Веб-консоль: полный справочник

Консоль: веб-интерфейс управления парком машин с ИИ-помощником. Сводки, чаты, задачи, инфраструктура, библиотека. Отдельных программ на рабочем месте не нужно, все открывается в браузере.

01Знакомство

Машины (Windows и Linux) получают легкого агента, который по защищенному каналу подключается к мосту и выполняет задачи локально. Консоль не исполняет команды сама: она ставит задачи в мост, а выполняет их агент на машине.

Что умеет консоль: живая сводка по каждой машине, чат с ИИ на русском языке (диагностика и действия по политике), группы и отображаемые имена машин, настройка провайдеров модели, карта серверов с разведкой по сети, библиотека готовых решений и подтверждение строгих команд оператором.

02Вход и выход

Консоль работает на отдельном адресе со своим паролем. Адрес и пароль выдает администратор: страница входа открывается прямо по адресу, вводите пароль и работаете. Соединение шифрованное: консоль поднимает свой сертификат либо берет его у центра сертификации моста. Пароль один на консоль, отдельных учетных записей нет.

Кнопка «Выйти» в шапке завершает сессию. Если сессия истекла, консоль сама покажет экран входа, а введенный текст и выбранная машина сохранятся в адресе страницы.

Сессия живет 12 часов с момента входа и закрывается после 30 минут простоя: закрытая вкладка не оставляет открытой двери. Продление активности абсолютный срок не сдвигает, раз в сутки вход нужен заново.

• пароль хранится в конфигурации консоли, а сессии — в базе с правами 0600; в браузере только куки сессии; в базе лежит sha256 токена, а не сам токен, поэтому копия базы (ее снимают в «Настройках» и скачивают оттуда) входа в консоль не дает;
• «Настройки» → «Доступ к консоли»: видно, сколько сессий открыто сейчас, и есть кнопка «Выйти на всех устройствах» — на случай, если пароль мог увидеть кто-то еще;
• не передавайте пароль никому и не вводите его в чаты: оператору он не нужен;
• адрес консоли не публикуется на сайте и не индексируется: это внутренний инструмент;
• при установке у себя адрес консоли ваш собственный, по умолчанию порт 7444 на сервере моста.

Лицензия и активация

Мост работает по лицензионному ключу, и консоль показывает его состояние со стороны моста. Пока ключ не принят, вместо интерфейса открывается экран «Нужна лицензия»: вставьте строку SA1-… из письма или выберите файл .lic, нажмите «Активировать». Ключ проверяется на мосту, офлайн, и привязан к отпечатку моста: для выпуска нового ключа сообщите поставщику отпечаток — он есть на этом же экране и в «Настройках» → «Лицензия», кнопка «Отпечаток» копирует его целиком.

• состояния: «активна», «истекает» (меньше 30 дней), «льготный период» (срок кончился, но идет льгота), «срок истёк», «окно активации истекло», «ключ от другого моста», «часы сбиты», «ключ не принят», «ключа нет»;
• пока лицензия заблокирована, работает только ввод ключа: мост отвечает кодом 402, агенты получают отказ, повторяют опрос и сами возвращаются в строй сразу после активации — переустанавливать парк не нужно;
• в «Настройках» → «Лицензия» видно число машин в ключе и сколько занято, срок и последний день активации; если машин в парке больше, чем в ключе, чаты, задачи, история и заявки закрываются, пока лишние машины не удалены: полоса «парк больше лицензии» ведет прямо к списку;
• «часы сбиты» появляется, если время на сервере моста откатили назад: мост запоминает максимальное виденное время. Верните точное время — состояние снимется само.

03Машины: список и сводка

Слева парк, сгруппированный по группам. У каждой машины имя, статус (онлайн или офлайн) и краткая информация. Клик по машине открывает ее консоль: сводку системы и чат с ИИ.

Сводка

Карточки сводки: ОС и время работы, процессор (модель, нагрузка), память, диск, сеансы. Эти данные агент присылает сам. В шапке машины — три кнопки:

• Обновить перечитывает данные с моста;
• Экран снимает снимок активного сеанса машины;
• «…» — меню действий с машиной: переименование, группы, удаление, отзыв сертификата, отладочные выгрузки.

Сводка, чат, задачи, история, заявки и навыки — вкладки под шапкой.

• Удалить машину (меню «…») полностью убирает ее: агент самоудалится с устройства, запись снимется с моста.
• Отозвать сертификат (меню «…», с обязательной причиной) — для случая «ноутбук украли». Машина остается в парке, с задачами и историей, но ее сертификат больше не пускается: мост отклоняет рукопожатие, а повторная установка агента под тем же именем не проходит. Уже открытая сессия агента доживет до конца срока своего сертификата, поэтому после отзыва сразу перезагрузите машину или смените ее пароль. Карточка помечается красной плашкой «отозвана», рядом же в меню — «Вернуть сертификат».

Сводки может не быть («нет данных»), если агент только что установлен или машина офлайн: данные появятся после первого ответа агента.

Страницы консоли

В рельсе слева — разделы: «Провайдеры ИИ», «Инфраструктура», «Карта сети», «Инциденты», «Библиотека решений», «Настройки»; разведка открывается из карточки сервера. Это обычные разделы, а не окна: переключение кнопками рельса, у каждой есть кнопка «к машинам», Esc возвращает к консоли машин. Клик по машине в списке всегда возвращает в ее консоль или чат.

04Чат с машиной

Напишите машине по-русски, что сделать: «покажи диск», «что с памятью?», «проверь обновления». ИИ сам решает, какие команды выполнить и какие задачи поставить агенту, все под политикой машины.

Последовательный ответ по шагам

Ответ выводится строго по порядку: текст ИИ, блок отправленной задачи (что именно выполняется и какой статус), снова текст ИИ, следующая задача. Статусы задач: ожидает, выполняется, готово, ошибка и «нужно подтверждение»: задача из строгого списка ждет вашего решения.

Прямые режимы

Над полем ввода есть подсказка о двух режимах, минуя модель:

• /команда выполнить напрямую в режиме чтения;
• !команда выполнить как изменение; строгие команды все равно потребуют подтверждения.

Ответ и задачи приходят потоком, разметка поддерживается: списки, код, таблицы. История чата хранится на сервере и подгружается при открытии; кнопка очистки в шапке удаляет историю и контекст этой машины.

Навыки машины

Вкладка «Навыки» — markdown-файлы с инструкциями, которые вы добавляете конкретной машине. Это не общая память парка (для нее есть «Библиотека решений»), а правила для ИИ именно здесь: «этот сервер терминальный, перезагрузку согласовывать со мной», «на бухгалтерских ПК не трогать 1С», «на веб-серверах сначала смотреть nginx, потом систему».

• Импортировать .md — выбрать один или несколько файлов (.md, .markdown, .txt); название берется из первой строки # Название, а если ее нет — из имени файла;
• Вставить текст — то же самое руками, с полем названия;
• Удалить — в раскрытом навыке.

Навыки уходят в системный промпт чата этой машины последним блоком, поэтому ИИ видит их с первого сообщения. Повторное добавление файла с тем же названием обновляет навык, а не плодит второй: двух версий одной инструкции в контексте не будет. Пределы: 32 КиБ на файл, 96 КиБ и до 24 файлов на машину; в контекст попадает не больше 24 КиБ — если навыки не влезли, ИИ прямо скажет об этом, а не получит молча обрезанный текст.

05Группы и имена

Парк слева сгруппирован под заголовками. Первично группы приходят из групп агентов, они задаются при установке кодом подключения. Дальше каталогом управляет оператор:

• «+ группа» в шапке списка создает новую группу;
• меню у заголовка группы переименовывает или удаляет ее (машины уходят в «Без группы»);
• карандаш у машины переименовывает ее на месте: меняется только отображаемое имя, техническое имя не трогается, чаты и команды по-прежнему идут по нему;
• стрелки у машины перемещают ее в другую группу: существующую, «без группы» или новую на лету.

Отображаемые имена и заголовки групп видны и в шапке консоли машины, и в чате. Каталог хранится в базе консоли и общий для всего парка.

06Провайдеры моделей

За ответы в чатах отвечает активный провайдер модели. Реестр редактируется на странице «Провайдеры ИИ»: список, добавление, правка, удаление, переключение активного и проверка связи кнопкой «Проверить».

Подходят любые программные интерфейсы, совместимые с форматом OpenAI:

• облачные: DeepSeek (https://api.deepseek.com/v1), OpenAI, OpenRouter и другие, нужен ключ;
• локальные: Ollama, LM Studio, vLLM (http://127.0.0.1:11434/v1), ключ не нужен. Подходит, когда парк не должен ходить в интернет.

Правила

• ключи хранятся в базе консоли и наружу не отдаются: список показывает только факт наличия ключа; при правке пустое поле означает «не менять»;
• активного провайдера можно переключить в один клик; удаление активного оставляет реестр пустым, и чаты начнут отвечать «настройте провайдера»;
• если ключ или адрес неверны, «Проверить» покажет ошибку связи до переключения.

07Домен и контекст сети

Страница «Инфраструктура», блок «Домен» описывает окружение: имя домена, администратор, пароль и примечание. Когда домен включен, эта информация попадает в контекст каждого чата: ИИ знает, что работает в домене, и корректно формулирует команды.

Пароль домена

Пароль администратора хранится только в базе консоли. Модели, агенту и журналу он не передается, в команды его вписывать нельзя: он попал бы в историю чата и журнал задач. Пустое поле при сохранении означает «не менять сохраненный».

Как ИИ входит на серверы домена

Рабочие входы обходятся без пароля в командах:

• служба агента под доменной учетной записью: на машине-анализаторе запустите службу агента от имени доменного администратора (оснастка служб, «Вход в систему», «С учетом»). Тогда из ее контекста работают удаленные вызовы и запросы к каталогу без пароля;
• заранее настроенные ключи защищенного входа на Linux-целях;
• иначе ИИ скажет, чего не хватает, и даст готовые команды, которые оператор выполнит на сервере вручную.

Примечание в карточке домена видно модели: туда удобно вписать схему сети, например «сеть 192.168.1.0/24, около 40 рабочих мест». Правки домена действуют сразу, без перезапуска консоли.

08Инфраструктура и карточки серверов

Раздел «Инфраструктура» описывает офис, а не отдельную машину: домен, сегменты сети и карточки серверов. Агента на сервере может не быть, и карточка всё равно полезна: по ней консоль знает, что это за машина и к кому идти с её проблемами.

Разведка сервера: одна кнопка

Кнопка «Разведка» в карточке запускает на машине парка готовый сценарий, только на чтение. Консоль сама выбирает, с какой машины идти к цели: приоритет у машины на связи из того же сегмента. Сценарий выясняет имя машины и версию ОС по файлу ядра на административной папке C$ (без WMI, который на Windows 10 и 11 обычно закрыт), службы через sc.exe по SMB, установленные программы по каталогам Program Files, открытые порты и каталоги-признаки: SYSVOL и NETLOGON у контроллера домена, inetpub у веб-сервера, 1cv8 у сервера 1С.

Что прочитать не удалось, попадает в отчёт отдельной строкой «замечание»: консоль не дополняет отчёт догадками: чего прочитать не удалось, так и написано. Итог открывается окном: роли машины, почему так решено и куда идти с типовыми проблемами этой роли.

Библиотека, раздел «Инфраструктура»

Каждая удачная разведка оставляет запись в Библиотеке решений, раздел «Инфраструктура». Запись отвечает на вопрос, что в этой сети за что отвечает: адрес и имя, роли, факты и по каждой роли — куда идти. Повторная разведка обновляет ту же запись, а не создаёт дубликаты.

09Карта сети: установка и диагностика

«Карта сети» это отдельный раздел меню. Здесь всё, что требует доступа к машинам без агента: скан сегментов, установка, диагностика и массовая установка. «Инфраструктура» отвечает за настройки и карточки, «Карта сети» за действия.

• сканирование сейчас: веерный поиск включённых машин по сегментам (опрос доступности 700 мс на хост, обратное разрешение имён, NetBIOS, порты 445 и 135 у Windows, 22 у Linux), только чтение, учётные данные не нужны;
• таблица «адрес, имя, ОС, агент» с отметкой, живой ли агент;
• «Установить» ставит агента на машину без агента;
• «Диагностика» объясняет, почему установка не идёт;
• «Массовая установка» ставит агента сразу на выбранные машины;
• «В серверы» заводит карточку в «Инфраструктуре», чтобы потом запустить разведку.

Три пути установки на Windows

Консоль пробует их по очереди и сообщает, какой сработал.

1. Планировщик задач (COM Schedule.Service, RPC 135): разовая задача от SYSTEM запускает штатный установщик, повышение прав без UAC.
2. WMI (Win32_Process.Create): используется, если планировщик закрыт политикой. Уровень аутентификации перебирается от максимального к обычному, потому что после KB5004442 DCOM на Windows 10 и 11 не принимает низкий уровень.
3. Служба через SMB (sc.exe по имени компьютера): нужен только порт 445, ни RPC, ни WMI. Служба с одноразовым именем запускает установку и сразу удаляется.

Пароль доменной учётки и текст установщика передаются отдельными полями окружения задачи, поэтому в тексте команд секретов нет и командная строка не упирается в лимит Windows.

Диагностика: почему не ставится

Кнопка «Диагностика» открывает окно с журналом — как у установки: шаги, время, строки отчёта. Сценарий читает цель через машину-анализатор теми же запросами, что и установка, поэтому видно, где именно затык: 445/135, вход по учётке, шара C$, лог установки с самого ПК, задача планировщика.

Когда ни один путь запуска не сработал

Установщик на цели запускается тремя независимыми путями, и в отчёте видно, что ответил каждый: путь A — задача планировщика (135/TCP + RPC), путь B — WMI (135/TCP + DCOM), путь C — служба через SMB (только 445). Ошибки 0x80070032 («такой запрос не поддерживается») и 0x80004002 («интерфейс не поддерживается») на путях A и B — это закрытый RPC/DCOM на цели, а не «нет прав»: откройте групповой политикой правила «Remote Scheduled Tasks Management (RPC)» и «Windows Management Instrumentation (WMI-In)» либо оставьте работать путь C — ему нужны только 445/TCP и права администратора цели.

Диагностика проверяет цель по шагам и печатает отчёт: доступность 445, вход по учётке через SMB-сессию к C$, что отвечает из RPC и WMI, проходит ли создание службы через SMB, есть ли уже агент. В конце подсказка, чего не хватает: достаточно любого из путей, закрыты RPC и WMI, нет прав администратора. Отчёт можно скопировать в заявку.

Массовая установка

Окно партии: галочки по машинам, отдельные учётки для Windows и Linux, предпросмотр. Установка идёт последовательно, по одной машине, до трёх минут на хост, никогда не трогает машины, где агент уже стоит, и показывает живой журнал по каждому хосту. Партия работает в фоне: окно можно закрыть, а когда она закончится, консоль сама покажет итог — плашкой внизу («Установка агентов: 3 из 8»), всплывающим уведомлением и окном со списком машин: что установилось, что нет и почему. То же и у одиночной установки.

Linux

На Linux агент ставится по SSH: логин и пароль или ключ, пароль передаётся на стандартный ввод sudo, сценарий загружается по каналу SSH, а не скачивается через конвейер. Такие машины помечены на карте как linux, установка доступна из того же окна.

10Библиотека решений

Страница «Библиотека» хранит общий каталог проверенных решений, раздельно для Windows и Linux. Программы в инфраструктуре похожи, а проблемы повторяются, поэтому ИИ сначала ищет проверенное решение, а не изобретает заново на каждой машине.

Как это работает

• Контекст: перед каждым ответом в запрос к модели добавляются свежие записи библиотеки ее ОС, плюс инструмент поиска по ключевым словам;
• Автодокументирование: если ИИ несколько раз ошибся при выполнении команды, а потом нашел рабочий вариант, он сохраняет его в библиотеку. Дубликаты по ОС и заголовку не плодятся: запись обновляется;
• Вручную: кнопка «+ Добавить решение», вкладки Windows и Linux, поля: заголовок, проблема, решение, теги.

Библиотека одна на весь парк и хранится в базе консоли: решения, найденные на одной машине, доступны модели на всех остальных. Запись можно удалить. Библиотека жестко разделена по ОС, чтобы ИИ не предлагал команды Linux на Windows.

11Инциденты и правила

Мост следит за парком сам: правило — это порог по метрике, которую агенты и так присылают каждую минуту. Когда порог подтверждён, мост создаёт инцидент — запись в журнале «Инциденты» консоли, а консоль без оператора отправляет его на разбор ИИ. От заявки Ctrl+Alt+H инцидент отличается тем, что заявку пишет человек и ИИ решает его задачу вместе с ним, а инцидент система замечает сама — человека рядом может не быть.

Правило: порог, подтверждение, важность

Правило задаётся на вкладке «Правила» в разделе «Инциденты». Метрики — из той сводки, что агент присылает раз в минуту, плюс две, которые считает сам мост:

Метрику сравниваем с порогом одним из операторов >=, >, <=, <, ==, !=. Второе число — окно подтверждения «2 из 3»: нужно 2 срабатывания в окне из 3 снимков, поэтому одиночный всплеск инцидента не поднимает. Событийные метрики (uptime.drop, users.new, procs.new) срабатывают без окна: перезагрузка — факт, а не среднее. last_seen.age и cert_until.days мост проверяет своим тикером раз в 30 секунд — агент этих чисел не присылает.

Кроме порога у правила есть важность (низкая, средняя, высокая, критическая), пауза между срабатываниями и суточный лимит — чтобы одна и та же проблема не забивала журнал. Есть и общий ограничитель: больше 20 новых инцидентов в минуту мост считает штормом и записи не создаёт.

Шаблоны выключены по умолчанию

В «Правилах» уже лежат 10 заводских правил, но каждое на паузе, пока вы его не включите: порог у шаблона известный, а у вашего парка — свои нормы. Кружок в первой колонке показывает состояние: зелёный с треугольником «play» — правило работает, оранжевый с «паузой» — стоит. Примечание к правилу попадает в задание ИИ отдельной строкой «что проверить по этому правилу», так что его стоит писать под свою инфраструктуру.

Кнопка «Проверить» рядом с правилом — сухой прогон по текущим сводкам парка: покажет, кого правило задело бы прямо сейчас, и не создаст ни одного инцидента. Это способ подобрать порог, не поднимая шум.

Разбор ИИ

Новые инциденты консоль забирает сама (тикер 5 секунд), одновременно идут не больше двух разборов. ИИ работает только чтением: рядом нет человека, который ответит за изменения, поэтому вместо вопроса пользователю у него команды, сводка агента, история задач, журнал аудита, поиск по библиотеке и скриншот сеанса. Итог — вердикт строгим JSON: безопасно, подозрительно, опасно или неясно, плюс что проверили, что нашли и что делать. Разбор ограничен 10 минутами; если консоль не ответила, мост через 15 минут вернёт инцидент в очередь, и он не зависнет в «разбирается» навсегда.

Режим разбора задаётся в правиле: «ИИ разбирает сам» — каждый инцидент уходит в разбор, «только вручную» — по кнопке, «не разбирать» — запись остаётся в журнале без анализа.

Журнал «Инциденты»

Раздел «Инциденты» — фильтры «Открытые», «Все», «Ждут разбора», «Нужен оператор», «Разобранные» и сводка за сутки. Статусы: ждёт разбора, ИИ разбирает, разобрано — а также «нужен оператор» (ИИ не справился или вердикт «опасно»), «ложное срабатывание» и «закрыто». В карточке — снимок машины в момент срабатывания (ЦП, память, диски, процессы), проверки и рекомендации ИИ, улики из журнала аудита и задач.

Действия в карточке: «Продолжить в чате» — тот же разбор, но с человеком и правами; «Разобрать заново», «Примечание», «Ложное срабатывание» (инцидент закрывается как штатный, правило остаётся включённым) и «Закрыть». Машина с открытым инцидентом помечена в списке парка плашкой по важности, а число открытых видно в меню — такие записи не теряются. Правила и открытые инциденты чистка базы не удаляет.

12Политики и безопасность

Политика агента

У каждой машины есть политика выполнения, она задается при установке агента или в его конфигурации:

• чтение: команды, которые ничего не меняют: просмотр, диагностика;
• изменение: установка программ, правка настроек, если входят в разрешенный список;
• строгий список: команды, которые всегда требуют подтверждения оператора: удаление, перезагрузка, смена политики;
• запрет: отклоняются сразу.

Итог по каждой задаче виден в ее блоке: режим, статус и причина, например «разрешено политикой группы» или «требует подтверждения».

Правила безопасности

• повышение прав в консоли только через кнопки «Подтвердить» и «Отклонить», никаких скрытых повышений;
• пароли домена и ключи провайдеров лежат в базе консоли и не отдаются ни в текст запроса, ни наружу; список показывает только факт наличия ключа;
• агенту нельзя вводить интерактивные пароли: входы настраиваются заранее ключами и доменными учетными записями;
• служба агента на Windows и Linux запускается под ограниченной учетной записью, чат и журнал задач хранятся на стороне управления;
• отзыв сертификата — отдельное состояние, не удаление: запись, задачи и история остаются для разбора, а вход закрывается и для сертификата, и для переустановки под тем же именем (мост отвечает 403 на enroll);
• сессии консоли: 30 минут простоя, 12 часов абсолютного срока, в базе sha256 токена, кнопка «Выйти на всех устройствах» в «Настройках»;
• действия принимаются только со страницы самой консоли: запрос, отправленный с чужого сайта (подделка формы), отклоняется, вместе с ним отменяется и «тихая» постановка задач от имени оператора;
• секреты маскируются в журнале: значения, выданные задаче из хранилища секретов, заменяются меткой «секрет» — даже если то же значение вписали прямо в текст команды, в аудите и истории задач его не останется. Значения, которые из хранилища не выдавались, мост не знает и замаскировать не может: пароли в команды вручную не вписываются, они берутся из хранилища секретов.

13Добавление новых машин

Новую машину подключает одна команда с публичной страницы вашего моста (порт 7480): там всегда лежит готовая команда с уже подставленным адресом. Код подключения берется в веб-консоли («Инфраструктура» → «Сеть парка») и подставляется вместо <код>: в раздаваемом установщике его нет, потому что страница публичная, а код — ключ в парк. Тот же путь доступен из разведки сервера и из «Сети парка» — там код подставляется сам. Ниже команды для наглядности: замените адрес на адрес своего моста.

Linux

curl -fsSL http://адрес-моста:7480/install.sh | OA_CODE=<код> bash

Без прав суперпользователя установка идет в пользовательском режиме, с sudo ставится системная служба. Надежнее скачать файл и запустить его: curl -fsSL http://адрес-моста:7480/install.sh -o /tmp/install.sh, затем sudo OA_CODE=код bash /tmp/install.sh. Переменные: OA_NAME имя машины, OA_CODE код подключения (обязателен), OA_MODE=system|user режим, OA_BASE адрес другой раздачи.

Windows

Командная оболочка от имени администратора: установка регистрирует службу и требует прав администратора.

$env:OA_CODE="<код>"; irm http://адрес-моста:7480/install.ps1 | iex

После установки

Скрипт скачивает агента и сертификат с того же сервера, настраивает службу и подключает к мосту по защищенному каналу. Машина появляется в списке парка, группа берется из кода подключения, сводка появляется после первого ответа агента. Установка, запущенная вручную по коду, приходит неподтвержденной: задач такой машине не ставится, пока оператор не нажмет в ее карточке «Разрешить машину». Установки из «Сети парка» и разведки сервера подтверждаются сами. Агенты обновляются сами: каталог раздачи проверяется автоматически, новая версия скачивается со своего моста, сверяется по контрольной сумме и по подписи издателя, и парк переходит на нее без участия оператора.

14Быстрый старт: полный сценарий

1. Войдите в консоль по выданному адресу. Если вместо входа открылся экран «Нужна лицензия», вставьте ключ — без него мост не пускает дальше (глава 02).
2. Проверьте, что машины парка онлайн; при необходимости добавьте новую командой со страницы своего моста.
3. Откройте машину, перейдите в чат и попросите сводку («что с памятью?»), посмотрите, как ответ идет по шагам с блоками задач.
4. На странице «Провайдеры ИИ» убедитесь, что активен нужный провайдер: облако или локальная модель. При необходимости переключите и нажмите «Проверить».
5. Заведите домен, если парк в домене, и добавьте серверы в карту: адрес цели и машина-анализатор.
6. Нажмите «Разведка» у сервера: ИИ изучит цель по сети, даст ИТОГ и спросит про установку агента. Согласие развернет агента на сервере, карточка получит поле «машина на сервере».
7. Сгруппируйте машины и задайте отображаемые имена; полезные исправления ИИ складывает в библиотеку автоматически.