Siapa boleh akses apa,
dan apakah semuanya bisa dibuktikan.
Role yang ditentukan dari identity provider kamu, policy yang dibatasi per resource, jalan masuk teraudit saat nggak ada yang punya akses permanen, certificate yang ngasih tahu sebelum jebol, dan endpoint MCP yang kena aturan yang sama.
Role menentukan menu apa yang memang boleh muncul, bukan cuma bikin tombol jadi abu-abu.
Tiga role, lima permission,
plus satu akses darurat yang tetap teraudit.
Admin, Partner, dan Tenant ditentukan dari grup yang sudah dimiliki identity provider kamu. Segala hal di bawahnya adalah policy bernama yang kamu tulis sendiri.
Ubah policy, cache yang terkait langsung dibersihkan. Request berikutnya otomatis pakai rule baru.
Policy berbasis rule, konsepnya mirip IAM.
Ada lima permission yang bisa di-scope per cluster, project, atau instance lalu diberikan ke member organisasi. Begitu policy berubah, cache terkait langsung dibersihkan supaya akses baru berlaku saat itu juga.
Satu policy bisa punya banyak rule. Kamu juga bisa set default policy per organisasi supaya tenant baru langsung punya scope yang benar sejak awal.
Membaca resource dan semua yang ditampilkan tabel tentangnya.
Buat, jalankan, hentikan, mulai ulang, dan hapus.
Buka console grafis atau terminal.
Ambil, pulihkan, dan hapus snapshot.
Kirim file ke dalam instance.
Setiap rule menunjuk cluster, project, atau instance tertentu. Jadi akses di-scope ke resource, bukan sekadar ke orangnya.
Group langsung terikat ke environment sejak dibuat.
Grup baru menargetkan node tertentu sebelum hal lain diatur, jadi tim audit atau grup pengembangan menempel pada lingkungan yang benar sejak awal, bukan dikoreksi kemudian.
Pilih tipe resource, tentukan project atau pool-nya, lalu set level akses dari full admin sampai read-only.
Pasang atau cabut sertifikat klien TLS dan ikat identitas OIDC eksternal dari grup itu sendiri, meninggalkan catatan yang terlihat tentang siapa memegang hak apa.
Sertifikat client, unrestricted token, dan pending access request dilacak di seluruh fleet, bukan terpisah per cluster.
Admin nggak punya akses permanen ke console tenant.
Kalau perlu masuk, aksesnya harus sengaja dibuka, dibatasi waktu, diaudit, dan bisa dilihat tenant terkait.
Terhadap cluster tertentu, dengan justifikasi tertulis dan rujukan tiket opsional.
Maksimal 24 jam. Setelah itu akses otomatis selesai, nggak ada akses permanen di belakangnya.
Grant-nya dicatat, begitu juga setiap kali akses itu dipakai.
Tenant terkait bisa melihat grant yang dibuka untuk cluster mereka sendiri.
Akses cluster kamu langsung pakai native client.
User bisa generate sertifikat TLS client sendiri untuk cluster dan project tertentu, dengan level standard/admin dan expiry yang dipilih. Private key disimpan di HashiCorp Vault, bukan di disk, lalu credential bisa di-download sebagai bundle PKCS#12.
Nggak perlu lagi minta operator kirim sertifikat lewat chat.
API untuk tool kamu sendiri.
Buat API key untuk aplikasi eksternal, kasih nama, scope, expiry, lalu revoke kapan saja. Tiap key dibatasi per cluster, level read/write/admin, dan daftar project yang eksplisit. Last used tercatat, secret di-hash pakai HMAC-SHA256 dan nggak pernah disimpan plaintext.
Request di luar scope key langsung ditolak, termasuk kalau ada upaya menyisipkan project lain lewat request path.
Passthrough, tapi tetap ada guardrail.
Tool pihak ketiga bisa akses API LXD lewat passthrough terautentikasi, lengkap dengan method allowlist, request timeout, dan batas request concurrent. User dari sistem eksternal bisa dipetakan ke identity Orcastra dengan permission per cluster, lalu organisasi, member, dan branding bisa disinkronkan lewat channel API key yang sama.
Mode read-only jalanin seluruh dashboard dalam keadaan read-only yang di-enforce, dengan banner yang terlihat, untuk demo dan audit.
Agent itu pemanggil biasa, kena aturan yang sama.
Orcastra menyediakan Model Context Protocol server, jadi AI assistant yang sudah dipakai tim kamu bisa query estate lewat key, capability, dan audit trail yang sama seperti manusia.
Nggak ada model yang jalan di control plane. Orcastra sendiri nggak melakukan inference apa pun.
Bikin API key dan dashboard langsung ngasih config klien MCP di sebelahnya: command-nya, endpoint-nya, dan dua nilai credential-nya.
Satu key ID dan satu secret di tiap request. Nggak ada langkah login dan nggak ada session token yang bisa dipegang atau dibocorkan agent.
Agent mulai dengan cuma bisa nanya apa yang ada. Capability write dan exec itu grant terpisah yang kamu tambahkan dengan sengaja.
Cabut key-nya dan semua agent yang megang langsung berhenti saat itu juga. Catatan perbuatannya tetap ada.
Apa yang bisa dijangkau agent, satu grant per satu grant.
Enam capability, masing-masing diberikan sendiri-sendiri. Dua yang dicentang di bawah itu pasangan awal yang biasa dipakai: cukup buat jawab pertanyaan soal estate, dan nggak bisa ngubah apa pun di dalamnya.
Capability itu nggak berlaku seluruh estate. Key yang sama juga menyebut cluster mana yang boleh dijangkau dan project mana di dalamnya, jadi inventory.read di satu cluster nggak ngasih tahu apa pun soal cluster lain.
Nggak ada capability yang bisa buka graphical console, dan nggak ada yang ngasih break-glass. Masuk ke console tenant tetap keputusan orang bernama dengan justifikasi tertulis.
Request di luar capability atau scope key itu langsung ditolak, termasuk upaya nyelipin project lain lewat jalur request. Penolakannya tercatat sama seperti panggilan lain.
Sertifikat expired itu outage yang paling gampang diprediksi. Jadi seharusnya nggak pernah bikin kaget.
Trust yang kasih warning
sebelum bermasalah.
Semua sertifikat cluster ada di satu tabel: issuer, tanggal terbit, expiry, dan sisa harinya.
Sertifikat yang sudah expired tetap muncul di tabel lengkap dengan berapa hari sudah lewat. Jadi cluster yang memang sedang di-decommission dan cluster yang kelupaan kelihatan beda.
Kalau sertifikat hampir expired, Orcastra otomatis kasih alert di tiga tempat sekaligus: Warnings, Monitoring Alarms, dan Overview. Kamu nggak perlu cek manual satu-satu.
Klik Renew kalau mau memperpanjang. Kalau cluster memang mau di-decommission, biarkan expired. Nggak ada rotasi sertifikat diam-diam.
Kalau trust pending atau expired, Orcastra kasih command yang siap dijalankan di node tujuan. Jalankan, lalu verify koneksinya dari dashboard.
Sertifikat cluster disimpan di HashiCorp Vault, bukan di filesystem dashboard, dan semua koneksi cluster lewat mTLS.