Zelf hosten

De diagnose-server

De server is een FastAPI-applicatie met uvicorn achter nginx met Let's Encrypt. Een idempotent installatiescript zet alles in een keer neer en is later ook de update-route; een bestaand .env en de map met runs blijven staan. Ondersteund volgens het script: Ubuntu, Debian en de RHEL-familie (AlmaLinux, Rocky, RHEL). Het script doet, in volgorde:

1. pakketten: Python 3.11 of nieuwer, nginx, certbot, unzip, rsync;
2. een systeemgebruiker diagnose en de map /opt/diagnose;
3. de code kopiëren, zonder geheimen en runs;
4. een virtuele omgeving, de afhankelijkheden en de geautomatiseerde tests;
5. een nieuw .env als dat ontbreekt, met een gegenereerd tenant-token en een gegenereerde sessiesleutel; de OpenAI-sleutel vult u zelf in;
6. een systemd-unit op 127.0.0.1:8765;
7. een nginx-vhost op poort 80, op SELinux-systemen de juiste boolean, en certbot voor https (de RMM-wrapper eist https);
8. poort 80 en 443 in ufw of firewalld;
9. een eindcontrole op de loginpagina en op /collect.ps1.sha256.

Wat de server nodig heeft: een DNS-naam die naar de VPS wijst, een OpenAI API-sleutel, en per tenant een token van minimaal 16 tekens. Een analyse-subprocess gebruikt ongeveer 150 MB geheugen; analyses draaien na elkaar in precies een achtergrondthread. De server ruimt niets vanzelf op; een bewaartermijn is handwerk.

Voor de pilot host RektPump AI de server zelf op diagnose.rektpump.com. Een eigen installatie bij de klant is mogelijk; de installatiedocumentatie en het script komen bij een pilot mee.

Tactical RMM als eigen RMM

Tactical RMM is in het RMM-overzicht technisch de beste self-host-optie: scriptargumenten en omgevingsvariabelen (vanaf 0.15.4), SYSTEM-context, 64-bit PowerShell 5.1, en een API-endpoint dat een script draait en de output synchroon teruggeeft. Precies wat de wrapper nodig heeft.

Wat erbij komt kijken, uit de officiële documentatie en licentie:

• Een verse Debian 11/12- of Ubuntu 22.04-VM, los van de diagnose-server. Een bestaande CentOS Stream-VPS met 1,6 GB geheugen is niet geschikt: de installer ondersteunt die distributie niet en het geheugen is te krap.
• Drie publieke subdomeinen (rmm, api en mesh) met een Let's Encrypt-wildcardcertificaat en TCP 443 open.
• Zonder sponsorship (55 dollar per maand of 600 dollar per jaar) is de Windows-agent ongesigneerd; Defender en EDR slaan daar snel alarm op.
• De licentie (Tactical RMM License v1.0) staat SaaS, beheerde hosting of een ander commercieel aanbod niet toe zonder schriftelijke toestemming van AmidaWare. Voor een eigen pilot is dat geen probleem; voor een betaalde add-on wel, en dat is een reden om de RMM van de klant als drager te verkiezen.

In de RMM zelf: het script in de Script Manager, per agent Run Script met uitvoermodus Wait for Output, de DIAG-waarden als Environment Variables (die worden niet gelogd; Script Arguments wel, in het PowerShell Operational-log). Via de API: POST /agents/<id>/runscript/ met header X-API-KEY en "output": "wait".