Aprovació de dispositius i claus d'alta: pas a pas
Per donar d'alta el portàtil d'un tècnic a prialo, un administrador emet una clau d'alta d'un sol ús amb caducitat, el portàtil s'hi uneix amb prialo install i queda pendent d'aprovació manual. El dia que el tècnic marxa, s'elimina aquell dispositiu, es revoquen les claus vigents i el registre d'auditoria ho documenta.
Com funcionen juntes les claus d'alta i l'aprovació de dispositius a prialo
Cada dispositiu de prialo té el seu propi parell de claus WireGuard i no hi ha usuari ni contrasenya a la ruta de dades. La clau d'alta només serveix per presentar un dispositiu nou al servidor de coordinació; a partir d'aquí s'identifica per la seva pròpia clau, i això és el que l'administrador elimina quan s'acaba l'accés.
Les claus d'alta de prialo poden ser d'un sol ús o reutilitzables, caduquen i es poden revocar abans de la caducitat. L'aprovació de dispositius afegeix un segon filtre: un portàtil que ha presentat una clau vàlida espera fins que un administrador l'aprova. Cada esdeveniment administratiu queda al registre d'auditoria.
Al servei allotjat, l'aprovació manual forma part del pla Teams, a 5 EUR per persona i mes sense IVA, segons els plans i preus de prialo. Al paquet autoallotjat els mateixos controls funcionen al teu propi servidor.
Claus d'alta d'un sol ús o reutilitzables per al portàtil d'un tècnic
Una clau d'un sol ús dona d'alta un dispositiu i queda gastada; una de reutilitzable n'admet tants com calgui fins que caduca o es revoca. La taula les compara per al cas d'aquest article.
| Tipus de clau d'alta | Ús habitual | Si la clau es filtra | Quan revocar-la |
|---|---|---|---|
| Un sol ús, amb caducitat | El portàtil d'un tècnic, donat d'alta una vegada | Com a màxim s'hi uneix un dispositiu, i només abans de caducar | Si el portàtil no es va arribar a donar d'alta, o l'últim dia del tècnic |
| Reutilitzable, amb caducitat | Diversos servidors desplegats en la mateixa sessió | S'hi poden unir dispositius sense límit fins que caduqui o es revoqui | Tan bon punt s'acaba el desplegament |
| Qualsevol de les dues amb aprovació | Malles Teams o autoallotjades que volen una segona comprovació | Els dispositius nous queden pendents fins que un administrador els aprova | Les mateixes regles; aprovar no substitueix revocar |
Per a un tècnic i un portàtil, la regla és una clau d'un sol ús amb caducitat curta, suficient per instal·lar el client aquell mateix dia. Una clau que no s'arriba a fer servir deixa de funcionar sola, de manera que no queda res pendent de netejar.
Alta del portàtil d'un tècnic amb prialo install
El client de línia d'ordres de prialo funciona avui a Linux i macOS; a Windows és una versió preliminar sense instal·lador ni signatura, les apps de Mac i iPhone encara són a la cua de revisió d'Apple i Android està en preparació. En un servidor autoallotjat, el tauler s'obre per un túnel SSH, perquè l'API d'administració del port 8080 no es publica mai a Internet.
- Crear la clau: emet una clau d'alta d'un sol ús amb caducitat curta i anota per a qui és.
- Lliurar-la en privat: envia-la per un canal que només llegeixi el tècnic, mai en un tiquet o xat compartit.
- Instal·lar com a root: el tècnic executa l'ordre següent amb l'adreça del servidor i l'empremta SPKI fixada.
- Comprovar el canal de control: prialo status ha de mostrar 'Control: tls, pinned' i una IP dins de 100.64.0.0/10.
- Aprovar el dispositiu: l'administrador aprova el portàtil pendent al tauler i l'aprovació queda al registre d'auditoria.
- Provar la connectivitat: prialo peers llista els altres nodes i prialo ping <host-or-ip> confirma el camí fins a un servidor concret.
sudo PRIALO_AUTH_KEY='<enrolment key>' prialo install --server=control.example.com:50051 --relay=control.example.com:4430 --tls-pin=sha256:<fingerprint>L'adreça fixa dins de 100.64.0.0/10, l'espai compartit de l'RFC 6598, no xoca amb la xarxa 192.168.x.x de casa del tècnic ni amb una LAN 10.x.x.x d'un client. No s'obre res a cap router: si el camí directe falla, un relay a TCP 4430 reenvia paquets que no pot desxifrar.
Donar de baixa el portàtil d'un tècnic a prialo el dia que marxa
L'accés a prialo pertany a la clau WireGuard del dispositiu, així que la baixa consisteix a eliminar el dispositiu, no a canviar una contrasenya. Es fa al pla de control i no depèn de recuperar el portàtil.
- Eliminar el dispositiu: esborra el portàtil de la malla al tauler perquè la resta de nodes deixi d'acceptar-lo com a parell.
- Revocar les claus obertes: revoca qualsevol clau d'alta, d'un sol ús o reutilitzable, que el tècnic creés o rebés i que continuï vigent.
- Revisar les rutes de subxarxa: només Linux pot fer de router; si el portàtil feia servir Linux i anunciava una LAN, retira aquella ruta aprovada.
- Netejar el portàtil si es retorna: executa prialo down i prialo logout abans d'assignar-lo a una altra persona.
- Llegir el registre d'auditoria: confirma que l'eliminació i cada revocació hi apareixen com a esdeveniments.
On desa prialo les claus d'alta, les aprovacions i l'auditoria
El paquet autoallotjat de prialo són tres contenidors de Docker Compose (servidor de coordinació, relay i PostgreSQL) i el client conserva les claus i la base de dades al seu propi servidor. Sinergia no allotja ni accedeix a aquesta instància; l'article sobre el pla de control autoallotjat detalla ports i còpies.
NIS2 (Directiva (UE) 2022/2555), el RGPD (Reglament (UE) 2016/679) i l'Esquema Nacional de Seguridad (Real Decreto 311/2022) són només context: prialo no té cap certificació en virtut d'aquestes normes. El que ofereix és que noms de dispositius, claus, adreces, polítiques i registres d'auditoria es queden al servidor del client, tal com s'explica a NIS2 i RGPD per a MSP.
Preguntes freqüents
Una clau d'alta de prialo dona accés a la xarxa per si sola?
No. La clau d'alta de prialo només presenta un dispositiu nou al servidor de coordinació. Amb l'aprovació de dispositius activada, el dispositiu queda pendent fins que un administrador l'aprova, i després s'identifica pel seu propi parell de claus WireGuard.
Què passa si la clau d'alta d'un tècnic caduca abans de fer-la servir?
Una clau d'alta de prialo caducada ja no pot donar d'alta cap dispositiu. L'administrador emet una clau nova d'un sol ús i la lliura per un canal privat; la clau caducada no cal netejar-la, tot i que l'esdeveniment continua al registre d'auditoria.
Un tècnic pot donar d'alta avui un portàtil amb Windows a prialo?
El client de prialo per a Windows existeix com a versió preliminar, sense instal·lador ni signatura. El client de línia d'ordres funciona avui a Linux i macOS, les apps de Mac i iPhone són en revisió d'Apple i Android està en preparació.
Cal recuperar el portàtil per donar de baixa un tècnic a prialo?
No. La baixa d'un tècnic a prialo es fa al pla de control: s'elimina el dispositiu i es revoquen les seves claus d'alta vigents. Si el portàtil es retorna, prialo down i prialo logout el deixen net abans de reassignar-lo.
Prefereixes el teu propi servidor? Guia del paquet autoallotjat de prialo