两侧职责
控制节点是自动化的中枢：保存清单与凭据、渲染模板、决定执行顺序与批次、收集并留存执行结果。被管节点是执行现场：接收任务、在本地运行、回传状态。控制节点不承担业务负载，但它的可用性与权限等级要求很高，一旦失守等于同时失守全部被管节点。被管节点数量多、异构严重，适配成本主要在这一侧。
基本信息
| 控制节点存放 | 清单、变量、模板、凭据、执行记录 |
|---|---|
| 被管节点承担 | 本地执行、状态回报、必要的临时文件 |
| 权限关系 | 控制节点持有被管节点凭据，反向不成立 |
| 规模关系 | 少数控制节点管理大量被管节点 |
角色划分要点
- 控制节点不跑业务：避免业务负载影响执行窗口与记录写入。
- 控制节点高可用：执行入口单点会导致所有变更无法发起。
- 凭据最小化：控制节点只保存必要的访问凭据，权限按操作类型拆分。
- 被管节点不加常驻组件：无代理架构下除临时文件外不留痕迹。
- 执行记录集中留存：日志与结果保存在控制节点侧，避免被管节点被回收后记录丢失。
- 网络方向明确：明确是控制节点访问被管节点还是被管节点回连。
两侧对照
| 维度 | 控制节点 | 被管节点 |
|---|---|---|
| 数量 | 少，通常 1 至数台 | 多，可达数千台 |
| 主要资产 | 清单、凭据、执行记录 | 运行中的应用与配置 |
| 安全等级 | 最高，需强审计 | 按业务等级区分 |
| 故障影响 | 全部变更无法发起 | 单台服务受影响 |
| 网络要求 | 可访问被管节点或可被回连 | 按需开放远程管理端口 |
| 升级节奏 | 谨慎，需先验证 | 通过任务批量收敛 |
控制节点上的凭据要按高敏感资产对待：使用独立账号、避免共用超级用户、开启操作留痕，并对访问控制节点本身的行为做审计。
多控制节点场景要避免重复执行：同一批任务被两个入口同时触发会并发写同一目标，建议在执行前加锁或指定唯一的调度入口。