stackkit host

Operaciones del contrato de host independientes del proveedor.

stackkit host [flags]

Subcomandos: stackkit host attach-conformance, stackkit host conformance, stackkit host delivery, stackkit host environment, stackkit host migrate-browser-ca, stackkit host preflight, stackkit host prepare, stackkit host reboot, stackkit host remediate, stackkit host security, stackkit host ssh, stackkit host updates

stackkit host attach-conformance

Adjunta evidencia exacta del host al Inventory antes de generar el plan.

stackkit host attach-conformance [flags]

Flag	Tipo	Predeterminado	Descripción
`--binding`	string	—	Obligatorio. JSON de ExternalHostBinding confinado al workspace
`--inventory`	string	—	Obligatorio. inventory.json confinado al workspace que se actualiza atómicamente
`--receipt`	string	—	Obligatorio. JSON de HostConformanceReceipt confinado al workspace

stackkit host conformance

Produce en este host un recibo de conformidad independiente del proveedor.

stackkit host conformance [flags]

Flag	Tipo	Predeterminado	Descripción
`--binding`	string	—	Obligatorio. Archivo JSON local de ExternalHostBinding
`--output, -o`	string	`-`	Destino del recibo (’-’ para JSON en stdout)

stackkit host delivery

Gestiona el destinatario sellado de entrega de host de este nodo. La entrega sellada de hosts lleva a este nodo elementos de Wallet, destinos de backup y acceso SSH. La autoridad que entrega sella cada valor con la clave destinataria de este nodo (HPKE, pkg/hostdelivery); solo este nodo lo abre en su propia custodia. Techstack y Guard transportan únicamente texto cifrado y referencias.

stackkit host delivery [flags]

Subcomandos: stackkit host delivery detach, stackkit host delivery recipient, stackkit host delivery status

stackkit host delivery detach

Detiene la entrega de hosts a este nodo y lista los secretos entregados que hay que rotar. Desvincula este nodo de la entrega de hosts: cada secreto entregado se marca como pendiente de rotación, las claves destinatarias retiradas se destruyen y ninguna entrega se abre hasta volver a inscribir el nodo con host delivery recipient --rotate. El resultado enumera las referencias y versiones que hay que rotar en su origen; nunca contiene un valor. Los valores que ya están en la custodia local siguen siendo utilizables aquí.

stackkit host delivery detach [flags]

Flag	Tipo	Predeterminado	Descripción
`--owner-approve`	bool	—	Autoriza desvincular este nodo

Ejemplos

stackkit host delivery detach --owner-approve

stackkit host delivery recipient

Demuestra la clave destinataria de este nodo, fija la autoridad que entrega o rota la clave. Imprime una declaración, firmada con la clave Owner local, que vincula la clave destinataria de este nodo y su generación a este Site y nodo, y repite el desafío del llamante. La clave privada nunca sale de la custodia local. --authority-key fija la clave pública Ed25519 de la autoridad que entrega para la generación actual; los elementos de Wallet y el acceso SSH solo se abren si los firma ella. Una clave fijada nunca se sustituye en el sitio. --rotate vuelve a inscribir el nodo bajo la siguiente generación (y, con --authority-key, fija una autoridad nueva): la clave anterior sigue abriendo las entregas emitidas antes de la rotación durante como máximo su vida de 15 minutos y después se destruye. La rotación también pone fin a un detach.

stackkit host delivery recipient [flags]

Flag	Tipo	Predeterminado	Descripción
`--authority-key`	string	—	Clave pública Ed25519 (base64) de la autoridad que entrega, para fijar en esta generación
`--authority-key-id`	string	—	ID de clave con el que la autoridad que entrega firma los sobres
`--challenge`	string	—	Valor nuevo de la autoridad que entrega que la declaración debe repetir
`--owner-approve`	bool	—	Autoriza el cambio de destinatario de este nodo
`--rotate`	bool	—	Vuelve a inscribir bajo la siguiente generación de destinatario

Ejemplos

stackkit host delivery recipient --challenge "$CHALLENGE" --authority-key "$WALLET_KEY" --authority-key-id wallet-1 --owner-approve
stackkit host delivery recipient --challenge "$CHALLENGE" --rotate --owner-approve

stackkit host delivery status

Muestra la generación del destinatario, la autoridad fijada, el estado de detach y las referencias entregadas. Informa de la generación del destinatario de este nodo y su huella, las generaciones retiradas que aún pueden abrirse, la autoridad que entrega fijada, si el nodo está desvinculado y cada secreto entregado por referencia y versión, con su marca de rotación. No se lee ningún valor.

stackkit host delivery status [flags]

stackkit host environment

Observa si este host parece una red doméstica o un servidor público. Detecta el entorno de red de esta máquina. Esto es observación, no selección de kit. Los instaladores e init lo usan para preguntar antes de crear direcciones domésticas locales en un VPS, o Cloud Kit en un host de LAN. STACKKIT_NETWORK_ENV=home|vps|cloud|unknown anula la detección en vivo.

stackkit host environment [flags]

Flag	Tipo	Predeterminado	Descripción
`--json`	bool	—	Emite la observación como JSON

Ejemplos

# Show whether this host looks like a home network or a public server
stackkit host environment

# The same observation as JSON
stackkit host environment --json

# Override a wrong detection for the next command, here Basement Kit init on a home host
STACKKIT_NETWORK_ENV=home stackkit init basement-kit --catalog-defaults --owner-source=local --owner-email you@example.com

stackkit host migrate-browser-ca

Migra la CA heredada autenticada de este nodo a la política compatible con navegadores. Migra de forma explícita las claves de firma de la CA heredada de Basement conservando la clave de firma Owner, las identidades de PocketID, los secretos del runtime, las claves de hoja del ingress, las direcciones y los volúmenes. Conserva una raíz que ya esté actualizada. Aplica y verifica el plan nativo actual antes de --complete. Los clientes deben aprobar una raíz pública modificada mediante el traspaso de confianza de cliente existente.

stackkit host migrate-browser-ca [flags]

Flag	Tipo	Predeterminado	Descripción
`--complete`	bool	—	Retira el diario de recuperación tras Apply nativo actual y verificación TLS ordinaria
`--owner-approve`	bool	—	Autoriza la transición explícita de CA de este nodo

stackkit host preflight

Comprueba si este host puede ejecutar el StackKit seleccionado. Mide este host y lo compara con el mínimo que declara el kit. Preflight solo realiza sondeos de solo lectura: nunca instala, inicia ni configura nada. Apply ejecuta la misma admisión antes de modificar el host.

stackkit host preflight [flags]

Flag	Tipo	Predeterminado	Descripción
`--json`	bool	—	Emite el informe versionado de preflight como JSON legible por máquinas
`--local-node`	string	—	Nodo local exacto del ResolvedPlan suministrado
`--policy`	string	—	Política de admisión: strict, warn (predeterminado) o skip
`--resolved-plan`	string	—	ResolvedPlan canónico verificado cuyos listeners del host se comprueban

Ejemplos

# Check this host against the kit selected in the current deployment directory
stackkit host preflight

# Also refuse on warnings and unknown facts, and print the report as JSON
stackkit host preflight --policy strict --json

stackkit host prepare

Prepara este host antes de aplicar Cloud Kit. Aprovisiona la cuenta del canal de ejecución de Cloud y la custodia de la clave SSH necesarias antes de que host-security desactive el inicio de sesión de root. Los instaladores y apply de Cloud Kit llaman a esto automáticamente. El comando existe para diagnóstico y para hacer converger un workspace tras una interrupción manual. Genera o reutiliza la clave custodiada por el workspace en .stackkit/cloud-host-security/execution-channel/ e instala la clave pública correspondiente en la cuenta Linux del canal de ejecución.

stackkit host prepare [flags]

Ejemplos

# Converge the execution-channel account after an interrupted Cloud Kit install (run as root in the Cloud Kit deployment directory)
cd my-cloud
stackkit host prepare

stackkit host reboot

Programa un reinicio de este nodo. Programa un reinicio de este nodo tras un breve retraso y regresa de inmediato. El boot_id_before devuelto identifica el arranque actual, de modo que quien llama puede saber que el nodo volvió al leer un ID de arranque distinto. El comando rechaza un nodo que ejecuta el plano de control de Techstack, un nodo donde apt o dpkg mantiene su bloqueo o se ejecuta una actualización del host, y un nodo que no puede arrancar sin supervisión (volúmenes en /etc/crypttab que necesitan una frase de contraseña, o sin apt). Cuando termina el retraso, una guarda vuelve a comprobar, espera hasta 15 minutos a que termine cualquier operación de paquetes y solicita el reinicio mientras mantiene los bloqueos de dpkg. Un nodo que sigue ocupado no se reinicia; su ID de arranque se mantiene igual.

stackkit host reboot [flags]

Flag	Tipo	Predeterminado	Descripción
`--delay`	duration	`30s`	Tiempo hasta que comienza el reinicio (de 1s a 5m)
`--json`	bool	—	Emite el resultado stackkit.host-maintenance/v1 como JSON legible por máquinas
`--yes`	bool	—	Confirma que este nodo puede reiniciarse

Ejemplos

# Reboot this node in 30 seconds
sudo stackkit host reboot --yes

# Reboot in two minutes and report the boot ID to compare against
sudo stackkit host reboot --yes --delay 2m --json

stackkit host remediate

Muestra o aplica correcciones para lo que encontró host preflight. Lista las correcciones que responden a los hallazgos de preflight de este host, o ejecuta una. Sin --apply no se cambia nada: el comando mide el host e imprime lo que haría cada corrección, si se puede deshacer y si necesita root. Con --apply <id> --yes se ejecuta la corrección indicada, y después se vuelve a medir la comprobación que la justificaba, de modo que el resultado indica lo que cambió realmente y no solo que se intentó algo.

stackkit host remediate [flags]

Flag	Tipo	Predeterminado	Descripción
`--apply`	string	—	Ejecuta la resolución indicada (requiere `--yes`)
`--auto-reversible`	bool	—	Ejecuta cada corrección reversible que pueda ejecutarse sin supervisión (requiere `--yes`)
`--json`	bool	—	Emite el plan o el registro de remediación como JSON legible por máquinas
`--policy`	string	—	Política de preflight usada para encontrar hallazgos: strict o warn (predeterminado)
`--yes`	bool	—	Confirma que la resolución indicada puede cambiar este host

Ejemplos

# List the fixes for this host's preflight findings without changing anything
stackkit host remediate

# Carry out one fix by the ID the list printed
stackkit host remediate --apply <resolution-id> --yes

# Carry out every undoable fix that may run unattended
stackkit host remediate --auto-reversible --yes

stackkit host security

Verifica y repara la base de seguridad del host con evidencia versionada. Observa este nodo frente a la base de seguridad de hosts de StackKits y restaura lo que se haya desviado sin cortar la vía de administración. verify nunca cambia el host. Produce stackkit.host-security-evidence/v1 para el firewall, sshd, la protección contra fuerza bruta, las actualizaciones de seguridad automáticas y pendientes, el estado de reinicio, los parámetros del kernel, los listeners expuestos y la caducidad de los certificados, y para la confianza de CA SSH y el certificado de host entregados a este nodo (host ssh apply) una vez registrados. Cada control está conforme, desviado, desconocido o es una excepción aprobada por el propietario, y la evidencia caduca: una observación obsoleta es desconocida y un control desconocido nunca cuenta como conforme. Funciona por sí solo (Standard Mode, sin cuenta) y mediante la CLI fijada cuando Techstack administra el despliegue (--mode advanced).

stackkit host security [flags]

Subcomandos: stackkit host security repair, stackkit host security status, stackkit host security verify

stackkit host security repair

Restaura los controles de la base que se hayan desviado sin cortar la vía de administración. Planifica o, con --apply, lleva a cabo la restauración de los controles desviados. Sin --apply no se cambia nada: el comando mide el host y muestra lo que haría cada reparación. Con --apply solo se modifican los controles nombrados (--control) o desviados, y cada cambio se comprueba primero:

  - the firewall always keeps admitting the ssh sessions in use and every
    --management-source on every sshd port, and a policy that would not is
    refused before it is loaded;
  - password logins are disabled only when an account holds an authorized key;
    without one they stay on, the step is refused with reason no_authorized_key
    and the rest of the baseline is still repaired. The previous sshd and
    firewall configuration is restored if the new one does not validate or does
    not take effect;
  - fail2ban never bans the management path.

No se modifica un control que no pueda observarse o para el que el propietario haya aprobado una excepción. stackkit apply restaura el firewall y el inicio de sesión root de un Cloud Site. Cada paso registra el control antes y después, y repetir la reparación de un control conforme no cambia nada.

stackkit host security repair [flags]

Flag	Tipo	Predeterminado	Descripción
`--apply`	bool	—	Lleva a cabo la reparación; sin esta opción, el comando solo planifica
`--control`	stringArray	—	Limita la reparación a este ID de control (repetible)
`--declared-port`	stringArray	—	Puerto de servicio declarado como tcp/443 o udp/5353 (repetible)
`--exceptions`	string	`/etc/stackkit/host-security/exceptions.json`	Archivo de excepciones controlado por el propietario (cada excepción necesita propietario y caducidad)
`--freshness`	duration	`15m0s`	Tiempo durante el que se puede confiar en la evidencia antes de que caduque (de 1m a 24h)
`--host-name`	stringArray	—	Nombre que debe llevar el certificado de host SSH entregado (repetible; predeterminado: el hostname del sistema)
`--json`	bool	—	Emite el resultado como JSON legible por máquinas
`--kit`	string	—	Slug del Kit que se registrará (predeterminado: el Kit de la StackSpec del workspace)
`--local-node`	string	—	Node local exacto del ResolvedPlan proporcionado
`--management-source`	stringArray	—	Red que siempre debe poder acceder a ssh, como CIDR (repetible)
`--mode`	string	`standard`	Modo de ciclo de vida que se registrará: standard, o advanced cuando Techstack administra este despliegue
`--no-record`	bool	—	No escribe la evidencia posterior a la reparación bajo .stackkit/
`--resolved-plan`	string	—	ResolvedPlan canónico verificado con cuyos listeners declarados se evalúa la exposición
`--site-kind`	string	—	Tipo de Site de este host: home o cloud (predeterminado: se infiere del Kit; modern-homelab lo necesita)

Ejemplos

# See what would be repaired
sudo stackkit host security repair --site-kind home

# Restore only the firewall, keeping a jump host reachable
sudo stackkit host security repair --apply --control firewall.default_inbound --management-source 198.51.100.0/24

stackkit host security status

Lee la evidencia almacenada tal como está ahora, sin observar el host. Lee la evidencia que verify registró por última vez en este workspace y la evalúa en el momento actual. La evidencia que supera su presupuesto de vigencia es desconocida: una observación antigua no demuestra nada sobre el estado actual del host.

stackkit host security status [flags]

Flag	Tipo	Predeterminado	Descripción
`--drift-scope`	string	`all`	Controles que determinan `--fail-on-drift`: all o enforced (solo los controles que aplica la propia baseline; el retraso de parches, el reinicio pendiente, la exposición y los certificados siguen observándose y notificándose)
`--fail-on-drift`	bool	—	Sale con 5 cuando el host está desviado y con 6 cuando se desconoce su estado
`--json`	bool	—	Emite la evidencia como JSON legible por máquinas

stackkit host security verify

Observa la base de seguridad del host y escribe evidencia versionada. Observa todos los controles de la base en este nodo y produce stackkit.host-security-evidence/v1. No cambia nada en el host. La mayoría de los controles necesitan root para observarse; uno que no pueda observarse se declara desconocido con el motivo, no como fallo. La evidencia se escribe en .stackkit/host-security-evidence.json dentro del workspace salvo que se indique --no-record, y caduca después de --freshness.

stackkit host security verify [flags]

Flag	Tipo	Predeterminado	Descripción
`--declared-port`	stringArray	—	Puerto de servicio declarado como tcp/443 o udp/5353 (repetible)
`--exceptions`	string	`/etc/stackkit/host-security/exceptions.json`	Archivo de excepciones controlado por el propietario (cada excepción necesita propietario y caducidad)
`--drift-scope`	string	`all`	Controles que determinan `--fail-on-drift`: all o enforced (solo los controles que aplica la propia baseline; el retraso de parches, el reinicio pendiente, la exposición y los certificados siguen observándose y notificándose)
`--fail-on-drift`	bool	—	Sale con 5 cuando el host está desviado y con 6 cuando se desconoce su estado
`--freshness`	duration	`15m0s`	Tiempo durante el que se puede confiar en la evidencia antes de que caduque (de 1m a 24h)
`--host-name`	stringArray	—	Nombre que debe llevar el certificado de host SSH entregado (repetible; predeterminado: el hostname del sistema)
`--json`	bool	—	Emite el resultado como JSON legible por máquinas
`--kit`	string	—	Slug del Kit que se registrará (predeterminado: el Kit de la StackSpec del workspace)
`--local-node`	string	—	Node local exacto del ResolvedPlan proporcionado
`--management-source`	stringArray	—	Red que siempre debe poder acceder a ssh, como CIDR (repetible)
`--mode`	string	`standard`	Modo de ciclo de vida que se registrará: standard, o advanced cuando Techstack administra este despliegue
`--no-record`	bool	—	No escribe la evidencia bajo .stackkit/
`--resolved-plan`	string	—	ResolvedPlan canónico verificado con cuyos listeners declarados se evalúa la exposición
`--site-kind`	string	—	Tipo de Site de este host: home o cloud (predeterminado: se infiere del Kit; modern-homelab lo necesita)

Ejemplos

# Verify this host and record the evidence
sudo stackkit host security verify

# Machine-readable, advanced mode, exit non-zero on any drifted control
sudo stackkit host security verify --mode advanced --json --fail-on-drift

# What the Techstack host pre-step runs: only the controls the baseline enforces decide the exit code; patch lag, pending reboot, exposure and certificates are still observed and reported
sudo stackkit host security verify --mode advanced --json --fail-on-drift --drift-scope enforced

# Judge exposure against the ports the verified plan declares
sudo stackkit host security verify --resolved-plan plan.json --local-node node-1

stackkit host ssh

Acceso SSH mediante certificados entregado a este nodo.

stackkit host ssh [flags]

Subcomandos: stackkit host ssh apply

stackkit host ssh apply

Aplica desde la entrada estándar una entrega sellada de confianza de CA SSH, revocación o certificado de host. Lee en la entrada estándar un único sobre sellado ssh-ca-trust, ssh-ca-revoke o ssh-host-certificate, firmado por la autoridad que entrega fijada, y lo aplica al sshd de este servidor:

  - ssh-ca-trust installs the owner's user CA keys as TrustedUserCAKeys
    (/etc/ssh/stackkit/trusted_user_ca_keys) and one AuthorizedPrincipalsFile
    per local user (/etc/ssh/stackkit/principals/<user>). Root is never a
    target. An empty key list revokes like ssh-ca-revoke.
  - ssh-ca-revoke removes that trust. Revocations take effect at once and are
    never rolled back; one sshd cannot reload for is recorded as cleanup
    pending and finished by 'host security repair'.
  - ssh-host-certificate installs a host certificate beside the host key it
    certifies, only if it names every --host-name (default: the system
    hostname) and is currently valid.

sshd solo se recarga después de que sshd -t acepte la nueva configuración; un cambio que falle se revierte. El estado aplicado se registra en la custodia del propietario, de modo que host security verify informa de la desviación y host security repair lo reinstala.

stackkit host ssh apply [flags]

Flag	Tipo	Predeterminado	Descripción
`--host-name`	stringArray	—	Nombre que debe llevar un certificado de host como principal (repetible; predeterminado: el hostname del sistema)
`--owner-approve`	bool	—	Autoriza cambiar el acceso SSH de este servidor
`--tenant-ref`	string	—	Tenant al que debe estar dirigida la entrega sellada

Ejemplos

sudo stackkit host ssh apply --tenant-ref "$TENANT" --owner-approve < envelope.json

stackkit host updates

Planifica y aplica actualizaciones de paquetes del sistema operativo en este nodo. Planifica y aplica actualizaciones de paquetes del sistema operativo en este nodo Debian o Ubuntu. El runtime de contenedores (docker.io, docker-ce*, containerd*, runc) queda retenido: aparece en el plan pero apply nunca lo instala, porque actualizarlo reinicia todos los workloads. Apply nunca elimina paquetes, nunca ejecuta autoremove y nunca reinicia; para eso usa ‘stackkit host reboot’.

stackkit host updates [flags]

Subcomandos: stackkit host updates apply, stackkit host updates plan

stackkit host updates apply

Instala exactamente el plan de actualización revisado. Instala exactamente el conjunto de paquetes que informó un ‘stackkit host updates plan’ revisado. Primero se vuelve a simular el conjunto pendiente; cuando su digest difiere de --plan-digest no se instala nada (plan_stale). apt se ejecuta de forma no interactiva en una unidad transitoria de systemd (kombify-host-update-*), conservando los archivos de configuración existentes, de modo que un timeout de la CLI o del agente solo detiene la espera y nunca dpkg. El resultado registra la versión de cada paquete antes y después, y si el nodo requiere ahora un reinicio.

stackkit host updates apply [flags]

Flag	Tipo	Predeterminado	Descripción
`--json`	bool	—	Emite el resultado stackkit.host-maintenance/v1 como JSON legible por máquinas
`--plan-digest`	string	—	Obligatorio. plan_digest del plan revisado (sha256:<hex>)
`--yes`	bool	—	Confirma que se pueden instalar los paquetes planificados

Ejemplos

# Apply the plan you reviewed
sudo stackkit host updates apply --plan-digest sha256:<digest> --yes

stackkit host updates plan

Actualiza el índice de paquetes y muestra las actualizaciones pendientes. Actualiza el índice de paquetes y muestra lo que instalaría ‘stackkit host updates apply’. El resultado lista cada paquete pendiente con su versión actual y la nueva, los paquetes retenidos del runtime de contenedores, los paquetes que apt mantiene sin actualizar, si es probable un reinicio (kernel, biblioteca C o systemd) y los problemas de dpkg. plan_digest vincula el conjunto exacto de paquetes; apply lo rechaza cuando ya no coincide.

stackkit host updates plan [flags]

Flag	Tipo	Predeterminado	Descripción
`--json`	bool	—	Emite el resultado stackkit.host-maintenance/v1 como JSON legible por máquinas

Ejemplos

# Show the pending updates of this node
sudo stackkit host updates plan

# Machine-readable plan with its plan_digest
sudo stackkit host updates plan --json

Primeros pasos

Guías

Referencia

stackkit host attach-conformance

stackkit host conformance

stackkit host delivery

stackkit host delivery detach

stackkit host delivery recipient

stackkit host delivery status

stackkit host environment

stackkit host migrate-browser-ca

stackkit host preflight

stackkit host prepare

stackkit host reboot

stackkit host remediate

stackkit host security

stackkit host security repair

stackkit host security status

stackkit host security verify

stackkit host ssh

stackkit host ssh apply

stackkit host updates

stackkit host updates apply

stackkit host updates plan

​stackkit host attach-conformance

​stackkit host conformance

​stackkit host delivery

​stackkit host delivery detach

​stackkit host delivery recipient

​stackkit host delivery status

​stackkit host environment

​stackkit host migrate-browser-ca

​stackkit host preflight

​stackkit host prepare

​stackkit host reboot

​stackkit host remediate

​stackkit host security

​stackkit host security repair

​stackkit host security status

​stackkit host security verify

​stackkit host ssh

​stackkit host ssh apply

​stackkit host updates

​stackkit host updates apply

​stackkit host updates plan

stackkit host attach-conformance

stackkit host conformance

stackkit host delivery

stackkit host delivery detach

stackkit host delivery recipient

stackkit host delivery status

stackkit host environment

stackkit host migrate-browser-ca

stackkit host preflight

stackkit host prepare

stackkit host reboot

stackkit host remediate

stackkit host security

stackkit host security repair

stackkit host security status

stackkit host security verify

stackkit host ssh

stackkit host ssh apply

stackkit host updates

stackkit host updates apply

stackkit host updates plan