Een bron aansluiten

Een bron observeert één extern systeem en zendt genormaliseerde observaties uit — het zit nooit in het datapad, proxyt verkeer, of leest payloads. Deze pagina behandelt het connectormodel en hoe je een echte bron aansluit via OLIVARES_SOURCES_CONFIG. Als je alleen een coding-agent wilt aansluiten, begin dan met Claude Code aansluiten; dat is één bron op het coöperatieve pad, en dit is het model eronder.

Wat een bron doet

Een bron observeert een systeem en rapporteert wat het zag als getypeerde observaties. De lees/schrijf-toegangskaart wordt opgebouwd uit wat de bron rapporteert, niet uit het onderscheppen van wat er stroomt. De engine bezit de planning: een streaming- bron (een log-tail) blokkeert tot annulering; een batchbron doet zijn werk en retourneert, en de engine beslist wanneer het opnieuw draait.

Een observatie bevat alleen identifiers en een lees/schrijf-classificatie — nooit SQL- body’s, verzoekpayloads, geheimen of PII. Dat is een eigenschap van het draadprotocol dat de connector spreekt, niet een instelling die je kunt omschakelen. Zie Toegestaan versus waargenomen voor hoe deze observaties op de kaart terechtkomen.

Elke verbinding registreert welke bron het produceerde en een betrouwbaarheidsniveau, en het product toont beide. Attributie is firm wanneer de toegang gebonden is aan een per-agent-identiteit en approximate wanneer het is afgeleid of lossy (een gedeeld serviceaccount, een gepoolde verbinding). De toegangsmodus is een van unknown, read, write of readwrite — unknown is expliciet en wordt nooit geraden. Zie Betrouwbaarheid.

Waar het draait

De collectors die deze bronnen draaien, draaien altijd op je infrastructuur. Het control plane dat ze opneemt kan een enkele zelf gehoste binary zijn, een gedistribueerde deployment, of air-gapped — de data van het geobserveerde domein verlaat nooit je grens. Zie Zelf hosten en het architectuuroverzicht.

Het configuratiebestand

Echte (niet-demo) bronnen worden aangesloten vanuit een enkel operatorconfigbestand aangewezen door de OLIVARES_SOURCES_CONFIG omgevingsvariabele, gelezen voordat de engine start. Het is een JSON-document dat een lijst van sources declareert. Elke entry selecteert een connector op kind, noemt de tenant waartoe zijn observaties behoren, geeft de bron een name, en draagt de eigen config van de connector. Een optionele poll_seconds herdraait een batch- bron op een interval; een streamingbron negeert het.

De brontypen zijn geregistreerde namen in de engine. De twee clean-tier bestandsobservers zijn pgaudit (PostgreSQL) en s3cloudtrail (AWS S3). Gebruik exact die strings — eerdere documentatie die pg_audit of cloudtrail schreef was fout en die strings resolven niet.

Een echte pgaudit-bron

De pgAudit-bron tailt het gestructureerde auditlog van PostgreSQL en zendt één verbinding per geauditeerde datatoegang uit. De lees/schrijf-modus wordt letterlijk overgenomen van pgAudit’s klasse (READ, WRITE, DDL) — nooit afgeleid uit de SQL-tekst. Het is read-only over het log- bestand en opent nooit een verbinding naar de database.

{
  "sources": [
    {
      "name": "prod-postgres",
      "kind": "pgaudit",
      "tenant": "acme",
      "config": {
        "log_path": "/var/log/postgresql/postgresql.json",
        "format": "jsonlog",
        "follow": "true",
        "shared_accounts": "app_pool,reporting"
      }
    }
  ]
}

De config-waarden zijn strings. De sleutels hierboven zijn eigendom van de pgAudit-connector:

• log_path (vereist) — pad naar het PostgreSQL-logbestand om te lezen.
• format — csvlog of jsonlog; standaard csvlog.
• follow — continu tailen. Dit geldt alleen voor jsonlog; een csvlog-bestand wordt gelezen als batch omdat records meerdere regels kunnen beslaan.
• shared_accounts — kommagescheiden rollen of application_name’s die gepoold of gedeeld zijn. Toegang toegeschreven aan een van deze wordt bewust gemarkeerd als approximate, omdat de trail de echte aanroepers achter een gedeelde identiteit niet kan scheiden.

Een onderscheidende application_name is de per-agent-brug die een firm verbinding verdient. Als veel agents één rol of connection pool delen, comprimeert elke toegang op die identiteit en wordt attributie approximate — het product zegt dat in plaats van te doen alsof het de agents kan onderscheiden.

Een echte s3cloudtrail-bron

De CloudTrail-bron leest AWS CloudTrail-logbestanden en zendt één verbinding per S3-gebeurtenis uit, met lees/schrijf letterlijk overgenomen van CloudTrail’s readOnly-veld. De oorsprong is de IAM- principal; een assumed role gedeeld over aanroepers wordt gemarkeerd als approximate.

{
  "sources": [
    {
      "name": "prod-s3",
      "kind": "s3cloudtrail",
      "tenant": "acme",
      "config": {
        "path": "/var/log/cloudtrail/",
        "shared_accounts": "shared-pipeline-role"
      }
    }
  ]
}

De path-sleutel (vereist) is een CloudTrail-logbestand of een directory van *.json / *.json.gz bestanden. shared_accounts gedraagt zich zoals bij pgAudit.

Wanneer er niets is aangesloten, waarschuwt de engine

De engine faalt veilig, niet luid:

• Als OLIVARES_SOURCES_CONFIG niet is ingesteld, start de engine zonder bronnen.
• Als het bestand ontbreekt, onleesbaar is of geen geldige JSON is, waarschuwt de engine en gaat verder zonder bronnen — het crasht niet bij het opstarten.
• Als de bronlijst leeg is, waarschuwt het dat er geen connector zal inlezen en dat het domein draait zonder live verkeer.

In elk geval vertelt het opstartlog je duidelijk dat er niets echts is aangesloten. Een lege toegangskaart mag nooit eruitzien als een schone.

Niet elke in-tree connector is aangesloten in standaard serve

Olivares AI levert meer connectors in-tree dan een standaard serve binary registreert als selecteerbare brontypen. De bestandsobservers pgaudit, s3cloudtrail, de kernel- backstop ebpf, de host runtime-lezer en mcp-introspectie zijn aangesloten in standaard serve, samen met een set dataplatform-, geheimen-, netwerk- en identiteits- observers. Andere connectors bestaan in de tree maar zijn nog niet aangesloten in het standaard serve-bronregister — dat is een getrackte vervolgtaak, geen claim dat alles vandaag selecteerbaar is. Als een kind die je verwacht niet resolvet, beschouw het als nog niet aangesloten in plaats van verkeerd geconfigureerd, en bevestig tegen de eigen descriptor van de connector voordat je erop vertrouwt.

Deze pagina beschrijft alleen sleutels die zijn geverifieerd tegen de bovenstaande connectors. De exacte config-sleutels voor elke andere connector zijn eigendom van die connector; lees de descriptor ervan in plaats van een niet-geverifieerd schema te kopiëren.

Gerelateerd

• Claude Code aansluiten — het coöperatieve pad, van begin tot eind.
• De lees/schrijf-toegangskaart — wat deze observaties opbouwen.
• Betrouwbaarheid — dekking- en attributietiers.
• Eerlijkheid en beperkingen — wat geverifieerd is versus design-fase.