首页

按对象工作：设备 · 会话 · 入口 · 授权。底层仍是同一套 Policy / Session / Ingress。

第一次怎么用

打开身份：创建租户，确认顶栏租户 ID。
打开授权：给技师/用户发能力（desktop、files、exec…），否则远控会被拦住。
打开设备：看在线节点与组网；需要对外网站时去入口。
日常协助：到会话创建或领取 → 在会话内切 Channel（远程桌面 / 终端 / 文件）。
出问题：看本页「平面健康」；到审计查谁做了什么。

顶栏是登录身份（租户 / 主体）。点「退出」清本机登录态。

数据库

—

活跃会话

—

当前租户

—

对象一览

设备可连接节点。组网、临时节点、CA、PQ 都挂在这里；点「协助」进入会话。
会话一次协助。远程桌面、终端、隧道、文件都是同一会话上的 Channel。
入口对外发布：网站穿透（public_https）、Serve、Connector、会话隧道。
授权Grant 唯一策略面；含 JIT、GitOps、Posture 试算、自动化适配。
身份租户、Subject、管理员 RBAC、企业登录、Vault / MDM。
审计统一事件与合规导出、会话录制。

平面健康

Management / Signaling / Relay 等应显示 ok。

加载中…

快速操作

设备

可连接对象：在线 Agent、Mesh 拓扑、临时节点与节点信任。动作可批量下发命令。

在线节点点「协助」会直接创建并激活会话，再打开远程桌面 Channel。组网 / CA / PQ 在「组网与信任」。对外网站请到入口。

Node ID 命令

—

节点	在线	最近

脚本库

可复用命令模板；金丝雀按节点 telemetry tags 匹配 canary_tags；变更窗口为运维说明（不另开调度机）。

名称命令金丝雀标签变更窗口脚本 ID

AI 意图 OS

本地配方匹配意图（对标 Splashtop AI Script）；可选 orb-server.json integrations.ai_url 外置模型。生成后请审阅再金丝雀运行。

ID	名称	命令	金丝雀	窗口

更新分环

环 = Fleet tags → 云帮 channel（非新更新服务器）。解析写入 Agent update.json 的 channel；失败回滚见响应 rollback_hint。

Node ID 或 tags

—

—

MagicDNS（A / CNAME / SRV）

软件记录：record_type=a|cname|srv；CNAME 单跳跟随；SRV 解析首个 target 的 A/AAAA。

Name Type Node ID CNAME SRV port SRV target

主区别名

—

BYOP（自有反代）

租户登记自有边缘反代域名与 token（对标 NetBird BYOP）；边缘机仍是客户资产。心跳 POST /v1/byop/heartbeat。

Name Domain Allow CIDR Proxy ID

—

IPv6 组门闩（dual-stack 灰度）

off|groups|all；groups 时仅 SCIM 组成员 MeshMap 保留 AAAA / ipv6_enabled。

Mode Groups

—

本地 MFA（无外置 IdP）

租户强制密码登录二次 TOTP；未登记时返回 mfa_not_enrolled。对标 NetBird 本地 MFA。

强制 TOTP

—

Mesh SSH check 工单

审批后创建 check_mode ExecJob（__orb_mesh_ssh_check__），只验 Subject→OS 映射。拒绝返回 orb.mesh_ssh.deny.v1。

Session ID Reason Check ID

JWT/映射缓存秒

—

Path 偏好 / 静态 Peer Relay

租户级 PathEngine steer；静态 peer_relay 写入偏好后由 Agent 合并（配置见 orb-agent.json / 租户偏好 API，非环境变量）。

prefer deny cooldown 秒 sticky static peer_relay

—

临时节点（Ephemeral）

短时入网：TTL 到期从 MeshMap 硬删；touch 续期；logout 立即移出。地址默认 100.64.240.0/24。

Hostname TTL 分钟模板

Node ID

—

节点 CA（Node Trust）

租户 Root CA + 节点 enroll 叶证书（Nebula 风格）。Mesh Map 下发 ca_cert_pem；私钥不离库。Mesh Lock 下未 Locked 节点拒绝入网；enroll 成功自动 Locked。

Node ID TTL 天

—

Rosenpass / PQ（Mesh）

租户启用后 MeshMap pq_enabled；两端 Agent 调 /v1/mesh/pq/pair 得同一 WG PSK（HKDF，根密钥不离库）。静态 PSK 写 orb-agent.json 的 rosenpass.psk / rosenpass.psk_file。

Local node Peer node

—

BYOC（客户证书）

上传客户自有材料：node_ca（ECDSA CA，替换租户 Node CA）或 tls_server（Funnel QUIC；租户绑定见控制面 orb-server.json / BYOC 材料 API）。私钥不回显。

Purpose

Cert PEM Key PEM

—

Workload SPIFFE SVID

由租户 Node CA 签发短时 SVID（spiffe://tenant-…/workload/…）；私钥仅本次响应返回。支持列表 / 吊销 / 轮换（同机软件路径，无新 CA 机）。

Workload ID TTL 秒指纹

—

跨租户节点分享

对标 Tailscale node sharing：向另一租户 Subject 签发 TTL Grant + 影子节点 + Directory。

Node ID 对方租户对方用户 TTL 秒

—

会话

一次协助 = 一个会话。列表管理生命周期；下方 Channel 在同一会话里挂远程桌面 / 终端 / 文件。

流程：填设备代码点「协助」→ 自动创建/激活 → Channel 里远控或终端。旁观用「分享旁观」；结束用「强杀」。

设备代码旁观用户 ID

ID	State	Short

支持队列

Requester Short ID

Ticket	State	Requester

会话 Channel

先选会话（列表「打开」或手填 Session ID），再切能力面。全部走同一 Session + Grant。

Session ID 当前路径：— Backend Command

后台动作 OS

—

隧道

Mode Host Port

无客户端 HTTP Proxy：Agent mode=http_proxy 本地 CONNECT；浏览器 HTTP_PROXY 或 PAC（对标 Twingate userspace）。

—

桌面远控（P2P）

优先 WebRTC（DC OrbRC + H.264 RTP＝P2P直连）；失败可回退 HTTP中继 / WebCodecs。路径：— · SFU：—

显示器缩放内容档

键盘布局 IME 无焦点注入提示

参与者 ID 角色

SFU-lite：共享帧扇出；viewer/guest = 只读批注层（无 HID）；owner/controller 可控+可清。压感 → effective_width。

—

入口

对外触达资源：网站穿透（public_https）、Serve / Connector / 会话隧道。角色不同，模型同一 Ingress Catalog。

网站穿透把本机站点经服务器用客户域名暴露；下方「其它 Ingress」覆盖 mesh_publish / edge_ingress / session_tunnel。

新建穿透

名称自定义域名临时预览域（空域名时自动分配）后端类型本机地址本机端口远程上游节点上游探活静态目录 Inline 正文

访客门禁口令 TCP 公网端口限流 RPS CIDR 白名单 CIDR 黑名单

分档限流 tiers (JSON)

Webhook 验签 Webhook Secret OIDC 允许 subject OIDC 拒绝 subject

JWT Secret (HS256) JWT Issuer JWT Audience JWT 允许 sub URL rewrite from URL rewrite to Custom path Custom body 要求 mTLS mTLS 允许 CN CEL deny 表达式 CEL 配方

—

已发布站点

搜索 q tag limit

域名	本机	公网 URL	Agent	门禁/策略

流量 Inspector

环缓冲默认 CAP=2048；长留存点 history（Observability funnel.http）。Replay 需环内 Capture。

站点 ID 过滤 q method status status_class path_prefix hostname min_latency_ms client_ip captured

—

授权

谁能对哪台设备做什么。Grant 是唯一策略面；JIT / GitOps / Posture / 自动化都挂在这里。

Subject ID Subject kind Dst ID Caps 网络层 Flow proto Flow ports peer_addrs

解释 peer proto src_port dst_port

App Caps JSON（可选，优先于 Caps 列表）

Layer=L2 写入 MeshMap routes[].layer 与 l2=true；Agent 按 Map 自动 bridge_up（配置 mesh.l2 / Grant，非环境变量）。Flow proto/ports → routes[].flow，PacketPump 在 AllowedIPs 后按 L4 丢弃（空=仅 CIDR）。「哪条 Flow 丢掉」→ POST /v1/policy/flow-explain。App Caps → MeshMap app_caps → Serve 按对端 IP/Subject 注入 X-Orb-App-Capabilities。

ID	Subject	Dst	Caps

ZTNA 资源目录

默认拒绝：无匹配 Grant 的 kind=resource 对 Subject 不可见。目录树按 folder（或标签 folder:…）分组；收藏按 Subject 进程内持久。

Subject Folder

—

JIT 待审队列

申请 → 审批签发限时 Grant（/v1/policy/jit）。approvals_required=2 时先 L1→pending_l2，再 L2 签发。

Dst Reason TTL(s) Caps 审批级数

ID	Subject	Dst	Reason	TTL	Status

—

Bundle ID Actor 定时 Apply (RFC3339) Replace 现有 gitops/*

bundle.json（含 grants 数组，或完整 {"tenant_id","grants","replace"}）

—

Status	Template	Before	After

At	Bundle	Actor	Applied	Removed	Replace

身份

租户、Subject、管理员权限、企业登录、密钥库与 MDM——统一身份与信任面。

Name	ID	Created

Subjects

Kind ID

Kind	ID	Revoked

Subject Capabilities

ID	Subject	Caps

API Key（可改名 / 改权 / 停用）

自动化密钥：创建时一次性显示 secret；之后可改名、改 caps、停用而不重建。

Name Caps Key ID

—

Vault 密钥

入库只接受一次明文（服务端 AES-GCM）；列表永不回显明文。签出 → 批准 → 注入会话，由 Agent drain_vault_injects 写 ORB_SSH_*/ORB_RDP_*。

Label Plaintext（仅入库）

ID	Label

签出队列

Secret ID Session ID Reason

ID	Secret	Session	Status	Reason

—

MDM / Intune Graph

Graph 同步写入 DeviceTrust（合规 / 磁盘加密 / Defender EDR）。凭证写控制面 orb-server.json 的 Graph/Intune 段。「实时同步」拉 Graph；「fixture」仅离线试跑。Win32 可带服务器本机 intunewin_path 做内容直传。

同步后撤权

AAD Group ID .intunewin 路径（服务器）上传内容

—

白标打包

写入品牌后点构建，生成可下载 ZIP（含 ORB_BRANDING.json / install.cmd）。产物 URL 形如 /v1/delivery/packages/…。

产品名主色平台

—

审计

谁在什么时候做了什么（会话、策略、登录等事件）。

排查强杀 / Grant 变更看这里。合规导出用于 SIEM；录制挂会话。Prometheus /metrics、Flow Logs、/v1/debug/bundle 同机观测。

类别检索 SIEM ID 重试 ID 会话 ID 技师/检索保留天数 Legal hold RBI 检索

笔记标题笔记正文

—