CLI

Olivares AI wordt geleverd als één statische Go binary, olivares. Hetzelfde artefact is de engine, de ingebouwde webconsole (geserveerd op dezelfde origin als de API), en de edge- collector — welke rol je krijgt wordt bepaald door het subcommando dat je draait. Er is geen apart “server”- en “agent”-download.

Deze pagina documenteert de commando’s en vlaggen bevestigd in de huidige binary. Het is niet uitputtend, en subcommando’s, vlaggen en standaarden kunnen tussen releases wijzigen. Bij twijfel, draai olivares <command> --help tegen de exacte build die je hebt gedeployed en beschouw dat als gezaghebbend. Voor hoe je de binary verkrijgt en draait, zie Zelf hosten; voor instellingen die in de omgeving leven in plaats van vlaggen, zie Configuratie.

Commando-overzicht

olivares <command> [flags]

De root-commandogroepen, onder andere:

De secties hieronder behandelen de commando’s waar operators het eerst naar grijpen. keys, license en evals zijn echt maar gespecialiseerd; draai ze met --help voor hun vlagoppervlakken.

olivares serve

Draait het control plane: de HTTP-server (REST API plus de ingebouwde console) en de gRPC- server. Drie eigenschappen zijn standaarden, geen opt-ins:

• TLS is standaard aan. Zonder meegegeven certificaat genereert de engine een zelfondertekend certificaat in de datadirectory en logt de SHA-256-vingerafdruk; clients moeten het vertrouwen of pinnen. De gRPC-server faalt closed — buiten --insecure weigert het te starten in plaintext in plaats van stilzwijgend te degraderen.
• Standaard loopback. Beide listeners binden 127.0.0.1. Het control plane buiten de lokale host blootstellen is een bewuste wijziging: je stelt een niet-loopback bind in en zet er je eigen ingress voor. Het control plane draait in je infrastructuur en kan air-gapped worden.
• Geen standaard credentials. Op een verse installatie zonder gebruikers genereert de engine een eenmalig, eenmalig-te-gebruiken setuptoken (prefix olst_) en print het naar alleen stdout (nooit de logs). Je bootstrapt de eerste administrator door dat token te posten naar POST /v1/setup, daarna log je in.

olivares serve
# Lees het eenmalige olst_ setuptoken van de stdout van dit proces.

Nuttige vlaggen

SQLite (pure-Go, single-node) past bij air-gapped, single-node installaties. Het selecteren van postgres is wat je doet voor multi-tenant of scale-out deployments, waar row-level security de tenant-backstop is. Er zijn verdere vlaggen voor Postgres-residency en rollen (--admin-dsn, --region, --known-regions, --allow-privileged-db-role) — zie hun --help en Configuratie.

--insecure serveert plaintext HTTP en gRPC, dus bearertokens reizen in het open. Gebruik het nooit op een adres dat bereikbaar is buiten de lokale host.

--seed-demo is alleen voor demo

--seed-demo richt een synthetisch, verzonnen domein in samen met een demo- administrator wiens wachtwoord publiek is (het staat in de broncode). Het bestaat om de console en end-to-end tests te laten renderen tegen live-achtige data. Omdat de credential publiek is, weigert serve te starten met --seed-demo op elke niet-loopback bind en stopt met een fout die je verwijst naar 127.0.0.1.

Beschouw het als wegwerp: gebruik een wegwerp-datadirectory en wijs het nooit naar data die je belangrijk vindt. Een echte installatie is serve zonder --seed-demo, waar de engine een eenmalig setuptoken genereert en je je eigen administrator aanmaakt. Zie Snelstart voor de demo-doorloop.

olivares collector

Draait de binary als een edge-collector voor de gedistribueerde topologie. Een collector laadt de geconfigureerde bronconnectors lokaal en pusht hun observaties naar een remote core via gRPC. Het opent geen inkomende listener — het belt uit, het accepteert geen verbindingen, zodat een falende collector nooit in het datapad van een agent zit.

olivares collector --core-addr host:port [flags]

--core-addr is vereist. De collector authenticeert naar de core met een bearertoken met een ingest-principal (--token-file, of $OLIVARES_INGEST_TOKEN) en — wanneer de core wederzijdse TLS afdwingt — een collector-clientcertificaat (--client-cert, --client-key, met --ca om een zelfondertekend core-certificaat te pinnen). Zowel serve als collector sluiten hun connectors aan vanuit dezelfde configuratie; een niet-geconfigureerde bron waarschuwt eerlijk in plaats van het proces te laten falen. Het configureren van bronnen wordt behandeld in Een bron aansluiten.

olivares version

Print de versie, commit, builddatum, OS/arch en Go-runtime, plus de FIPS 140-3-modus van deze binary (een modus, geen validatieclaim).

olivares version

De versietekenreeks wordt bij buildtijd geïnjecteerd; een build van een ongetagde werkboom rapporteert een ontwikkelversie. Behandel de tekenreeks niet als herkomst — verifieer releases met de ondertekende artefacten. Zie Een release verifiëren.

olivares openapi

Print het OpenAPI 3.1-document van de engine naar stdout, deterministisch ingesprongen zodat de uitvoer schoon difft, zonder een draaiende server.

olivares openapi > openapi.json

Dit is hetzelfde contract dat de engine serveert op GET /openapi.json. Het geserveerde REST- oppervlak dekt de kernpaden; sommige moduleroutes zijn bereikbaar maar staan bewust niet in het geserveerde document.

olivares audit en dr

Het bewijslogboek heeft twee offline commandogroepen:

• audit opereert op het append-only logboek: verify de hashketen en ondertekende checkpoints van een tenant, checkpoint om een nieuwe te schrijven, export naar een SIEM-formaat (cef/syslog/otlp), en archive export / archive verify voor het onveranderlijke archief dat offline herverifieert. audit verify en audit archive verify printen een JSON- rapport en sluiten standaard af met 0; geef --strict mee om af te sluiten met niet-nul bij een gefaalde integriteits- controle zodat cron of CI erop kan gaten. Externe sleutelpinnen (--pubkey, --event-pubkey) vervangen de on-box adviessleutels voor een aanvallerbestendige controle.
• dr is een logboek-continuïteitsveilige backup / restore, plus verify (een niet- destructieve DR-oefening) en inspect. In tegenstelling tot een ruwe databasedump vangt het de ondertekenings- sleutels op onder je sleutelversleutelingssleutel, registreert de per-tenant ketenpunten, en herverifieert de hele keten bij restore. restore en verify sluiten af met niet-nul tenzij het herstelde logboek groen is.

Deze commando’s ondersteunen het verificatiemodel beschreven in Bestuur en Een release verifiëren.

Stabiliteit

De commando’s en vlaggen hierboven komen overeen met de huidige release. Draai olivares <command> --help met je geïnstalleerde binary; die uitvoer is gezaghebbend boven elk document. Voor wat elke module vandaag doet, zie Eerlijkheid en beperkingen.