Geräte und Rollen

Der Hub hat keine Passwörter. Jede Anfrage an ihn ist von einem Gerät signiert: einem Rechner oder einem Server mit pbx, einmal mit dem Hub gekoppelt. pbx up koppelt den Rechner, auf dem es läuft, als Owner des Hubs.

Die Schlüssel eines Geräts

Ein Gerät hält einen Signaturschlüssel und einen Schlüssel für die Schlüsselvereinbarung (beide P-256) und einen WireGuard-Schlüssel. Wo sie liegen, hängt vom Rechner ab:

Rechner	Schlüsselspeicher	Schutzstufe
Windows	das TPM, der Signaturschlüssel hinter einer PIN	presence Gebaut
Linux mit TPM	das TPM, mit einer PIN	presence Gebaut
macOS	die Secure Enclave, mit Touch ID	presence In Arbeit für pbx
jeder Rechner	eine Schlüsseldatei, geschützt durch eine Passphrase, die du eintippst	passphrase-interactive Gebaut
ein Server oder CI-Rechner	das TPM ohne PIN, eine von Tang entsperrte Schlüsseldatei oder eine Passphrase aus einer Datei	tpm, tang, passphrase-stored Gebaut

Die Stufe wird beim Koppeln festgehalten und ändert sich nicht; ein Gerät, das seinen Schlüsselspeicher wechselt, koppelt neu.

Ein Rechner, der mit mehreren Hubs gekoppelt ist, hat für jeden ein eigenes Gerät. pbx hub list zeigt sie; unter pbx-Befehle steht, mit welchem Hub ein Befehl spricht.

Was eine Stufe erlaubt

• presence-Geräte können Owner sein und freigeben.
• passphrase-interactive-Geräte können Operator und Viewer sein. Ein Löschen in Production oder Staging fragen sie nur an; ein presence-Gerät gibt es frei.
• Unbeaufsichtigte Stufen (tpm, tang, passphrase-stored) fragen auch Admin-Zugriff und Bedien-Logins in Production nur an, weil keine Person dabei ist.

Agentenschlüssel

Ein Gerät hält außerdem pro Integration eines Coding-Agenten (Claude Code, Cursor, …) einen Agentenschlüssel, für pbx --agent und den MCP-Server von ownpaas. Der Hub hält jede damit signierte Anfrage unter der Obergrenze des Agenten (Coding-Agenten).

• Der erste Lauf im Agentenmodus erzeugt den Schlüssel und registriert ihn beim Hub, signiert mit dem eigenen Schlüssel des Geräts. Auf einem presence-Gerät bestätigt seine Person das einmal; pbx agent register INTEGRATION tut es vorab.
• pbx agent revoke INTEGRATION widerruft ihn; ein Owner kann den jedes Geräts widerrufen (--device ID). Ein widerrufener Schlüssel bleibt widerrufen: pbx registriert ihn nicht von selbst neu, eine Person ruft pbx agent register erneut auf.
• Ein Agentenschlüssel gibt nie frei, koppelt nie und registriert keine Schlüssel.

Rollen

Rolle	Darf
owner	alles, auch Tokens, Geräte, die Lizenz, Löschen und das Erlauben von Kopien der Produktionsdaten
operator	Releases, Backups, Wiederherstellungen, Zugriff, Twins; Löschen mit eingetipptem Namen
viewer	lesen

Ein zweites Gerät

Auf einem Gerät des Owners gibt pbx pair invite --role operator --name ci-1 eine Zeichenkette aus, 10 Minuten gültig. Auf dem neuen Gerät koppelt pbx pair <einladung> es durch den Tunnel; SSH ist nicht nötig. pbx devices listet die Geräte, und pbx devices revoke entfernt eines.