RoutineOps

RoutineOps - self-hosted платформа класса MDM/RMM: одна панель, из которой видно весь парк устройств и можно им управлять. На каждое устройство ставится агент (Windows - MSI, macOS - pkg, Linux - systemd-служба), он держит постоянный канал с сервером по gRPC поверх mTLS и без VPN. Через панель собирается инвентарь, гоняются скрипты, применяются политики и правила комплаенса.

Проще говоря, это замена облачным Intune, VMware Workspace ONE и SaaS-RMM вроде Tactical RMM - но сервер и все данные о машинах остаются у вас. Из коробки: инвентаризация (ОС, CPU/RAM/диск, IP, серийник, список установленного ПО, события процессов), библиотека скриптов с разовым запуском и политиками по расписанию, группы устройств, софт-политики allowed/forbidden, блокировка устройства (работает офлайн), RBAC (роли it_admin/viewer), аудит с настраиваемым retention, алерты в Telegram и самообновление агентов с проверкой подписи ed25519.

Сервер и веб-консоль написаны на Go, веб отдается через nginx. Состояние - в PostgreSQL 16, очереди и эфемерные данные - в Redis 7. Весь стек - четыре контейнера, поднимается одним docker compose.

Связь агента с сервером - строго mTLS на порту :50051 (gRPC). Канал энроллмента отдельный: server-auth TLS через nginx на :443 плюс одноразовый токен - на момент энроллмента mTLS-идентичности у устройства еще нет, ее агент и получает. Публичный ключ для проверки подписи обновлений агент тоже получает при энроллменте по доверенному каналу с пином CA, а не вшивается в сборку. Агенты собираются под три платформы: Windows (MSI), macOS (pkg), Linux (systemd-служба под root).

1. Создать VM

   Fatmetal Cloud Server, Ubuntu 24.04, приложение Docker из маркетплейса. Docker доустанавливается облачным cloud-init еще пару минут после старта.

2. Забрать репозиторий и запустить установщик

   git clone https://github.com/Floodww/RoutineOps.git
   cd RoutineOps
   ./install.sh

   Установщик генерит свой Root CA и серверный сертификат, кладет .env.prod, создает ключ подписи релизов ed25519, поднимает docker compose, прогоняет миграции и собирает агенты под Windows/Linux/macOS.

3. Открыть консоль

   Веб-консоль поднимается на https://<IP-или-домен>. Логин администратора установщик печатает в конце (email + пароль). Проверка живости: curl -k https://localhost/api/v1/auth/login.

4. Завести устройство

   В разделе Устройства - Добавить устройство: панель выдает одноразовый enrollment-токен. На машине запускаете агента командой agent enroll с этим токеном - он получает mTLS-сертификат и регистрируется как служба.

https://mdm.ваш-домен/dashboard

Мы не просто открыли пустую панель. Завели сам стенд как Linux-устройство (агент по mTLS) - он сразу отдал инвентарь: Ubuntu 24.04.4 LTS, CPU Intel Xeon Platinum 8270, RAM 3.8 ГБ, диск 47 ГБ, серийник, 755 установленных пакетов. Потом создали скрипт и удаленно запустили его на устройстве - вернулся реальный вывод (uptime и df -h), задача перешла в статус Выполнена.

https://mdm.ваш-домен/devices/…

https://mdm.ваш-домен/scripts

Проверено на версии 2.4.5, июль 2026. На новых версиях результаты могут отличаться.

Канал агент-сервер - mTLS, у каждого устройства свой клиентский сертификат. Доступ в панель - RBAC (роли it_admin/viewer), сессия в HttpOnly-cookie с JWT. Агенты самообновляются с проверкой подписи ed25519, ключ приходит при энроллменте по доверенному каналу. Аудит пишется с настраиваемым retention, алерты можно слать в Telegram.

Обновление - подтянуть свежий код и перезапустить установщик (он пересоберет образы и агенты):

git pull && ./install.sh

Бэкап состояния - дамп PostgreSQL:

docker exec routineops-postgres-1 pg_dump -U postgres routineops > backup.sql

Чек-лист перед продом: сменить дефолтный пароль администратора; сохранить .env.prod и материал CA в секрет-хранилище; настроить бэкап postgres по расписанию; ограничить доступ к порту :50051 сетью устройств; решить вопрос с публичным TLS консоли, не ломая CA агентов; учесть незрелость проекта в модели рисков.

• Обратный прокси - Caddy или Nginx Proxy Manager перед консолью, но аккуратно: канал агентов на :50051 оставляем на родном mTLS, прокси только на веб.
• Бэкапы - pg_dump плюс выгрузка в S3-совместимое хранилище.
• Мониторинг - Grafana и Prometheus поверх метрик хоста и контейнеров.
• Алерты - Telegram-бот уже встроен, отдельный стек не нужен.