С какими задачами помогает ИИ
ИИ наиболее полезен, когда получает небольшой набор относящихся к задаче фактов, а результат можно проверить. Он помогает:Разобраться в сервере
Расследовать инциденты
Следить за ресурсами
Проверять изменения
Сделать операции повторяемыми
Создавать документацию
Выберите, где будет работать ИИ
Есть три распространённых способа использовать ИИ с VPS. Начните с первого и расширяйте доступ только тогда, когда точно понимаете, зачем он нужен.sudo действительно ограничивают возможности агента.Подготовьте VPS к использованию ИИ
Перед передачей ИИ-инструменту эксплуатационной информации или доступа убедитесь, что у вас есть:- свежая резервная копия за пределами VPS;
- хотя бы один раз проверенная процедура восстановления;
- аутентификация по SSH-ключу и защищённая административная учётная запись;
- внешний мониторинг доступности, работающий и при отключённом VPS;
- доступ к панели управления VPS EDIS Global и её консоли VNC для восстановления;
- сохранённая текущая конфигурация межсетевого экрана, приложений и сети;
- чёткое правило о том, какие действия требуют вашего подтверждения.
Установите терминальный ИИ-инструмент на компьютер
Терминальный агент может изучать локальные файлы, готовить команды и, если это разрешено, пользоваться SSH-клиентом, уже установленным на компьютере. Когда инструмент работает на вашей рабочей станции, его учётные данные и рабочие файлы не нужно хранить на VPS. Один из вариантов — Codex CLI. Текущая команда отдельного установщика для macOS и Linux:/permissions в Codex CLI, чтобы проверить или изменить разрешённые агенту действия. Можно использовать другие терминальные агенты, если они предоставляют аналогичные возможности проверки команд и ограничения выполнения.
root только потому, что он будет использоваться для администрирования сервера.Начните без прямого доступа к серверу
Полезную помощь можно получить и без подключения ИИ к VPS. Самостоятельно выполните несколько команд, которые только читают данные:Предоставьте ИИ-агенту ограниченный SSH-доступ
Если вы хотите, чтобы терминальный агент сам собирал данные, создайте для него отдельную учётную запись Linux. Следующий пример подходит для Debian и Ubuntu.Создайте отдельный SSH-ключ на своём компьютере
.pub. Храните закрытый ключ на разрешённой рабочей станции.Создайте на VPS диагностическую учётную запись без пароля
aiops_ed25519.pub, сохраните файл и задайте правильного владельца и права:Разрешите доступ к системному журналу только при необходимости
sudo:Ограничьте SSH-сеанс учётной записи
/etc/ssh/sshd_config.d/90-aiops.conf со следующим содержимым:Проверьте вход с ограниченными правами
sudo.aiops нельзя добавлять в группы sudo, docker, lxd, disk или другие привилегированные группы. Членство в некоторых из них фактически предоставляет доступ root даже без sudo.
Перед использованием нового VPS в рабочей среде выполните все рекомендации из руководства по защите SSH.
Задайте правила первого сеанса с ИИ
Сообщите агенту, что ему разрешено изучать и что запрещено менять. Это рабочее правило дополняет технические ограничения учётной записи.Настройте мониторинг до автоматизации
ИИ не должен определять, доступен ли VPS. Используйте обычный мониторинг для сбора показателей и оповещений, а ИИ — для интерпретации данных после оповещения. Простой набор инструментов может включать:- systemd и journald для состояния служб и журналов;
- внешний мониторинг доступности для HTTP, TCP и проверки работы сервиса;
- Netdata для удобной панели одного сервера;
- Prometheus Node Exporter и Grafana, если нужна длительная история метрик;
- Git и Ansible для проверяемой и повторяемой конфигурации;
- restic, BorgBackup или другой инструмент резервного копирования вне сервера для восстановления.
Анализируйте журналы, не передавая всё подряд
Не экспортируйте все журналы сервера. Соберите минимальный полезный временной интервал для затронутой службы. Для Nginx под управлением systemd:Пусть ИИ предлагает изменения, а не применяет их незаметно
Когда требуется исправление, попросите агента подготовить изменение в виде текста, патча или файла автоматизации. Требуйте следующие семь пунктов:- точная проблема, которую нужно решить;
- точная команда или diff файла;
- ожидаемый результат;
- возможные побочные эффекты;
- команда отката или способ восстановления;
- проверка результата;
- условие, при котором от изменения следует отказаться.
Начальный сценарий для Windows
На VPS с Windows начните с ИИ-инструмента на своём компьютере и вставляйте в него выбранный вывод PowerShell. Не предоставляйте агенту учётную запись Administrator или Domain Administrator. Следующие команды создают полезный снимок состояния без изменений системы:Что нельзя автоматизировать без наблюдения
Не предоставляйте агенту неограниченный доступ sudo черезNOPASSWD: ALL. Избегайте автономного управления ИИ следующими операциями:
- разметка дисков, форматирование файловых систем и удаление хранилищ;
- замена правил межсетевого экрана и изменение аутентификации SSH;
- миграции баз данных и массовые изменения данных;
- удаление пакетов, обновление дистрибутива и изменение ядра;
- управление учётными записями, SSH-ключами, паролями и учётными данными API;
- удаление резервных копий и изменение политики их хранения;
- перезагрузка рабочих серверов и перезапуск служб без проверок состояния;
- работа с платёжными данными, криптокошельками и клиентскими секретами.
Удалите доступ после завершения задачи
Ключ для ИИ не должен оставаться активным бессрочно. Когда прямой доступ больше не нужен, удалите его строку из/home/aiops/.ssh/authorized_keys. Отзовите API-токены, созданные для инструмента, сохраните утверждённый отчёт или запись об изменении и проверьте журнал аутентификации на неожиданные сеансы.
Оставляйте учётную запись только при наличии постоянного процесса смены ключей, проверки доступа и мониторинга. В остальных случаях создавайте новый доступ с ограниченным сроком для следующей одобренной задачи.
Практический порядок работы с ИИ
Обнаружьте проблему
Соберите небольшой объём данных
Удалите конфиденциальные данные
Попросите ИИ организовать расследование
Проверьте предлагаемое изменение
Примените изменение через администратора
Проверьте результат извне VPS
Задокументируйте произошедшее
Итоговый список ответственности
Перед каждым сеансом работы с ИИ убедитесь, что:- задача и разрешённые действия чётко определены;
- агент использует отдельную учётную запись и SSH-ключ;
- привилегированные группы и неограниченный
sudoнедоступны; - резервные копии хранятся вне VPS и пригодны для восстановления;
- журналы и конфигурация проверены на конфиденциальные данные;
- команды и изменения файлов требуют подтверждения человеком;
- для каждого изменения есть план отката и проверки;
- доступ ИИ можно быстро отозвать;
- вы понимаете, что ответственность за результат остаётся на вас.