CLI

Olivares AI wordt geleverd als één statische Go binary, olivares. Hetzelfde artefact is de engine, de ingebouwde webconsole (geserveerd op dezelfde origin als de API), en de edge- collector — welke rol je krijgt wordt bepaald door het subcommando dat je draait. Er is geen apart “server”- en “agent”-download.

Deze pagina documenteert de commando’s en vlaggen bevestigd in de huidige binary. Het is niet uitputtend, en het oppervlak is pre-1.0: subcommando’s, vlaggen en standaarden kunnen wijzigen. Bij twijfel, draai olivares <command> --help tegen de exacte build die je hebt gedeployed en beschouw dat als gezaghebbend. Voor hoe je de binary verkrijgt en draait, zie Zelf hosten; voor instellingen die in de omgeving leven in plaats van vlaggen, zie Configuratie.

Commando-overzicht

olivares <command> [flags]

De root-commandogroepen, onder andere:

De secties hieronder behandelen de commando’s waar operators het eerst naar grijpen. keys, license en evals zijn echt maar gespecialiseerd; draai ze met --help voor hun vlagoppervlakken.

olivares serve

Draait het control plane: de HTTP-server (REST API plus de ingebouwde console) en de gRPC- server. Drie eigenschappen zijn standaarden, geen opt-ins:

• TLS is standaard aan. Zonder meegegeven certificaat genereert de engine een zelfondertekend certificaat in de datadirectory en logt de SHA-256-vingerafdruk; clients moeten het vertrouwen of pinnen. De gRPC-server faalt closed — buiten --insecure weigert het te starten in plaintext in plaats van stilzwijgend te degraderen.
• Standaard loopback. Beide listeners binden 127.0.0.1. Het control plane buiten de lokale host blootstellen is een bewuste wijziging: je stelt een niet-loopback bind in en zet er je eigen ingress voor. Het control plane draait in je infrastructuur en kan air-gapped worden.
• Geen standaard credentials. Op een verse installatie zonder gebruikers genereert de engine een eenmalig, eenmalig-te-gebruiken setuptoken (prefix olst_) en print het naar alleen stdout (nooit de logs). Je bootstrapt de eerste administrator door dat token te posten naar POST /v1/setup, daarna log je in.

olivares serve
# Lees het eenmalige olst_ setuptoken van de stdout van dit proces.

Nuttige vlaggen

SQLite (pure-Go, single-node) past bij air-gapped, single-node installaties. Het selecteren van postgres is wat je doet voor multi-tenant of scale-out deployments, waar row-level security de tenant-backstop is. Er zijn verdere vlaggen voor Postgres-residency en rollen (--admin-dsn, --region, --known-regions, --allow-privileged-db-role) — zie hun --help en Configuratie.

--insecure serveert plaintext HTTP en gRPC, dus bearertokens reizen in het open. Gebruik het nooit op een adres dat bereikbaar is buiten de lokale host.

--seed-demo is alleen voor demo

--seed-demo richt een synthetisch, verzonnen domein in samen met een demo- administrator wiens wachtwoord publiek is (het staat in de broncode). Het bestaat om de console en end-to-end tests te laten renderen tegen live-achtige data. Omdat de credential publiek is, weigert serve te starten met --seed-demo op elke niet-loopback bind en stopt met een fout die je verwijst naar 127.0.0.1.

Beschouw het als wegwerp: gebruik een wegwerp-datadirectory en wijs het nooit naar data die je belangrijk vindt. Een echte installatie is serve zonder --seed-demo, waar de engine een eenmalig setuptoken genereert en je je eigen administrator aanmaakt. Zie Snelstart voor de demo-doorloop.

olivares collector

Draait de binary als een edge-collector voor de gedistribueerde topologie. Een collector laadt de geconfigureerde bronconnectors lokaal en pusht hun observaties naar een remote core via gRPC. Het opent geen inkomende listener — het belt uit, het accepteert geen verbindingen, zodat een falende collector nooit in het datapad van een agent zit.

olivares collector --core-addr host:port [flags]

--core-addr is vereist. De collector authenticeert naar de core met een bearertoken met een ingest-principal (--token-file, of $OLIVARES_INGEST_TOKEN) en — wanneer de core wederzijdse TLS afdwingt — een collector-clientcertificaat (--client-cert, --client-key, met --ca om een zelfondertekend core-certificaat te pinnen). Zowel serve als collector sluiten hun connectors aan vanuit dezelfde configuratie; een niet-geconfigureerde bron waarschuwt eerlijk in plaats van het proces te laten falen. Het configureren van bronnen wordt behandeld in Een bron aansluiten.

olivares version

Print de versie, commit, builddatum, OS/arch en Go-runtime, plus de FIPS 140-3-modus van deze binary (een modus, geen validatieclaim).

olivares version

De versietekenreeks wordt bij buildtijd geïnjecteerd; een build van een ongetagde werkboom rapporteert een ontwikkelversie. Behandel de tekenreeks niet als herkomst — verifieer releases met de ondertekende artefacten. Zie Een release verifiëren.

olivares openapi

Print het OpenAPI 3.1-document van de engine naar stdout, deterministisch ingesprongen zodat de uitvoer schoon difft, zonder een draaiende server.

olivares openapi > openapi.json

Dit is hetzelfde contract dat de engine serveert op GET /openapi.json. Het geserveerde REST- oppervlak dekt de kernpaden; sommige moduleroutes zijn bereikbaar maar staan bewust niet in het geserveerde document.

olivares audit en dr

Het bewijslogboek heeft twee offline commandogroepen:

• audit opereert op het append-only logboek: verify de hashketen en ondertekende checkpoints van een tenant, checkpoint om een nieuwe te schrijven, export naar een SIEM-formaat (cef/syslog/otlp), en archive export / archive verify voor het onveranderlijke archief dat offline herverifieert. audit verify en audit archive verify printen een JSON- rapport en sluiten standaard af met 0; geef --strict mee om af te sluiten met niet-nul bij een gefaalde integriteits- controle zodat cron of CI erop kan gaten. Externe sleutelpinnen (--pubkey, --event-pubkey) vervangen de on-box adviessleutels voor een aanvallerbestendige controle.
• dr is een logboek-continuïteitsveilige backup / restore, plus verify (een niet- destructieve DR-oefening) en inspect. In tegenstelling tot een ruwe databasedump vangt het de ondertekenings- sleutels op onder je sleutelversleutelingssleutel, registreert de per-tenant ketenpunten, en herverifieert de hele keten bij restore. restore en verify sluiten af met niet-nul tenzij het herstelde logboek groen is.

Deze commando’s ondersteunen het verificatiemodel beschreven in Bestuur en Een release verifiëren.

Stabiliteit

Pre-1.0, in actieve ontwikkeling. De commando’s en vlaggen hierboven zijn bevestigd in de huidige binary, maar het volledige oppervlak is nog in ontwikkeling. Draai olivares <command> --help tegen je build en beschouw dat als gezaghebbend boven elk document. Voor wat vandaag is geïmplementeerd versus gepland, zie Eerlijkheid en beperkingen.