Tunnel del computer

Connetti il tuo computer tramite il Beeuni Agent Tunnel con autorizzazioni.

Un computer è una macchina di tua proprietà — laptop, desktop o server — collegata a Beeuni tramite un tunnel inverso autorizzato. Un computer non è una sandbox. Una sandbox è una macchina cloud temporanea che Beeuni crea per una sessione. Un computer è una macchina che già possiedi e rimane collegata tra una sessione e l’altra.

Un computer collegato è un account del connettore computer Connettori, proprio come una casella Gmail personale è un account del connettore Gmail. Ogni progetto include il connettore computer; non lo aggiungi né lo rimuovi mai. Ogni membro collega il proprio computer, che lo segue: è un account in ogni progetto a cui appartiene, in ogni workspace, senza dover configurare nulla per ciascun progetto.

Aggiungi Computer Tunnel dal catalogo dei connettori del progetto.
Esegui il comando di associazione mostrato nel profilo, per esempio npx --yes @beeuni/agent-tunnel@latest connect --api-url <url>.
Approva la connessione nel browser.
Seleziona la macchina associata per il profilo.

Finché non hai un computer collegato, nella barra laterale del progetto compare una scheda Collega il tuo computer. Chiudila con × se non ti serve; rimarrà nascosta in quel browser. La scheda non viene mostrata nelle distribuzioni in cui i computer sono disattivati.

Concedi l’accesso per capacità: filesystem, shell o desktop. Puoi limitare ogni capacità a percorsi, comandi o funzioni desktop consentiti. La concessione di una capacità è un’impostazione per risorsa su una singola macchina, non un ruolo Beeuni. Non concede alcuna autorizzazione negata dalla valutazione del ruolo — vedi Account e accesso. L’agente ottiene solo ciò che concedi. Una chiamata a una capacità non concessa genera una richiesta di autorizzazione. Apri la macchina nel profilo Computer Tunnel per approvare o negare la richiesta.

Nel browser. Fai clic su Collega il tuo computer nella scheda. La finestra di dialogo offre Scarica Beeuni per desktop; a quel punto il computer si collega con un solo clic. Per collegarti senza l’app, scegli Usa invece la CLI ed esegui sul computer il comando mostrato:

Come fa l’agente a raggiungere un computer

L’associazione aggiunge una macchina al parco di computer del tuo account. Non assegna alcun accesso, quindi non concede l’accesso ai progetti. Aggiungi Computer Tunnel dal catalogo dei connettori del progetto, quindi seleziona una o più macchine associate per quel profilo.

Un profilo può contenere una macchina o un insieme di macchine. Un insieme di macchine non è un gruppo di account: un gruppo di account è un’entità del modello dei ruoli, mentre queste sono macchine. Puoi creare più profili con insiemi di macchine diversi o sovrapposti. Ogni profilo ha concessioni agli agenti e criteri degli strumenti indipendenti.

Lo strumento list_computers restituisce solo le macchine assegnate al profilo attivo. Gli altri strumenti accettano un nome o un ID computer facoltativo tra quelli restituiti. Il selettore è facoltativo se è online una sola macchina assegnata.

beeuni connectors call studio-computers.list_computers '{}'

beeuni connectors call studio-computers.fs.read \
  '{"computer":"MacBook-Pro-9.local","path":"/etc/hosts"}'

Il comando stampa un codice e apre la pagina di approvazione. Nella pagina di approvazione:

Verifica che il codice corrisponda a quello sul computer.
Dai un nome al computer. Il nome diventa l’etichetta dell’account.
Scegli Chi può usare questo computer: Solo tu (l’impostazione predefinita: tutti i progetti, le tue sessioni private) oppure Condividi anche con il progetto indicato dal comando. Per condividere serve l’autorizzazione a gestire le connessioni del progetto.
Seleziona cosa possono fare gli agenti: Filesystem, Shell, Uso del computer.

Il computer comparirà in Personalizza → Connettori → Computer → Account in ogni progetto a cui appartieni. La sua riga ha lo stesso aspetto e funziona come quella di qualsiasi altro account del connettore; se il computer non è attualmente collegato, sotto il nome compare Offline.

Beeuni identifica ogni computer tramite un hash del suo ID hardware (IOPlatformUUID su macOS, /etc/machine-id su Linux, MachineGuid su Windows). Se colleghi di nuovo lo stesso computer dopo una reinstallazione, una rinomina o il passaggio a una nuova rete, la voce esistente viene aggiornata invece di crearne una seconda. Nome, condivisione e associazioni alle sessioni rimangono invariati.

Il tuo computer (app desktop)

Apri il menu del workspace (il nome del progetto in cima alla barra laterale) e scegli Il tuo computer. Il punto accanto indica lo stato del computer. La finestra di dialogo mostra il nome del computer e uno stato: Online, Connessione in corso, Offline, In pausa o È necessario riconnettersi (il computer è stato scollegato altrove; Collega questo computer lo associa di nuovo). Da qui puoi:

Metti in pausa la connessione / Riprendi la connessione: arresta o riavvia il servizio in background. Un computer in pausa è offline per gli agenti (computer_offline) e rimane in pausa anche dopo il riavvio.
Accesso: stabilisce se gli agenti possono usare il computer mentre è collegato. Vedi Accesso sul computer.
Mantieni attivo questo computer quando è collegato all’alimentazione (macOS e Linux): il computer non entra in modalità di sospensione quando è alimentato, così gli agenti possono raggiungerlo. È disattivato per impostazione predefinita. Su Windows, la riga indica che la funzione non è ancora disponibile.
Condivisione: apri la scheda Account del connettore del computer e scegli Condividi sulla riga del computer.
Mostra log: apre il file di log dell’agente.
Disconnetti: rimuove il computer da Beeuni e da tutti i progetti e arresta il servizio in background.

Accesso sul computer

È il computer stesso a decidere se un agente può usarlo, indipendentemente da quanto consentito dal progetto. Imposta questa opzione in Il tuo computer → Accesso o dall’icona nella barra dei menu:

Chiedi ogni volta (l’impostazione predefinita per un computer collegato tramite l’app desktop): la prima chiamata di un agente mostra una richiesta sul computer: Consenti per 24 ore, Consenti per 1 ora (il pulsante predefinito) oppure Nega. L’approvazione vale per file, shell, schermo e tastiera, per ogni agente che può raggiungere il computer, fino alla sua scadenza. Mentre l’approvazione è attiva, la finestra di dialogo mostra Consentito fino alle 14 e Revoca ora. Dopo aver selezionato Nega, le chiamate vengono rifiutate immediatamente per 10 minuti, senza una nuova richiesta. Cambiare modalità termina l’approvazione o il rifiuto in corso.
Sempre consentito: nesbeeuni richiesta. È l’impostazione predefinita per un computer collegato usando solo la CLI, perché sul computer non c’è nulla che possa mostrare una richiesta. Anche i computer collegati prima dell’introduzione di questa impostazione si comportano così, finché non la cambi.
Disattivato: tutte le chiamate vengono rifiutate.

Solo tu, sul computer, puoi ampliare l’accesso. Quando la pagina di Beeuni richiede Sempre consentito o una nuova approvazione, l’app desktop mostra prima una finestra di dialogo nativa e applica la modifica solo quando fai clic su Consenti. Ogni nuova associazione riparte dall’impostazione predefinita e Disconnetti rimuove l’impostazione.

L’impostazione risiede sul computer (~/.agent-tunnel/access.json). La riga dell’account e lo strumento status la riportano, così l’agente può avvisarti che è in attesa della tua approvazione.

Chi può usare un computer

Un computer segue le stesse regole di qualsiasi altro account del connettore:

Un computer privato (l’impostazione predefinita, Solo tu) funziona solo nelle sessioni private del proprietario, in ogni progetto a cui appartiene. Gli altri membri non possono vederlo né usarlo.
Condividi sulla riga del computer apre la stessa finestra di dialogo usata per un account Gmail: scegli persone, gruppi o tutti i membri del progetto. Non cambia nulla finché non scegli Salva e rimani tra le persone autorizzate finché non ti rimuovi. Per condividere serve l’autorizzazione a gestire le connessioni del progetto. Il computer rimane un unico account nel progetto; la riga mostra quindi chi può usarlo.
Un computer condiviso con tutti i membri può essere usato da chiunque nel progetto, anche nelle esecuzioni non presidiate: trigger, pianificazioni e messaggi Slack senza un utente collegato. Un’esecuzione non presidiata può raggiungere solo i computer condivisi.
La tua riga ti segue, quindi il computer non viene rimosso da un singolo progetto. Disconnetti lo rimuove da Beeuni e da tutti i progetti. Per tenerlo collegato ma inutilizzato, imposta su Disattivato l’accesso sul computer.

Per sottoporre le chiamate rischiose al controllo umano, imposta un criterio del connettore nella scheda Strumenti del connettore del computer (per esempio, Chiedi per shell.exec). La richiesta apparirà quindi tra le approvazioni del progetto.

Cosa consente il computer

Scegli le capacità una volta, quando approvi il computer. Per consentire in seguito una capacità, collega di nuovo il computer e selezionala.

La configurazione dell’agente locale è il limite massimo per ogni chiamata, indipendentemente da ciò che Beeuni consente. Si trova in ~/.agent-tunnel/config.json sul computer:

Campo	Valore predefinito	Effetto
`enabledCapabilities`	le capacità che hai approvato	Le capacità che la macchina accetta.
`allowedPaths`	la tua directory home	I percorsi che le chiamate al filesystem possono modificare.
`blockedPaths`	`/etc/shadow`, `/etc/ssh`, `/proc`, …	I percorsi che nesbeeuni chiamata può modificare.
`allowedCommands`	vuoto (qualsiasi comando)	Se impostato, gli unici eseguibili che `shell.exec` può eseguire.
`blockedCommands`	vuoto	Gli eseguibili che `shell.exec` non esegue mai.

Una shell senza restrizioni può eseguire qualsiasi programma disponibile per il tuo utente. Limita allowedPaths e allowedCommands a ciò che serve per il lavoro.

La funzione Uso del computer richiede un cua-driver locale installato separatamente. L’agente non scarica, installa né aggiorna tale eseguibile.

Configura i profili Computer Tunnel dalla dashboard, non da beeuni.yaml. Usa la scheda Account del profilo per associare, selezionare, esaminare, rinominare e rimuovere le macchine. Usa la scheda Strumenti per configurare i criteri del connettore.

Trasferisci i file binari in modo sicuro

Per fogli di calcolo, PDF, immagini e altri file binari, trasferisci i byte direttamente da un file sorgente. Non chiedere mai all’agente di copiare un payload base64 dall’output di uno strumento. I byte potrebbero cambiare anche se le dimensioni del file rimangono invariate.

Sulla macchina o sandbox che contiene il file sorgente, configura TUNNEL_API_URL, TUNNEL_TOKEN e TUNNEL_ID, quindi esegui:

agent-tunnel-cli fs_upload '{"source":"/tmp/report.xlsx","path":"/Users/me/Desktop/report.xlsx"}'

Il comando supporta file fino a 3 MiB e richiede la capacità filesystem. Calcola l’hash SHA-256 del sorgente e verifica l’hash restituito dalla destinazione. Aggiorna l’agente collegato se la sua risposta non contiene il campo sha256.

Per i file più grandi, genera l’artefatto nella destinazione. Verifica il formato sorgente prima della consegna. Un hash corrispondente dimostra che i byte sono arrivati invariati; le dimensioni del file e l’estensione non dimostrano che Excel possa aprire una cartella di lavoro.