// tier: helix-primary · order 8

HelixTerminator betalicense: Apache-2.0

Go microservicesFlutter / Dart (BLoC)PostgreSQLKafkaRabbitMQRedisSPIFFE/SPIRE + mTLSEd25519Kubernetes + Helm + TerraformOpenTelemetryGrafanaJaegerLoki

Source

HelixTerminator — three-channel architecture Clients Zero-trust core · SPIFFE/SPIRE · Ed25519 OTel · Grafana · Jaeger · Loki Flutter clients Dart · BLoC Gateway mTLS ingress Go service mesh microservices Kafka RabbitMQ Redis PostgreSQL Host agent / SSH proxy short-lived certs
// architecture

Командаларға арналған нөлге сенімсіз терминалдық платформа — әрбір SSH сеансы қауіпсіздендірілген, бөлісілген және AI көмегімен қамтамасыз етілген.

HelixTerminator — кәсіпорындық терминал және SSH сеанстарын басқару платформасы. Ол Go микросервистер жүйесі ретінде құрылған, алты платформаға арналған Flutter клиенттерімен жабдықталған. Платформа нөлге сенімсіз модель бойынша қашықтағы сеанстарды делдалдайды, жазады және қауіпсіздендіреді, нақты уақыттағы ынтымақтастықты қамтамасыз етеді және терминалға AI көмегін қосады.

HelixTerminator — нөлге сенімсіз, кәсіпорындық терминал/SSH басқару платформасы: Go микросервистер бекенді және алты платформаға арналған Flutter клиенттері. Ол хосттарды басқарады, байланыстарды делдалдайды, сеанстарды жазады, нақты уақыттағы ынтымақтастықты қамтамасыз етеді және AI көмегімен командаларға көмек, шығысты түсіндіру және инциденттерге жауап беру қызметтерін қосады.

HelixTerminator — кәсіпорын деңгейіндегі терминал және қашықтағы қол жеткізу платформасы. Ол екі модульден — Терминалдық платформа және Байланыс делдалынан — тұрады және Go микросервистер каталогымен жүзеге асырылған, алты платформаға бағытталған бір Flutter клиентінен тұрады. Оның мақсаты — SSH құралдарын ретсіз пайдалануды толығымен жою: енді әрбір ноутбук үшін жеке клиенттер, жеке кілттердің шашырауы және аудиттік олқылықтар жоқ, оның орнына қашықтағы қол жеткізуді жеке әдет емес, инфрақұрылым ретінде қарастыратын бір реттелген, аудиттелетін және бірлескен жүйе келді.

Бекенд қашықтағы қол жеткізудің барлық өмірлік циклін бақылайды. Хосттар мен топтар бастион/секіру хосттары тізбегімен басқарылады; SSH проксисі пароль, ашық кілт және сертификаттық аутентификацияны делдалдайды; терминалдық I/O проксиі сеансты WebSocket арқылы тасымалдайды; SFTP қайта жалғастырылатын файлдарды тасымалдауды қамтамасыз етеді; сондай-ақ порттарды алға жіберу, фрагменттер мен жұмыс кеңістігін басқару және қол қойылған asciinema ойнату арқылы сеанстарды жазу мүмкіндігі бар. Қауіпсіздік нөлге сенімсіздік принципінен басталады, кейіннен енгізілген емес: қауіпсіз қойма нөлдік біліммен құпияларды сақтайды, PKI қызметі қысқа мерзімді SSH сертификаттарын шығарады, сондықтан ұзақ уақыт сақталатын ақпарат ұрланбайды, аппараттық кілттер тізбегі (Secure Enclave / Android Keystore / DPAPI / HSM) кілттерді дискіде сақтамайды, FIDO2/WebAuthn және OIDC/SAML аутентификацияны қамтамасыз етеді, ал қосымшаға ғана жазуға болатын, Merkle тізбегіне негізделген аудиттік журнал SOC 2 / ISO 27001 дәлелдерін өзгеріссіз жасайды. Оған қоса, нақты уақыттағы ынтымақтастық бірнеше операторға бір сеансты бақылаушы / көмекші / ие рөлдерінде бірлесіп пайдалануға мүмкіндік береді, ал CRDT буферлік синхрондауы консистенттілікті сақтайды.

Терминалдың үстінде AI қызметі жұмыс істейді, ол командаларды автоматты түрде толықтыру, шығысты қарапайым тілмен түсіндіру, аномалияларды анықтау, нұсқаулықтарды жасау және қолданбалы инциденттерге көмек көрсету қызметтерін қосады — терминалды қарапайым құбырдан қажетті сәттерде көмекшіге айналдырады. Бүкіл платформа контейнерлік технологияларға негізделген — Kubernetes, Helm, Terraform және OpenTelemetry, Grafana, Jaeger, Loki бақылау стегімен жабдықталған, ал Helix отбасымен HelixTrack көпіршігі және жергілікті HelixLLM арқылы байланысады. Барлығы Helix Constitution қауіпсіздік шлюзтерімен жұмыс істейді.

Командалар шашыраңқы SSH клиенттері арқылы қашықтан инфрақұрылымды басқарады, бірақ ортақ аудит журналы жоқ, құпияларды біркелкі басқару жоқ, ал инцидент бойынша тікелей ынтымақтасу мүмкіндігі жоқ. HelixTerminator қашықтан кіруді жеке ноутбук құралы емес, басқарылатын, нөлдік сенімді, командаға арналған платформаға айналдыру үшін құрастырылды.

Бұл бүкіл сатып алу тізімін бір платформаға біріктіреді. SSH клиенті, құпиялар қоймасы, бастион/PKI қабаты, сессияны жазу, сәйкестік аудиті және тікелей ынтымақтасу – бұл командалардың әдетте жеке-жеке сатып алатын, біріктіретін және үйлестіретін құралдары, әрқайсысының арасындағы ақаулары бар. HelixTerminator оларды бір басқарылатын жүйе ретінде жеткізеді, содан кейін осы құралдардың ешқайсысы жеке-жеке жасай алмайтын нәрсені істейді: ол терминалдың үстінде тікелей AI қабатын орналастырады, бейтаныс шығысты түсіндіреді және инцидент тірі кезінде жүргізуші кітапшаларды жасайды. Бұрын мүмкін болмаған мүмкіндік – қашықтан кіру сессиясы бір уақытта нөлдік сеніммен қорғалған, өзгерістерді анық көрсететін жазулы, операторлар арасында тікелей бөлісетін және AI көмегімен қолдау көрсетілетін болып шықты – барлығы бір уақытта, бір терезеден.

  • Қос модульді жобалау (Терминал платформасы + Байланыс брокері) қызметтер тізімі арқылы үйлестіріледі, сондықтан платформа мен брокерлеу қабаты жеке-жеке масштабталады және дамиды.
  • Нөлдік сенімді қауіпсіздік соңы мен соңына дейін: PKI арқылы шығарылатын қысқа мерзімді SSH сертификаттары, нөлдік білім қоймасы, аппараттық қолдау көрсетілетін кілттер тізбегі және Меркл тізбегімен байланысқан аудит журналы – тұрақты құпиялар жоқ, тексерілмейтін із жоқ.
  • Тікелей сессиядағы ынтымақтасу CRDT буферлік синхрондауы және айқын бақылаушы/қос-пилот/иесі рөлдерімен, бірнеше оператор бір терминалда бір-біріне кедергі келтірмей жұмыс істей алады.
  • AI көмегімен операциялар тірі терминалға қабатталады: автодополнение, шығысты түсіндіру, аномалияны анықтау және жүргізуші кітапшалар/инцидент көмегі – операторға қажет жерде.
  • Кросс-платформалық Flutter клиенті бір кодтық базадан алты платформада жұмыс істейді, сондықтан жұмыс үстелі, мобильді және веб тәжірибелері бір уақытта біркелкі болады.

  • Тұрақты құпияларды ұрламай қашықтан кіруді қауіпсіздеу – ұзақ мерзімді кілттер классикалық бұзу vector болып табылады. Бұл мәселені сұраныс бойынша қысқа мерзімді SSH сертификаттарын шығаратын PKI қызметімен, сервердің өзі оқи алмайтын құпияларды сақтайтын нөлдік білім қоймасымен және жеке материалдар дискіде ашық қалмайтындай аппараттық кілттер сақтаушысымен (Secure Enclave/Android Keystore/DPAPI/HSM) шештік.
  • Бірнеше оператордың бір сессияны басқаруына мүмкіндік беру, буферді бүлдірмей – бір терминалды бір уақытта өзгерту – қиын үйлесімділік мәселесі. Бұл мәселені орталық төрешісіз конвергенцияланатын CRDT негізіндегі буферлік синхрондаумен шештік (ADR-006 бойынша операциялық түрлендірудің орнына таңдалды).
  • Сәйкестік дәлелдерін тығыз өзгертуге болмайтындай ету – өзгертуге болатын аудит журналы ештеңені дәлелдемейді. Бұл мәселені Меркл тізбегімен байланысқан қосымшаға ғана жазуға болатын журналмен шештік, онда кез келген өзгеріс хэш тізбегін бұзады, нәтижесінде экспортталатын SOC 2/ISO 27001/FedRAMP дәлелдері алынады.
  • Үш кодтық базасыз жұмыс үстелі, мобильді және веб үшін біркелкі пайдаланушы тәжірибесін жасау – бір Flutter/Dart клиентін BLoC үлгісімен пайдалану арқылы шештік, алты платформада бір кодтық базадан жұмыс істеу үшін Flutter Electron-дан артық деп таңдалды (ADR-001 бойынша).

Мазмұны

  • Go микросервистері — бекенд флоты (SSH проксиі, терминал, қазына, PKI, аудит және тағы басқалары); көп ағынды сеанстарды бір уақытта ұстауға арналған параллелділік моделі мен кішігірім жұмыс істеу ортасы үшін таңдалған (ADR-002: Go Rust/Node-ға қарағанда).
  • Flutter / Dart (BLoC) — алты платформада бір клиенттік код базасы, BLoC күйді болжамды етеді; Flutter Electron-ға қарағанда (ADR-001) жеке туынды және веб алдыңғы бөліктерді қолдауды болдырмау үшін таңдалған.
  • PostgreSQL — негізгі дерекқор, транзакциялық ядроның жетілген, жақсы түсіндірілген болуы үшін CockroachDB-ға қарағанда таңдалған (ADR-004).
  • Kafka + RabbitMQ — сеанстық сегменттер мен оқиғаларды тасымалдайтын хабарлама және ағындық қабат (ADR-003), төзімді журналды икемді кезекпен біріктіреді.
  • Redis — терминалдың айналмалы буферлерін және төмен кешігуді қажет ететін сеанстық күйді сақтайды, мұнда төзімділікке қарағанда жылдамдық маңыздырақ.
  • SPIFFE/SPIRE + mTLS — криптографиялық жұмыс жүктемесінің идентификациясын береді (ADR-005), сондықтан сервис арасындағы трафик өзара аутентификацияланады, нөлдік сенімділік тор ішінде де, тек шетінде ғана емес.
  • Ed25519 (EdDSA) — JWT және сеанстық жазбаларды қол қояды (ADR-009), жазбаларды тексеруге мүмкіндік беретін жылдам, қазіргі заманғы қолтаңбаларды қамтамасыз етеді.
  • Kubernetes + Helm + Terraform — контейнерлік орналастыру, қайталанғыш және нұсқалармен басқарылатын инфрақұрылыммен (ADR-007/008).
  • OpenTelemetry, Grafana, Jaeger, Loki — іздер, метрикалар, дашбордтар және журналдар үшін бақылау стегі; Falco, Trivy, Cosign, Sealed Secrets — жұмыс істеу уақытындағы қауіпті анықтау, бейнелерді сканерлеу, артефакт қолтаңбасы және жеткізу тізбегі бойынша шифрланған құпияларды жеткізу.

  • Жағдайы: бета. Іс-әрекеттегі, белсенді дамытылып жатқан айтарлықтай код базасы (2026-07-04 күні жасалған). Жобаның MVP зерттеу пакетіндегі сандық сипаттамалар (соңғы нүктелер, кестелер және сервистер саны) docs/research/mvp/ деректерінен жобаланған/сипатталған мақсаттар, толық жүзеге асырылғаны расталмаған, сондықтан жоғарыда архитектуралық ауқым ретінде көрсетілген, емес жеткізілген көрсеткіштер ретінде. Кешігу/SLO және "өндіріске дайын" мәлімдемелері тәуелсіз тексерілмеген.
  • Лицензиясы: Apache-2.0 (GitHub API бойынша).

Басымдық деңгейі: Helix-негізгі.