有代理架构怎么工作
有代理（agent-based）架构在每个被管节点上安装常驻代理，代理启动后与控制端建立连接或按周期拉取任务，本地执行并回报结果。因为代理常驻，它可以周期性地核对本机状态、上报采集数据、在被管节点上缓存策略，甚至在没有控制端连接时按最后一份策略自我校正。代价是代理成为节点上的一项长期软件资产，需要纳入升级、监控与故障处理。
基本信息
| 执行主体 | 被管节点上的常驻代理进程 |
|---|---|
| 通信方式 | 长连接下发或代理定期拉取 |
| 被管节点要求 | 允许安装常驻软件并预留少量资源 |
| 典型代表 | 基于代理的配置管理平台、云厂商主机安全与补丁代理 |
适用场景
- 大规模节点：数千台以上主机时，代理拉取模式比控制端逐台连接更可控。
- 持续合规：需要周期性核对基线并把结果汇聚到统一视图。
- 隔离子网：主机只能访问受限出口时，代理主动外连比控制端入向连接更可行。
- 需要本地缓存的场景：网络中断期间仍要按既有策略执行本地校正。
- 补丁与安全组件：代理类工具通常自带资产管理、漏洞与补丁能力。
优势与代价
| 维度 | 表现 | 需要注意 |
|---|---|---|
| 实时性 | 长连接或短周期拉取，收敛更快 | 心跳周期太长会掩盖故障 |
| 规模扩展 | 控制端压力相对可控 | 代理上报风暴需要错峰与限流 |
| 资源占用 | 每台节点常驻少量资源 | 小规格主机需评估内存与句柄 |
| 生命周期 | 代理需统一升级与版本管理 | 版本长期不齐会引发兼容问题 |
| 安全合规 | 代理需要网络出口与本地权限 | 需通过安全评审与最小权限设计 |
代理的版本管理常被低估：代理升级通常要重启服务，若升级窗口与业务高峰重叠会影响在线服务，因此要像管理其他常驻软件一样规划批次与回滚方式。
代理通常具备较高本地权限并需要外连出口，一旦被利用影响面很大。上线前应确认通信加密、认证方式与权限边界，不要用明文或共享凭据通信。