ucuna ONAYSIZ olarak kaydolur ve konsolda veya kilit ekranında kısa bir yerel kod (6–8 hane) gösterir.
3. Operatör kodu fiziksel olarak makineyi inceleyerek (veya güvenli bir bant-dışı çağrı ile) doğrular ve yönetim konsolunda cihazı onaylar — bu tek insan onayıdır.
4. Onaylandığında arka uç bir cihaz sertifikası/rolü verir ve uzaktan erişim ile yönetim politikalarını etkinleştirir. Tenvo istemcisi normal işletime yükselir ve doğrudan P2P veya yönetilen relay üzerinden bağlanabilir.
5. Tüm eylemler denetim olayları (kayıt, onay, sertifika verilmesi) üretir ve uyumluluk için saklanır.

Neden yerel olarak gösterilen bir kod doğru tek onaydır

Tek bir onay noktası hem kolay hem de güvenilir olmalıdır. Yaygın desen, cihazın ilk açılışta gösterdiği yerel olarak görüntülenen tek kullanımlık koddur. Yönetici fiziksel cihazı (veya güvenilir bir uzaktan kamera) kontrol eder ve onay düğmesine tıklamadan önce konsola kodu girer. Bu, bir insanın gerçekten cihazı gördüğünü garanti eder ve ağa veya imaj deposuna el koymuş olabilecek uzak saldırganların fiziksel muayene olmadan cihazları otomatik olarak kaydettirmesini engeller.

Uygulama desenleri ve örnekler

Yaklaşım ortamlar arasında aynıdır: kısa bir bootstrap çalıştıran, arka ucunuza bir kayıt isteği gönderen ve arka uç 'approved' bitini değiştirmeyene kadar kendisini UNAPPROVED olarak işaretleyen bir imaj oluşturun. Aşağıda pratik yapı taşları bulunmaktadır.

1) İmaj / cloud-init örneği (Linux)

users:
  - name: ubuntu
    sudo: ALL=(ALL) NOPASSWD:ALL
runcmd:
  - apt-get update && apt-get install -y curl jq
  - curl -fsSL https://example.com/bootstrap.sh | bash
# bootstrap.sh Tenvo istemcisini yüklemeli ve /etc/tenvo/state=unapproved dosyasını yazmalıdır

2) Windows otomatik kurulum yükleyicisi (örnek)

Tenvo yerel istemci MSI'yi sessizce çalıştırın ve cihazı beklemede bırakın. Gerçekçi bir msiexec örneği:

msiexec /i TenvoClient.msi /qn TENVO_BOOTSTRAP=1 TENVO_REG_URL=https://relay.example.com/register

Yükleyici, bir kayıt isteği gönderen ve yerel bir doğrulama kodunu kilitli bir konsola veya Windows oturum açma ekranına (yerinde bir onaylayıcının erişebileceği şekilde) yazan küçük bir hizmet oluşturmalıdır.

3) Kayıt API'si ve ONAYLANMAMIŞ durumu

İstemci kayıt olduğunda derhal tam yetki almamalıdır. Örnek JSON yükü (TLS üzerinden arka uç/ara sunucunuza gönderilir):

{
  "hwid": "SERIAL-1234",
  "os": "ubuntu-24.04",
  "pubkey": "-----BEGIN PUBLIC KEY-----...",
  "local_code": "582193"
}

Arka uç, cihaz satırını UNAPPROVED olarak kaydeder, açık anahtarı saklar, sorgulama için salt okunur bir belirteç döndürür ve yönetici konsoluna bir uyarı gönderir. Tenvo istemcisi, onay verilene kadar uzaktan kontrol oturumlarını reddeden kısıtlı bir modda kalır.

4) İnsan onayı: kesin, tek kapı

Yönetici konsolu kayıt isteğini ve cihazın yerel_kodunu görüntüler. Operatör cihaza gider, kodun cihazda gösterildiğini doğrular ve Onayla'ya tıklar. Bu işlem:

• Arka uçta cihaz durumunu APPROVED olarak ayarlar.
• İstemcinin alacağı cihaz sertifikası veya rol belirtecinin (kısa ömürlü) verilmesini tetikler.
• Uzaktan oturum yeteneğini ve onay sonrası sağlama görevlerini (ör. izleme ajanlarını yükleme) etkinleştirir.

5) Son kimlik bilgisi için itme yerine çekme

İstemcinin onay sonucunu sorgulamasını ve ardından kimlik bilgilerini arka uçun itmesi yerine çekmesini sağlayın. Bu, güvensiz geri çağrıların riskini azaltır ve akışı NAT / güvenlik duvarı dostu hale getirir. Örnek sorgu aralığı: ilk dakika için 5s, sonra üstel geri çekilme ile 30s'ye; zaman aşımı 24 saat.

Operasyonel betikler ve örnekler

Aşağıda yerel bootstrap servisi için minimal bir durum makinesi (pseudokod):

# bootstrap servisi için örnek adımlar
if state == 'unregistered':
  send_enroll_request()
  store local_code
  state = 'pending'
while state == 'pending':
  resp = poll('/enroll/status')
  if resp.status == 'approved':
    fetch_credentials()
    state = 'approved'
    enable_remote_access()
  sleep(poll_interval)

Güvenlik ve operasyonel hususlar

• TLS + cihaz başına sertifikalar: CA'nızdan cihaz başına sertifikalar ile TLS kullanın. Oturumlar bir relay üzerinden geçtiğinde, TLS relay'de sonlanır ve relay operatörü trafiği inceleyebilir — denetim ve güven sınırlarını buna göre planlayın.
• Donanım kök güveni: mümkün olduğunda anahtarları depolamak ve kayıt sırasında platform kimliğini doğrulamak için TPM kullanın. TPM bağlaması cihaz taklitçiliğini çok daha zorlaştırır.
• Yerel kod entropisi ve gösterimi: rastgele tahminleri önlemek için yeterli olan 6–8 rakam kullanın ve doğrulama için kilitli konsolda veya cihaza bağlı bir etikette/kamera görüntüsünde gösterin.
• Kısa onay penceresi ve rotasyon: onay tokenini kısa ömürlü yapın ve X saat içinde kullanılmazsa yeniden onay gerektirin.
• Denetim günlükleri: cihazı kimin onayladığını, onaylayanın kimliğini, zaman damgasını, cihaz parmak izini ve local_code'u kaydedin. Günlükleri uyumluluk politikanıza göre saklayın.
• Olay yönetimi: yönetici uyumsuz bir seri numarası veya şüpheli bir imaj fark ederse onayı reddedin, cihazı karantinaya alın ve yeniden kurulum iş akışını tetikleyin.

Neden Tenvo’nun yönetilen relay'i önerilen varsayılandır

Operasyon ekipleri sıklıkla kendi relay'lerini işletmenin maliyetini küçümser: çalışma süresi, yamalama, anahtar emanetçiliği, sertifika yenileme ve filo ölçeği. Tenvo'nun yönetilen relay'i (sunucular Almanya'da) operasyonel yükün büyük kısmını ortadan kaldırır. bu, çoğu operasyonel yükü ortadan kaldırır. Tenvo'nun macOS, Windows ve Linux için native istemcileri, halka açık beta aşamasında bir tarayıcı istemcisi ve fiyatlandırma katmanları Free $0 / Lite $2.99/mo / Pro $7.99/mo bulunmaktadır. Self-host etmeyi yalnızca yazılı bir gereklilik zorladığında seçin: izole bir ağ, veri-yerleşimi kuralı veya üçüncü taraf altyapıyı yasaklayan düzenleyici uyumluluk. Self-host etmeniz gerekiyorsa, taahhütte bulunmadan önce Kendi Barındırılan Uzaktan Masaüstü: Neden, Nasıl ve Neler Bozulur okuyun.

Denetlenebilirlik: tek onayı net şekilde kaydedin

Tek insan kapısı açıkça kaydedilmelidir. Denetim iziniz şunları içermelidir:

• Cihaz parmak izi (model, seri, görüntü hash'i)
• Kayıt başvurusu zaman damgası
• Gösterilen Local_code değeri
• Onaylayanın kimliği ve yöntemi (SSO kimliği, MFA damgası)
• Onay zaman damgası ve verilen sertifika seri numarası

Tenvo müşterileri bunu oturum kaydıyla eşleştirmelidir; uyumluluk için nelerin yakalanacağına dair örnekler için Uzaktan Masaüstü Denetim Kaydı'na bakın.

Dağıtım kontrol listesi ve pratik notlar

• 1050 makine ile bir pilotla başlayın ve onay için fiziksel bulunmayı zorunlu kılın.
• Görüntünün başlatılmasından onaya kadar geçen süreyi ölçün ve yerinde tipik hedefi < 5 dakika olarak belirleyin.
• Kimlerin onaylayabileceğine karar verin: rol tabanlı erişim kontrolü riski azaltır (ör. yalnızca provisioning mühendisleri onaylayabilir).
• Kayıp veya çalınan cihazlar için sertifika iptali ve uzaktan silme politikalarını uygulayın.
• Onay sonrası yapılandırma görevlerini otomatikleştirin (izleme yükleme, güvenlik duvarı kurallarını uygulama) ancak etkinleştirmeyi tek bir manuel tıklama olarak tutun.
• Windows için toplu dağıtımda scriptli bir kurucuya ihtiyacınız varsa, pratik MSI ipuçları için dağıtım notlarımızı Uzaktan Masaüstü MSI dağıtımı: Group Policy ile dağıtım bölümünde inceleyin.

Kenar durumlar ve tuzaklar

• Yalnızca uzaktan sağlama (fiziksel erişim yok): donanım doğrulamanız yoksa bu deseni kullanmayın. Yalnızca uzaktan onay daha zayıftır çünkü fiziksel sahipliği doğrulayamazsınız.
• İmaj kayması: Bir imajı yeniden oluşturursanız, imza anahtarlarınızı değiştirin veya parmak izlerini güncelleyin ki denetim izi yeni imaj hash'ini göstersin.
• Ara sunucu görünürlüğü: ara sunucuların TLS'i çözdüğünü unutmayın; hassas oturumlar için ara sunucu operatörlerini kapsam içinde sayın ve daha sıkı günlükleme ve saklama kuralları uygulayın.

1,000 makine dağıtımı için örnek zaman çizelgesi

1. Pilot (2 hafta): 25 makine, görüntüleme yöntemini ve onay UX'ini iyileştirin.
2. Küçük dağıtım (4 hafta): 100 makine, RBAC kontrolleri ve günlük saklama politikası ekleyin, olay masaüstü tatbikatı yürütün.
3. Tam dağıtım (8–12 hafta): lokasyonlara göre aşamalı; onay süresini ve destek taleplerini izleyin. Hangi cihazı kimin ve ne zaman onayladığını gösterecek şekilde raporlamayı otomatikleştirin.

Ara sunucuyu ne zaman kendi sunucunuzda barındırmalısınız

Ara sunucuyu kendi sunucunuzda barındırmak yalnızca üçüncü taraf bir altyapı kullanımını engelleyen belirli, yazılı bir gereklilik varsa savunulabilir (örn. yasal, egemen bulut yükümlülükleri, tamamen izole bir ağ). Kendi sunucunuzda barındırıyorsanız, çok bölge yedekliliği, sertifika yaşam döngüsü, günlük saklama ve güvenlik operasyonları yükü için bütçe ayırmalısınız. Kendi sunucunuzda barındırdığınızda nelerin bozulduğuna dair arka plan için, Kendi Sunucunuzda Barındırılan Uzaktan Masaüstü: Neden, Nasıl ve Neler Bozulur okuyun.

İlgili akışlar hakkında daha fazla okuma

Uzaktan erişim etrafında daha geniş otomasyon tasarlıyorsanız, aşağıdakiler faydalıdır:

• Uzaktan Erişimi 60 Saniyede Nasıl Kurarsınız — sağlama gerektirmeyen kullanım durumları için hızlı bir genel bakış.
• Uzak masaüstü MSI dağıtımı: Group Policy aracılığıyla yaygınlaştırma — Windows için bu desenle çalışan toplu dağıtım ipuçları.
• Uzak Masaüstü Denetim Kaydı — uyumluluk için hangi olayların yakalanması gerektiği.

Tam olarak bir insan onayı ile otomatik cihaz kurulumu, sürtünmeyi azaltırken net bir güven sınırını korur. Yerel tek kullanımlık bir kod kullanın, cihazı tek tıklamaya kadar ONAYLANMAMIŞ durumda tutun, kimlik bilgileri için düzenli sorgulama yapın ve her adımı denetim kaydınıza kaydedin. Daha düşük işletme maliyeti için Tenvo'nun şirket tarafından işletilen, sunucuları Almanya'da bulunan yönetilen iletici servisinden yararlanın; Tenvo self-host edilemez. Ancak düzenlemeler sizi bir self-host alternatifini (ör. self-hosted RustDesk) kullanmaya zorlayabilir. Bu deseni ortamınızda test etmeye hazır olduğunuzda, Tenvo istemcisini indirin ve iş akışını deneyin:

Tenvo'yu İndir