Gouvernance / Pro
pi-sandlock
Isolement des processus échelonné. L'agent s'exécute selon un degré de capacité : ce à quoi il a accès est limité par le noyau, et non par des invites.
Ce que fait ce module.
- Application des restrictions au niveau du noyau : seccomp + Landlock via le moteur Sandlock.
- Cinq niveaux de capacités (de offline à full-write) avec un plafond par projet ; toute élévation de privilèges nécessite une confirmation.
- Configurations multi-profils par projet, conservées d'un redémarrage à l'autre, commutables depuis la ligne de commande.
- Refus par défaut pour les outils non confinés, avec une piste d'audit au format JSONL pour chaque décision.
Avant l’installation.
- Linux : le binaire du moteur sandlock (>= 0.8.x) dans PATH.
- macOS : le binaire du moteur sandlock (>= 0.8.x) dans PATH.
Mettez-le en service.
Utilisez l’archive Pro associée à votre achat. Le bundle Pro ou Team comprend ses extensions Pi. Une archive de module individuel utilise le même programme d’installation.
Choisissez un fichier pour générer la commande exacte.
Exécutez cette commande depuis le dossier contenant l’archive. La sélection du fichier ne lance aucune installation ni commande.
Activez votre licence avec /bastille-license refresh dans Pi. L’activation et la validation périodique des droits contactent Polar. Votre travail n’est pas envoyé à Bastille-C3.
Guide complet d’installation et d’activation →À l’usage.
Dans Pi
/sandlockDans Pi
/sandlock-profileDans Pi
/sandlock-tierDans Pi
/sandlock-learnDans Pi
/sandlock-auditLes profils se trouvent dans ~/.pi/agent/extensions/pi-sandlock/profiles/. Le profil et le niveau actifs sont conservés dans extensions/pi-sandlock/state.json ; les projets peuvent fournir leur propre configuration .pi/sandlock.json.
Bon à savoir.
- Nécessite une licence Polar valide.
Supprimer ce module
Désinstaller cette extension
pi uninstall npm:@bastilleworks/pi-sandlockSupprimer une extension n’annule pas votre abonnement. Gérez le renouvellement séparément.
Sur le même terrain