Servers Sentinel
AnmeldenRegistrieren

Den Agenten installieren

Installieren Sie den Servers-Sentinel-Agenten mit einem Befehl unter Linux (systemd oder OpenRC) oder Windows Server und verstehen Sie, was bei der Anmeldung tatsächlich geschieht.

Zuletzt aktualisiert 2026-08-26

Wenn Sie im Panel einen Server anlegen (Servers → Add server), wird ein einmalig verwendbarer Anmelde-Token erzeugt und ein fertiger Befehl ausgegeben. Der Installer erkennt Betriebssystem und CPU-Architektur selbst, deshalb funktioniert derselbe Einzeiler unter Debian, Ubuntu, RHEL, CentOS, Alpine und Windows Server.

Linux

curl -fsSL https://panel.example.com/install.sh | bash -s -- \
  --token <ENROLLMENT_TOKEN> --panel panel.example.com

Das Skript lädt die passende Binärdatei (amd64, arm64 oder 386), legt sie unter /usr/local/bin ab, schreibt /etc/sentinel/agent.yaml und registriert einen Dienst - eine systemd-Unit auf den meisten Distributionen, einen OpenRC-Dienst unter Alpine. Zuerst stoppt es einen laufenden Agenten, denn der Kernel lässt eine gerade ausgeführte Binärdatei nicht überschreiben.

Prüfen, ob er läuft:

systemctl status sentinel-agent
journalctl -u sentinel-agent -f

Windows Server

In einer PowerShell mit erhöhten Rechten:

irm https://panel.example.com/install.ps1 | iex
Install-SentinelAgent -Token <ENROLLMENT_TOKEN> -Panel panel.example.com

Installiert wird nach C:\Program Files\Sentinel, registriert wird der Windows-Dienst SentinelAgent. Für die Verteilung per GPO gibt es ein MSI, das dieselben Eigenschaften TOKEN und PANEL entgegennimmt. Unterstützt sind Windows Server 2016, 2019, 2022 und 2025 auf amd64 und arm64.

Get-Service SentinelAgent

Was bei der Anmeldung geschieht

  1. Der Agent erzeugt ein Schlüsselpaar auf dem überwachten Host und baut eine Zertifikatsanforderung. Der private Schlüssel verlässt die Maschine nie.
  2. Er ruft den Anmeldeendpunkt mit Token und Anforderung auf. Das Panel prüft den Token, signiert ein Zertifikat mit seiner internen CA und liefert es mit der CA-Kette zurück.
  3. Der Token ist damit verbraucht. Alles Weitere läuft über gegenseitiges TLS, und das Panel erkennt den Host am Zertifikatsfingerabdruck.
  4. Das Zertifikat ist an eine aus der Maschinenidentität des Betriebssystems abgeleitete Gerätekennung gebunden, sodass ein kopierter Schlüssel samt Konfiguration auf einem anderen Host abgewiesen wird.
  5. Der Agent holt seine effektive Konfiguration und beginnt zu berichten.

Was es den überwachten Server kostet

Eine Sammel-Goroutine nimmt eine Momentaufnahme pro Takt aus /proc und /sys - es wird kein Prozess je Metrik gestartet, und genau das macht Shell-basierte Collectors teuer. Teure Collectors (Paketaktualisierungen, SMART, Docker-Inventar, Hardware-Fakten) laufen in eigenen langen Intervallen statt in jedem Takt.

Netzwerkprüfungen - Verfügbarkeit, Ablauf von TLS-Zertifikaten, Ping - laufen im Panel, nicht im Agenten. Diese Prüfungen hinzuzufügen kostet den überwachten Server überhaupt nichts.

Aktualisieren und entfernen

Ein erneuter Lauf des Installers aktualisiert an Ort und Stelle. Selbstaktualisierungen sind auf den Panel-Host festgenagelt, an dem sich der Agent angemeldet hat, sodass eine eingereihte Aktualisierung nie eine Binärdatei von woanders holen kann. Zum Entfernen den Dienst stoppen und deaktivieren, Binärdatei und /etc/sentinel löschen und den Server im Panel entfernen, um den Slot freizugeben.

Weiterlesen