1つのコマンド。完全に保護。

各ノードには、暗号学的にランダムな一意のサーバートークン（256-bit）が割り当てられます。このトークンは、ノード作成時に CASTOVIA の管理画面で生成されます。登録時に 1 回だけ使用され、その後はローテーションされる TLS クライアント証明書に置き換えられます。

エージェントと CASTOVIA Cloud の間のすべての通信は TLS 1.3 を使用します。エージェントは CASTOVIA の証明書チェーンをピン留めされたルート CA で検証します — システム証明書ストアは信頼しません。中間者攻撃は不可能です。

エージェントに必要なのは CASTOVIA Cloud へのアウトバウンド HTTPS（ポート 443）だけです。インバウンドポートを開く必要はありません。サーバーのファイアウォールルールは変更されず、エージェントが iptables、nftables、firewalld を変更することもありません。

エージェントは専用の非特権ユーザー（castovia-agent）として実行されます。root が必要なのはインストール時のみです（systemd サービス作成のため）。実行時は最小権限で動作し、ストリームソースの読み取りと自身のキャッシュディレクトリへの書き込みだけが許可されます。

クライアント証明書は 7 日ごとにローテーションされます。更新はエージェントが透過的に処理します。証明書が失効した場合（例: サーバーがオフラインだった場合）、エージェントは CASTOVIA の管理画面で承認が必要な安全な再登録フローを使用します。

エージェントは自身の健全性を監視します。クラッシュした場合、systemd が 5 秒以内に再起動します。CASTOVIA Cloud に到達できない場合でも、キャッシュ済み設定を使ってサービスを継続し、メトリクスは後で送信するためにキューに蓄積されます。