Токены агентов

Токен – учётные данные агента, по которым платформа его узнаёт. У агента один действующий токен, и меняет его сам агент по команде платформы: класть новый токен на машину руками не нужно. Всё о токене агента – в раскрытии его строки на Настройки → Агенты, блок «Токен».

Срок и окно установки

Срок действия токена – год с момента выдачи.

Окно установки. Выданный токен нужно использовать, то есть запустить с ним агента, до срока, который написан под токеном:

• у пользовательского устройства – час;
• у частного агента и роутера – семь суток.

Не успели – токен перестаёт действовать, и нужно выдать новый. Окно ограничивает только первый запуск: после него токен живёт свой год. Поэтому токен устройству выдают, когда человек уже сидит за машиной и готов ставить агента.

Автоматическая смена

Раз в 90 дней и за 30 дней до конца срока агент получает новый токен сам, при очередном опросе платформы. Старый токен перестаёт действовать, как только агент пришёл с новым. Так токен не доживает до конца срока, и следить за датами не нужно.

Автосмена включается и выключается на странице Настройки → Общие, переключатель «Менять токены агентов автоматически». Он применяется сразу, без кнопки «Сохранить».

Когда автосмену выключать

Если файл токена на машинах раскладывает Ansible, MDM или Intune, выключите автосмену: иначе они вернут старый токен, и платформа примет это за кражу. Кнопка «Обновить токен» работает и при выключенной автосмене.

Чтобы агент мог сменить токен сам, он должен читать токен из файла и иметь право этот файл перезаписать. Инструкции установки в окне «Добавить агента» так и делают. Агенты старых версий и приложение на телефоне токен сами не меняют – в блоке «Токен» об этом написано, см. ниже.

Блок «Токен»

Первая строка – «Действует до …». Если до конца срока меньше месяца, рядом стоит «· через N дней».

Вторая строка говорит, откуда нынешний токен и когда следующий:

• «сменён автоматически …», «сменён по кнопке …» или «выдан вручную …»;
• «следующая смена около …» – примерная дата следующей автосмены;
• «автосмена выключена в «Настройках → Общие»», если переключатель выключен.

Кнопки в блоке видит только администратор аккаунта. Остальные видят те же строки без кнопок.

Состояния

Что написано в блоке	Что это значит	Кнопки
срок и строка о смене	обычное состояние: агент сам меняет токен	«Обновить токен», «Отозвать…»
«смена запрошена … – агент получит новый токен при ближайшем опросе»	нажата «Обновить токен» или пришёл срок автосмены; агент ещё не забрал новый	«Обновить токен» неактивна, «Отозвать…»
«не сменён: токен задан не файлом…»	агент запущен с токеном в переменной окружения или в аргументе командной строки	«Обновить токен», «Отозвать…»
«не сменён: агенту не записать файл токена…»	у агента нет права перезаписать файл токена	«Обновить токен», «Отозвать…»
«сам не меняется: агент … этого не умеет»	агент старой версии или телефон	«Выдать новый», «Отозвать…»
«ещё не использован – запустите агента с ним до …»	токен выдан вручную и ещё не поставлен	«Выдать новый», «Отозвать…»
«Действующего токена нет – агент не отчитывается.»	токен не выдавали, отозвали или он истёк	«Выдать»
«Все токены отозваны …»	токен использован с двух мест, см. ниже	«Выдать новый»

Что делать, если токен не сменён, блок пишет сам:

• токен задан не файлом – перезапустите агента с файлом токена (как в инструкциях установки) или выключите автосмену в «Настройках → Общие»;
• агенту не записать файл – на Linux-сервере переустановите агента: установщик перенесёт файл токена туда, куда службе можно писать (см. Установка на Linux); на других машинах дайте службе агента право записи в каталог файла токена – или выключите автосмену, если файл раскладывает Ansible или MDM.

Агенту старой версии блок советует обновиться: после обновления токен будет меняться автоматически. До тех пор токен меняют руками – кнопкой «Выдать новый».

«Обновить токен»

Кнопка нужна, если токен мог утечь, а машина в порядке. Агент получит новый токен при ближайшем опросе, старый перестанет действовать. Ничего ставить на машине не нужно. Пока смена идёт, в блоке написано, когда её запросили и кто.

«Выдать новый»

Кнопка выписывает новый токен и показывает его в блоке один раз с подсказкой: «Скопируйте токен – он показывается один раз. Положите его в файл с правами 600 и запускайте агента с -token-file…». Дальше токен кладут на машину так же, как при установке: на Mac – шаги 2 и 5, на Windows – повторный запуск установщика, на Linux – повторный запуск установщика с новым токеном.

Прежний токен работает, пока агент не придёт с новым, так что агент не простаивает. Новый токен подчиняется тому же окну установки: час у устройства, семь суток у частного агента и роутера.

Если окно закрыли, не скопировав токен, нажмите «Выдать новый» ещё раз.

«Отозвать…»

Окно «Отозвать токен «…»?» предупреждает: агент перестанет отчитываться до установки нового токена. Отзывать стоит, если машина скомпрометирована. Если токен мог утечь, а машина в порядке, вместо отзыва нажмите «Обновить токен» (агенту, который токен сам не меняет, – «Выдать новый»).

Агент с отозванным токеном получает от платформы отказ, перестаёт получать задачи и присылать результаты, пока ему не выдадут новый токен.

Токен использован с двух мест

Если после смены старым токеном воспользовались ещё раз, значит, он есть у кого-то кроме агента. Платформа отзывает все токены агента, в строке появляется замечание «токен использован с двух мест», а в блоке – «Все токены отозваны …» со ссылкой «Инциденты». Агент не отчитывается.

Что делать: проверить машину, нажать «Выдать новый» и поставить новый токен на машину вручную.

Одновременно платформа открывает критический инцидент по системному правилу уведомлений «Безопасность · Токен агента с двух мест». Окна обслуживания его не глушат. Каналы этому правилу назначаются в разделе Уведомления → Правила, как любому системному: без каналов инцидент виден только в списке инцидентов.

Журнал

Действия с токенами записываются в журнал, сам токен в журнал не попадает.

QR-код для телефона

В QR-коде лежит не токен, а одноразовый ключ зачисления. Он действует час и гаснет после первого сканирования. Телефон получает токен уже сам, при регистрации, см. Мобильные устройства.