Identität
Menschliche Sessions, Machine API Keys, Agent-Identität und operationsgebundene Zielzugänge sind getrennte Verträge.
Sicherheit und Kundenkontrolle
Operative Autorität bleibt innerhalb einer selbst definierten Grenze.
ClusterPilot ist für Self-hosting entworfen und behandelt Identität, Release-Integrität, Credentials, Autorisierung, Ausführung, Audit und destruktive Operationen als eigenständige Systemgrenzen.
Klare Aussagegrenze. ClusterPilot stellt technische Kontrollen und Evidenz bereit. Die Bereitstellung allein erzeugt weder regulatorische Compliance noch vollständige Souveränität oder Produktionsfreigabe.
Kundenseitig betrieben – durch Architektur.
Der Kunde betreibt Control Plane, Persistenz, Agents, Registry-Verbindung, Credentials und Zielumgebungen.
Freigegebenes Operator-NetzwerkBenutzer · API Clients · IdP-Grenze
Kunden-Control-PlaneAPI · Worker · PostgreSQL · ArtefakteAuthentifizierung · Pläne · Policy · Evidenz
AusführungsgrenzeLifecycle Agents · Secret-MaterialisierungVersionierte Arbeit · isolierte Commands · Cleanup
Kunden-ZielsystemeProvider · Hosts · Registries · Kubernetes-Cluster
Kontrollfamilien
Defense in Depth über die gesamte Operation.
Sicherheit ist kein einzelner Schalter. Jeder Übergang besitzt einen eigenen Control- und Evidence-Owner.
Autorisierung
RBAC, Tenant-/Workspace-Scope, Feature-Gates, Admission, destruktive Bestätigung und Umgebungsfreigabe bleiben unabhängig.
Secrets
Kundenseitiger Schutzschlüssel und typisierte SecretRefs halten Werte aus Plänen, Logs, URLs, Audit und Support-Bundles heraus.
Supply Chain
Prüfsummen, Signaturen, unveränderliche Digests, Kompatibilitätsdaten, SBOM, Vulnerability-Evidenz und Provenance identifizieren das Release.
Ausführung
Kompatible Agents erhalten begrenzte typisierte Arbeit; Vertragsversionen, Leases, Reihenfolge, Timeouts, Redaction und Cleanup begrenzen sie.
Evidenz
Akteure, Entscheidungen, Pläne, Events, Command-Ergebnisse, Artefakte, Prüfsummen, Korrelation und Retention bilden den Review-Pfad.
Software Supply Chain
Ein identifiziertes Release bereitstellen – keinen beweglichen Tag.
Der Self-hosted Release-Vertrag bindet Runtime-Subjects, exakte Digests, signierte Kompatibilitäts- und Release-Metadaten, SBOM, Provenance und Verifikationsnachweise.
Registry- und Air-Gap-Betrieb →Prüfsummen, Signaturen und Build-Identität
Subject, Digest, Metadaten und Evidenz erhalten
Kunden-Policy anwenden und Freigabe dokumentieren
Runtime-Digest und aufbewahrten Nachweis bestätigen
Fail-closed Defaults
Unsichere Produktionsabkürzungen werden zu expliziten Fehlern.
- Produktionsstart lehnt fehlende dauerhafte Datenbank-, Artefakt- oder Schlüsselkonfiguration ab
- Multi-Replica benötigt Leader Election und gemeinsamen Artefaktspeicher
- Tag-only und unverifizierte Runtime-Artefakte sind nicht unterstützt
- Sensible Kubernetes-Mutationen bleiben in v0.0.1 deaktiviert oder contract-only
- Agent Placement, Trust, Uhrzeit, Runtime und Version werden vor Arbeit ausgehandelt
- Secrets sind aus ProblemDetails und Evidence-Verträgen ausgeschlossen
Verpflichtendes SaaSKeinesDer Kunde betreibt das Control Plane
High-Risk GatesStandardmäßig ausFreigabe gilt pro Capability und Umgebung
ZertifizierungsaussageKeineEvidenz unterstützt die Kundenprüfung
Status v0.0.1Release CandidateProduktionsreife bleibt explizit gated
Talk to ClusterPilot
Trust- und Ausführungsgrenze gemeinsam prüfen.
Identitäts-, Netzwerk-, Registry-, Evidence- und operative Freigabeanforderungen werden in einem fokussierten technischen Gespräch eingeordnet.
hello@clusterpilot.de