---
title: Descoberta e mapas
slug: descoberta-e-mapas
docTags:
createdAt: 2026-10-23T16:59:09.277Z
---
## Estrutura organizacional
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/_LQ-QuzXMwl-4A60STGVm_image.png" size="67" isUploading="false" width="672" height="423" darkWidth="672" darkHeight="423" showCaption="false"}
Tela: Estrutura organizacional
A estrutura organizacional guarda duas árvores que agrupam tudo no Hive: **Locais** (Empresa ›Localidade › Prédio › Andar › Sala) e **Departamentos** (por exemplo Diretoria › Financeiro › Contas a pagar, com centro de custo). As máquinas se encaixam sozinhas, e a estrutura é usada pelo mapa físico, pelos alvos das implantações e para definir quem vê cada item na Loja. Fica em **Descoberta ›Estrutura**.
### O que você pode fazer aqui
Criar a empresa e as localidades com **Nova empresa ou localidade**, e montar a árvore com **Adicionar dentro**.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/TICFvhevmZG_LaB0LczMr_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Criar departamentos com **Novo departamento**, ligados a nomes do diretório e a OUs.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/xnHkZZGgbj0PqlJDebkNV_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Editar** um nó (nome, código, dentro de onde ele fica, tags de vínculo) ou **Remover**.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/UpanH6SL_bBELJG3zvaDD_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Alternar entre **Lista** e **Mapa** para ver a árvore.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/iSpMUbIVqTONdsyZlD9e1_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Ver quantas máquinas há em cada nó (**Máquinas**, com "n direto") e abri-las no inventário.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/_aWAU07MzOJ8ISyjJ2yFz_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
### Passo a passo: montar a árvore de locais
1. Abra **Descoberta › Estrutura**, aba **Locais**.
2. Clique em **Nova empresa ou localidade** (exige assets\:write ). Escolha o **Tipo** (Empresa ou Localidade), preencha **Nome** e, se quiser, **Código**, e clique em **Salvar**.
3. Numa linha, clique em **Adicionar dentro** para criar o nível de baixo. Cada nível só fica dentro de um nível mais alto: prédios, andares e salas ficam dentro de uma localidade (um andar pode ficar direto na localidade, ou dentro de um prédio).
4. Para vincular máquinas pela origem, edite um local e preencha **Vincular automaticamente pela tag**, ou escolha em **Ou escolha uma tag já em uso** (a lista mostra quantas máquinas têm cada tag).
5. Para mover um nó, clique em **Editar** e mude **Dentro de**.
Uma localidade também vira o site usado nas implantações para fuso, janela de manutenção e ponto de distribuição, e os sites que já existiam aparecem como nós da árvore.
### Como uma máquina cai no lugar certo
Local, da regra mais forte para a mais fraca:
1. **Tag de vínculo**: uma máquina com uma das tags do local cai nele (o nível mais fundo ganha). Tags úteis são as da varredura (passo 5 do assistente de varredura ou "Descoberto por: ..."), as do token de instalação do agente e Agente: \ , Cluster: \ , Nuvem: \ e Hipervisor: \ .
2. **Rack**: a sala, o andar ou o prédio onde o rack dela está.
3. **Porta do switch**: o local do switch onde ela está ligada.
4. **Sub-rede**: a localidade da sub-rede dela (cadastrada em **Ativos › Tags › Tags pela origem**, campo **Site**).
Departamento: o departamento do usuário principal da máquina no diretório (o nome do departamento ou um dos **Nomes no diretório**); senão, o departamento cujas **OUs** batem com o caminho da OU da conta de computador.
Uma escolha feita à mão na máquina (painel **Onde fica** › **Trocar**) vale mais que qualquer regra; **Automático (pelas regras)** volta para as regras. A máquina herda as tags Empresa , Localidade , Prédio , Andar , Sala e Departamento com os nomes do caminho; quando ela muda de rack, porta, rede ou usuário, elas mudam sozinhas. A estrutura é aplicada quando uma varredura termina, quando o agente manda inventário, a cada 10 minutos e sempre que a árvore muda.
**Exemplo prático: localidade "São Paulo HQ" com dois andares e a sub-rede**
1. **Nova empresa ou localidade**, **Tipo** Empresa, **Nome**Aurora S.A. , **Salvar**.
2. Em Aurora S.A. , **Adicionar dentro**, **Tipo** Localidade, **Nome**São Paulo HQ , **Código**SPO , **Salvar**. 3. Em São Paulo HQ , **Adicionar dentro**, **Tipo** Andar, **Nome**Andar 1 , **Salvar**; repita para Andar 2 . 4. Abra **Ativos › Tags**, aba **Tags pela origem**, **Nova sub-rede**: **Rede (CIDR)**10.10.0.0/16 , **Nome **SP HQ , **Site**São Paulo HQ (o mesmo nome liga à mesma localidade), **Cadastrar e aplicar tags**.
3. De volta à **Estrutura**, São Paulo HQ mostra, por exemplo, **Máquinas** 312: toda máquina com endereço em 10.10.0.0/16 caiu ali e ganhou as tags Empresa: Aurora S.A. e Localidade: São Paulo HQ .
4. Para pôr máquinas num andar: edite Andar 2 e, em **Vincular automaticamente pela tag**, inclua Agente: SP-ANDAR2 (o token usado para instalar os agentes daquele andar). Ao salvar ("Salvo; as máquinas foram reposicionadas."), essas máquinas vão para Andar 2 e ganham Andar: Andar 2 .
São Paulo HQ continua contando-as, agora com "(n direto)" para as que estão só na localidade. 7. Um notebook que é do Andar 1 mas foi instalado com o token errado: abra-o, painel **Onde fica**, **Trocar**, escolha Andar 1 . Agora ele mostra "escolhido à mão".
### Exemplo prático: departamento Financeiro pelo diretório
1. Aba **Departamentos**, **Novo departamento**, **Nome**Financeiro , **Centro de custo**CC-2100 , **Nomes no diretório**Finance, FIN , **OUs**OU=Financeiro , **Salvar**.
2. Máquinas cujo usuário principal tem o atributo "department" Finance (ou cuja conta de computador está sob OU=Financeiro ) caem em Financeiro e ganham a tag Departamento: Financeiro .
3. Dentro de Financeiro , **Adicionar dentro**Contas a pagar . Em **Ativos › Todos os ativos**, o filtro **Departamento**Financeiro também inclui Contas a pagar .
### Onde a estrutura é usada
**Implantações, patches e playbooks**: escolha um nó e todas as máquinas da subárvore entram.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/zpm_1wHOGYzIXs_eLirk2_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Loja**: quem vê cada item.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/sfmGD22U3Bjh44blOdcyw_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Mapa físico**: as máquinas agrupadas pelo caminho do local.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/PGpTh5M8Zp3zPu8MGvtXZ_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
**Racks**: cada rack fica numa sala, andar ou prédio.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/vaGFO-_UDJ--zqWk6cZ8m_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Inventário**: os filtros **Local** e **Departamento** incluem a subárvore.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/k7HsepSbD-w7AN6OMiE7f_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Cuidados e limites
Criar, editar e remover nós exige assets\:write .
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/h4t0fZh5Q-GcN4rMGdC9C_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Remover** apaga também tudo o que está dentro; as máquinas voltam às regras automáticas.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/BVwdrOVb2Ws-kdjYcEH61_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Os nomes são únicos entre irmãos ("There is already a location with this name here.").
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/RI2GeS8rQqy2rLjR4MOIx_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Uma tag tem até 200 caracteres.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/LskrANq1sBRqmbz79dlA2_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Só os locais têm tags de vínculo; os departamentos usam nomes do diretório e OUs.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/TJdBK4YBh-c181qSdLqXK_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
### Relacionados
Tags e grupos
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/OdJwhKJVmG976utWjhScm_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Descoberta
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/NJS8IFSlSe3RKGTdbKgch_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Mapa de rede
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/vugnN24cNk6oOPQ0C0RSy_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Implantações
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ijV_FHEwBIOpAddFZnaDt_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Inventário
***
## Área de Descoberta
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/WXowsTZmEp2yW87aPy2d8_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"}
Tela: Área de Descoberta (1/3)
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/SYW8gEK9n40RxaLSZ7Lnu_image.png" size="67" isUploading="false" width="672" height="423" darkWidth="672" darkHeight="423" showCaption="false"}
Tela: Área de Descoberta (2/3)
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/kbvfac8xK48K4D_za-316_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"}
Tela: Área de Descoberta (3/3)
Em **Descoberta › Descoberta** você varre redes a partir de um coletor para achar o que não tem agente: estações, servidores, impressoras, câmeras, telefones e equipamentos de rede. Cada varredura diz quais faixas, métodos, credenciais, coletor, intensidade, tags e agendamento usa; cada execução mostra o que é novo, o que mudou, o que sumiu e o que continua sem agente. Senhas, chaves e comunidades SNMP ficam no **Cofre de credenciais** (**Integrações › Credenciais**, também uma aba da Descoberta). Nada abre da internet para dentro: o coletor só faz chamadas de saída. Criar e rodar varreduras pede **Administrar agentes**.
### O que você pode fazer aqui
**Varreduras**: ver cada varredura com escopo, métodos, última execução (responderam, novos, sem agente) e próxima execução; **Rodar agora**, **Editar** ou remover.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/RcKNaRRpcmb_DDcwRLEoM_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Nova varredura**: o assistente de sete passos com uma estimativa antes de salvar.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/VqRKixjxX_mlNu0GjdVbx_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Cofre de credenciais**: criar, editar, testar e remover credenciais de WinRM, SSH e SNMP; ver quantas varreduras usam cada uma.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/eSENsD8Y6Tl8HyQXcE1LK_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Tela da execução**: acompanhar uma execução ao vivo, comparar com a anterior, ler os erros e instalar o agente nas máquinas Windows achadas sem ele.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/TBrWDsF0a93QPgfHtpq8f_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
No detalhe do ativo, **Descoberto por** mostra qual método, coletor e varredura trouxe cada dado.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/s3BipV8mRexieQGV5rPFW_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Criando uma varredura
**Escopo.** Marque **Redes conhecidas** (as cadastradas e as vistas pelos agentes, com a contagem de ativos) ou acrescente **Outras faixas** como rede (CIDR, como 10.20.0.0/24 ) ou **De**/**Até**. Em **Exclusões**,
tire faixas sensíveis como automação industrial (OT) ou equipamentos médicos. Até 65.536 endereços por varredura.
**Métodos.** Ligue o que esta varredura usa: ICMP (ping), ARP (MAC na mesma rede), portas TCP comuns (30 portas), certificados TLS, NetBIOS (nome do Windows), mDNS / SSDP (impressoras, TVs, IoT), WMI / WinRM (inventário do Windows sem agente, inclusive Windows 2008 R2), SSH (Linux, Unix e appliances), SNMP v1/v2c/v3 (switches, roteadores, impressoras: portas, VLANs e a tabela de MACs), LLDP e CDP (vizinhos, lidos por SNMP). NetFlow / sFlow / IPFIX não é método de varredura: o coletor recebe fluxos o tempo todo.
**Credenciais.** Para cada método com credencial (WinRM, SSH, SNMP), marque uma ou mais credenciais do cofre ou crie uma **Nova credencial** ali mesmo. A senha fica no cofre e só vai ao coletor junto com a tarefa.
**Coletor e intensidade.** Escolha o coletor dentro da rede e a intensidade: **Leve** (50 pacotes/s, 32 de cada vez), **Normal** (200 pacotes/s, 128 de cada vez) ou **Rápida** (1000 pacotes/s, 256 de cada vez, pede confirmação). A varredura pausa sozinha se a rede ficar lenta. Se quiser, **Rodar só nesta janela de horário** (por exemplo das 22:00 às 06:00).
**Tags de origem.** Todo ativo achado recebe a tag Descoberto por: \ · \ · \ (sempre com este nome, em qualquer idioma) e as tags que você incluir aqui (tecle Enter depois de cada uma).
**Agendamento.Só quando eu pedir**, **Todo dia** ou **Alguns dias da semana**, num horário do seu fuso. **Rodar agora, depois de salvar** começa a primeira execução na hora.
**Revisão.** Dê o **Nome da varredura** e confira a estimativa: endereços, duração estimada e carga na rede, com avisos para intensidade rápida, credenciais e escopos grandes. Depois, **Salvar varredura**.
### Cofre de credenciais
Em **Integrações › Credenciais**, **Nova credencial** pede um **Nome**, o **Tipo** e:
**WMI / WinRM**: usuário como DOMÍNIO\usuário ou usuário\@domínio , senha, **Transporte do WinRM **HTTPS (5986) ou HTTP (5985).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/myPhl_n1jQ-p6N4T87RgC_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**SSH**: usuário, senha e a porta, se não for a 22.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/_o2PuINLDUwexN5Rpq5KS_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**SNMP**: a versão — v1 ou v2c com a **Comunidade**, ou v3 com o **Usuário SNMP v3**, o **Nível de segurança** (authPriv, authNoPriv ou noAuthNoPriv), o **Protocolo de autenticação** (SHA-1 a SHA-512, ou MD5) e a senha, e o **Protocolo de privacidade** (AES-128, AES-192, AES-256 ou DES) e a senha (em branco usa a senha de autenticação).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/-jQwxwySJl9HAwj0h6p2N_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Só nestas redes (opcional)**: limita onde a credencial pode ser usada, como 10.20.0.0/16 .
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/NTjOsTxvPid9h8VlW1r6U_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Testar** roda por um coletor contra uma máquina em três etapas — **Alcançar a porta**, **Entrar**, **Coletar**— e mostra o que o método traz (sistema, nome da máquina, programas, serviços). Editar uma credencial atualiza todas as varreduras que a usam; o segredo nunca volta a ser exibido.
### Lendo uma execução
A página da execução mostra o estado (**Esperando o coletor**, **Rodando**, **Concluída**, **Falhou**, **Cancelada**), o andamento em endereços e os números **Responderam**, **Novos**, **Alterados**,
**Desaparecidos** (vistos na execução anterior e não nesta), **Sem agente** e **Pausas (rede lenta)**. As abas listam os aparelhos de cada tipo com IP, nome, MAC, fabricante, sistema, tipo, métodos e portas abertas, e **Erros** explica cada falha (credencial recusada, porta fechada). Em **Sem agente**, selecione máquinas Windows e clique em **Instalar agente**: o coletor da varredura instala por WinRM com uma credencial do cofre. **Cancelar execução** para a execução; **Execuções** lista o histórico.
### Como a descoberta reconhece um aparelho conhecido
Um aparelho achado por uma varredura entra no inventário pela mesma conciliação do agente. Do mais confiável para o menos:
1. Número de série ou UUID de hardware lido de dentro do aparelho (WinRM, SSH).
2. Endereços MAC que o próprio aparelho informa (inventário, NetBIOS).
3. O nome que o aparelho informa.
4. O endereço IP — primeiro um aparelho com agente, depois o visto mais recentemente. 5. Último recurso: o MAC da tabela ARP do coletor, e só quando exatamente um aparelho o tem.
Tabelas ARP e DNS que ninguém limpa guardam MACs e IPs de aparelhos que já saíram, então o Hive as trata com cuidado: um MAC de ARP ambíguo nunca une dois registros, um MAC de ARP que jápertence a outro aparelho não é copiado, e os nomes vêm só do que o aparelho informa (sem DNS reverso). Quando um IP passa a responder por um aparelho, ele sai dos outros registros sem agente que ainda o guardavam. Se a máquina já tem agente, a descoberta só registra que a viu.
**Exemplo prático: varredura semanal de 10.10.0.0/16 com SNMP v3, SSH e WinRM**
1. Em **Integrações › Credenciais**, crie três credenciais e teste cada uma contra um aparelho conhecido:
2\. "SNMP core" — SNMP v3, usuário hive-ro , authPriv, SHA-256, AES-128, testada contra o switch 10.10.0.2 .
2. "SSH Linux" — SSH, usuário hive-scan , porta 22, testada contra 10.10.20.15 .
3. "WinRM CORP" — WMI / WinRM, CORP\svc-hive-scan , HTTPS (5986), testada contra 10.10.4.20 . 5. Abra **Descoberta › Descoberta** e clique em **Nova varredura**.
4. **Escopo**: acrescente 10.10.0.0/16 e a exclusão 10.10.250.0/24 (automação da fábrica).
5. **Métodos**: mantenha ICMP, ARP, portas, TLS, NetBIOS e mDNS; ligue WMI / WinRM, SSH, SNMP, LLDP e CDP.
6. **Credenciais**: marque "WinRM CORP", "SSH Linux" e "SNMP core".
7. **Coletor e intensidade**: COL-SP-01 , **Normal**, janela das 22:00 às 06:00.
8. **Tags de origem**: Office SP .
9. **Agendamento**: **Alguns dias da semana**, só Sáb, às 22:00.
10. **Revisão**: nome "SP semanal". A estimativa mostra 65.280 endereços, cerca de 247 min, 200 pacotes/s · 102 kbit/s, e os avisos de credenciais e de escopo grande. **Salvar varredura**.
### Exemplo prático: revisar uma execução
Domingo de manhã, abra a última execução da varredura em **Varreduras** (clique na entrada em **Última execução**).
1. Os números dizem Responderam 1.834 · Novos 57 · Alterados 112 · Desaparecidos 9 · Sem agente 41 · Pausas 2. As duas pausas aconteceram quando a rede ficou lenta; o coletor baixou o ritmo sozinho.
2. **Novos**: 57 aparelhos, entre eles 12 câmeras IP achadas por portas e TLS e dois switches lidos por SNMP. Agora são ativos com as tags Descoberto por: … e Office SP .
3. **Desaparecidos**: 9 aparelhos vistos na semana passada e não agora — confira se foram aposentados.
4. **Erros**: 10.10.20.31 · SSH — a credencial foi recusada . Corrija a conta naquele servidor ou a credencial no cofre.
5. **Sem agente**: 41 computadores, 33 deles Windows. Marque os 33, clique em **Instalar agente (33)**, escolha "WinRM CORP" e confirme. Os novos agentes aparecem em **Ativos › Agentes**.
### Exemplo prático: a regra do ARP na prática
Dois notebooks já compartilham o MAC 00:1a:2b:3c:4d:5e no inventário (um adaptador de rede USB antigo). A varredura vê 10.10.8.12 só com esse MAC, vindo da tabela ARP. O Hive não escolhe um dos dois: o aparelho entra como ativo novo pelo IP, e o MAC não é copiado para ele.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/rR9_VrjP0t3XaTDS3oTdx_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
WS-0231 (Windows sem agente, lido por WinRM) recebeu 10.10.4.20 por DHCP; esse IP ainda estava no registro de WS-0198 , também sem agente. A varredura casa WS-0231 pelo número de série, acrescenta 10.10.4.20 a ele e tira o IP de WS-0198 . Se WS-0198 tivesse agente, os endereços dele ficariam como estão.
### Cuidados e limites
Até 65.536 endereços por varredura; divida escopos maiores. As exclusões não podem tirar todos os endereços.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Ncaf5vKp9fgo946yJJINW_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Uma varredura não começa de novo enquanto a execução anterior ainda está esperando ou rodando.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ovfSgEwq1mY5IcdHfZUJL_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Rápida** pode deixar a rede lenta e pede confirmação; prefira **Normal** com uma janela de horário.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/qtztH96IxpZAli-6zsZpw_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Sem um coletor online não há o que escolher no passo 4: instale um antes.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/8xOfQFPRU940zpHBRPdgZ_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Os nomes das varreduras são únicos (até 80 caracteres).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/LLzogEeYYl_EchLPQw3n7_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
A instalação a partir de uma execução pega até 500 máquinas por vez e só máquinas Windows ainda sem agente.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/2OUnE4i8USWVf_bzFAIdY_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Remover uma varredura remove o histórico dela; os ativos que ela achou continuam no inventário.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/DIEKayxJHGYBR3MbvgIvQ_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Relacionados
Rede e topologia
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/roZnw7GNx682LaZRqFJXw_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Distribuir o agente
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ST5o_sAmPEmNcRIYGc9Sw_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Passo a passo: criar um coletor
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/-kMxU6VM_9fGtrf1j4QXz_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Agentes e coletores
***
## Rede e topologia
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/5DRLWoiC807o-FbDjH-z7_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"}
Tela: Rede e topologia
**Mapas › Mapa de rede** mostra a rede como o Hive a lê: switches, roteadores e impressoras lidos por SNMP, as ligações entre eles achadas por LLDP e CDP, qual aparelho está ligado em cada porta (pela tabela de MACs do switch), o tráfego de cada porta e os racks e salas. Tem três abas: **Mapa físico**, **Portas** e **Racks**. Os dados vêm de varreduras da descoberta com SNMP ligado; os fluxos (NetFlow, sFlow, IPFIX) e as conexões informadas pelos próprios agentes acrescentam o tráfego entre as máquinas.
### O que você pode fazer aqui
**Mapa físico**: ver o mapa de conexões da internet até cada máquina, filtrar por **Local**, **Destacar VLAN** e clicar em qualquer elemento para acender o caminho dele até a internet.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/teYTJx62pMI0mdWR352QX_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Portas**: escolher um equipamento e ver o painel frontal do switch, cada porta com estado, velocidade, VLAN, vizinho, aparelhos conectados, tráfego em Mb/s e o uso do link nas últimas 24 horas.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/QYdcGXsW3d5auMjPPgVi8_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Racks**: criar racks com sala, unidades e lugar na estrutura, e ver quantos aparelhos cada um tem.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Szyi2Lud7bGleQyFVyw5B_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Em cada ativo (aba Hardware, **Rede física**): a porta em que está ligado, o histórico de portas, o rack e a unidade, o caminho até a internet e o mapa de dependências.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/QxLE7ojjrGqrG8RdFdqe6_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
### Lendo switches por SNMP
Crie uma credencial SNMP em **Integrações › Credenciais** (comunidade para v1/v2c, ou usuário, autenticação e privacidade para v3) e ligue SNMP, LLDP e CDP numa varredura com essa credencial.
A cada leitura, o coletor traz as portas (estado, velocidade, VLAN), os nomes das VLANs, a tabela de MACs e os vizinhos LLDP/CDP. Um aparelho é posto numa porta pela tabela de MACs, ignorando os uplinks (portas com vizinho ou com mais de 8 MACs). Ele passa a ter as tags Switch: \ e Porta: \ · \ ; quando muda de porta, as tags mudam sozinhas e a mudança vai para o histórico de portas.
### Mapa físico
O **Mapa de conexões** é uma árvore: a internet no topo, cada switch pendurado no seu uplink (o vizinho LLDP/CDP mais rápido), as máquinas na porta em que estão ligadas (com porta e VLAN) e as VMs tracejadas abaixo do host. Linha grossa é um link agregado (**LAG ×N** com a velocidade somada); tracejada é um link desligado ou virtual; vermelha tem erros; vizinhos que o Hive ainda não lê ficam agrupados à parte. Pontos em movimento mostram o tráfego em direção à internet. Os aparelhos são agrupados pelo lugar na estrutura; **Local** mostra só aquele lugar, o que está abaixo dele e o caminho até a saída, e os aparelhos cujas portas têm erros novos desde a última leitura ficam destacados. **Destacar VLAN** apaga todo aparelho que não leva a VLAN escolhida.
### Portas e tráfego
Em **Portas**, escolha o **Equipamento**. O **Painel frontal do switch** desenha as portas como no aparelho: verde ligada, cinza desligada, laranja com erros novos e borda azul no uplink; passe o mouse para ver porta, velocidade, VLAN e quem está conectado. Abaixo, cada porta mostra o estado, o vizinho, os aparelhos ligados nela e o **Tráfego** (↓ entrada · ↑ saída em Mb/s e % do link), calculado comparando os contadores de bytes de duas leituras SNMP. Clicar na taxa abre **Uso do link nasúltimas 24 h (contadores SNMP)**.
### Racks e posição
Em **Racks**, **Novo rack** pede o nome, a **Sala**, as **Unidades (U)** (1 a 60, padrão 42) e o **Lugar na estrutura (sala, andar ou prédio)**. Num aparelho (aba Hardware, **Rede física**), escolha o **Rack** e a **Unidade**: ele herda as tags Rack: \ e Sala: \ . Implantações, patches e playbooks podem mirar um switch, um rack ou uma sala por essas tags.
### Fluxos entre máquinas
O coletor sempre escuta fluxos: aponte switches, roteadores e firewalls para o IP dele — NetFlow v5/v9 e IPFIX na UDP 2055, sFlow v5 na UDP 6343 (cada amostra conta o tamanho do quadro × a taxa de amostragem). Os agentes também informam as conexões da própria máquina (quem falou com quem, em qual porta), sem nada para configurar no switch; quando as duas pontas têm agente, só o lado servidor conta, então nada é contado em dobro. Os fluxos são somados por minuto e alimentam o mapa lógico e o caminho do serviço.
**Exemplo prático: achar onde um notebook está ligado e seguir o caminho dele**
1. Em **Integrações › Credenciais**, crie "SNMP core" (v3, usuário hive-ro , authPriv, SHA-256, AES- 128) e teste contra 10.10.0.2 .
2. Em **Descoberta**, edite a varredura "SP semanal", ligue SNMP, LLDP e CDP com "SNMP core" e clique em **Rodar agora**.
3. Depois da execução, abra **Mapas › Mapa de rede**. O switch de núcleo SW-CORE-01 fica pendurado na internet; SW-3F-01 fica pendurado nele por uma linha **LAG ×2 · 2 Gb/s**.
4. Procure o notebook NB-SALES-12 em **Ativos** e abra a aba Hardware: **Ligada em** diz SW-3F-01 · Gi1/0/14 , VLAN 30. O ativo tem as tags Switch: SW-3F-01 e Porta: SW-3F-01 · Gi1/0/14 .
5. **Caminho até a internet (pelos uplinks)** lista NB-SALES-12 → SW-3F-01 (entra na Gi1/0/14, sai na Te1/1/1) → SW-CORE-01 → o firewall de borda.
6. De volta ao mapa, escolha **Destacar VLAN** 30: só os aparelhos que levam a VLAN de vendas ficam acesos.
7. Na semana seguinte o notebook muda de mesa: depois da próxima leitura ele mostra Gi1/0/22 , as tags mudam e o **Histórico de portas** guarda os dois períodos.
**Exemplo prático: um rack para o 3º andar e o tráfego de um uplink**
1. Em **Racks**, clique em **Novo rack**: nome R-3F-01 , sala IT room 3F , 42 unidades, lugar "Matriz / 3º andar".
2. Abra o ativo SW-3F-01 , aba Hardware, **Rede física**: escolha o rack R-3F-01 , unidade 40. O switch ganha Rack: R-3F-01 e Sala: IT room 3F .
3. Em **Portas**, escolha SW-3F-01 . O uplink Te1/1/1 mostra ↓ 640 · ↑ 210 Mb/s, 64% do link; clique na taxa para ver as últimas 24 horas e achar o pico das 9:00.
4. Aponte o firewall do andar para o coletor na UDP 2055 para ver quem gera esse tráfego no mapa lógico e no caminho do serviço.
### Cuidados e limites
Nada aparece até uma varredura ler pelo menos um equipamento por SNMP ("Nenhum equipamento de rede lido por SNMP ainda.").
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/35X7Mu-ya8EpQN9X1m3PC_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
O tráfego precisa de duas leituras SNMP para calcular uma taxa; a primeira leitura só mostra contadores.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/r9MFTqg9MTIpTCxZmGK3W_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
Uma porta com mais de 8 MACs ou com vizinho é tratada como uplink e não posiciona aparelhos.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/tvAEJuqImGxHauMBDlK5J_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
O último salto do caminho pode ser um vizinho que o Hive ainda não lê: inclua-o numa varredura com SNMP para ir mais longe.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/GlAwtIV5xOH_UMjE8pnjR_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Os nomes das tags Porta e Sala são fixos, seja qual for o idioma do console.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/31xYcwq93_dRZHYJwGY3D_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Camadas: Rede · Virtualização · Kubernetes
No **Mapa físico**, os botões **Rede**, **Virtualização** e **Kubernetes** acrescentam camadas à árvore (a escolha fica guardada): switch → porta → host do hipervisor (ESXi, Hyper-V, Proxmox ou Nutanix, pela máquina do inventário do host) → as VMs dele → os nós do Kubernetes que rodam nessas VMs. Clicar num host abre a visão do hipervisor; clicar num nó abre o cluster. Host, VM ou nó sem porta de switch conhecida vai para o grupo **Sem porta de switch conhecida**, nunca para baixo de um switch qualquer. O atalho **Mapas › Virtualização** abre /network?layers=virt ; /network?layers=k8s abre a camada do Kubernetes.
### Exemplo prático: onde rodam os nós do cluster
1. Abra **Mapas › Virtualização**: esx02 aparece sob SW-DC-01 · Te1/0/7 com as VMs dele. 2. Ligue **Kubernetes**: k8s-node-02 aparece sob a VM de mesmo nome.
2. esx05 ainda não tem porta lida: fica em **Sem porta de switch conhecida**; leia o SW-DC-02 por SNMP para posicioná-lo.
### Relacionados
Área de Descoberta
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/AxjDjuqER82QGBwWANNoe_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Caminho do serviço e mapa lógico
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/wYrbl5zHdnwZJ8JkAqx8P_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Estrutura organizacional
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/6IJbZFZIgYfwrD2WApg7V_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Passo a passo: criar um coletor
***
## IPAM, DNS e DHCP
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/MLsHJbmOOcEfHmyry-y4G_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"}
Tela: IPAM, DNS e DHCP
**Mapas › Mapa físico**, aba **IPAM**, mostra as suas sub-redes e o uso de cada endereço. "Em uso" vem do que o Hive já vê — os IPs dos ativos, as varreduras da descoberta dos últimos 30 dias e as concessões de DHCP ativas — e "reservado" das reservas feitas à mão (pela API) ou importadas do DHCP. Zonas de DNS e escopos e concessões de DHCP são importados de arquivos (BIND, Windows, ISC, Kea). O IPAM só lê: nunca cria nem junta ativos.
### O que você pode fazer aqui
**Sub-redes**: adicione uma sub-rede à mão com **Adicionar sub-rede** ou clique em **Achar sub-** **redes** (faixas da descoberta, escopos de DHCP importados e as redes /24 com pelo menos 2 IPs de ativos). Cada sub-rede mostra a barra de ocupação, os endereços em uso, reservados e livres e quando um endereço foi visto por último. Clique na sub-rede para ver a grade de endereços (até /22) e a tabela com MAC, nome, ativo e origem.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/LEKb7CbD7uJsaAre7ByMj_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
**Conflitos**: o mesmo IP visto com MACs diferentes nos últimos 7 dias (varreduras e DHCP), o mesmo IP reservado mais de uma vez (à mão e num servidor DHCP, ou em dois servidores) e um MAC reservado em dois endereços.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/d_NhJJN7ehAIC7rRE9pAL_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**DNS**: importe uma zona e veja **Velho: sem máquina viva** (registro A cujo endereço não foi visto em 7 dias) e **Reverso não bate** (o PTR do endereço aponta para outro nome).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/wz_QJ8reH4MbYVzY20RoA_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**DHCP**: importe escopos e concessões e veja, em cada concessão, o ativo que tem aquele MAC.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/P7G6Xjn7HnZvIWO6YaarE_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Importar DNS e DHCP
**Arquivo de zona do BIND**: cole ou escolha o arquivo da zona ( $ORIGIN , $TTL , nomes relativos e SOA em várias linhas são entendidos).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/w2Z9YDLqqQmNe4sKsgHH-_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**DNS do Windows**: Get-DnsServerResourceRecord -ZoneName corp.local exportado com as colunas HostName , RecordType , RecordData e TimeToLive ( Export-Csv ).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/AAbVug2B6v2KEwZCXfZxU_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
**ISC**: dhcpd.leases (vale a última entrada de cada endereço) e, no mesmo conteúdo, o dhcpd.conf com os escopos subnet … netmask … \{ range … } .
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/nPl7dwq6k2gokNSTKH_Ui_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
| :inlineImage[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/jzt3w0pEza2Q4dohrML2k_image.png" alt caption size="10" width="5" height="5"} | **Kea**: o CSV de concessões do memfile ( kea-leases4.csv ). |
| ----------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------ |
| :inlineImage[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/17sYlLYmRTh8IIPtosjfD_image.png" alt caption size="10" width="5" height="5"} | **DHCP do Windows**: Get-DhcpServerv4Scope \| Export-Csv para os escopos e Get-DhcpServerv4Scope |
\| Get-DhcpServerv4Lease | Export-Csv para as concessões; as reservas ( ActiveReservation ) viram reservas daquele servidor.
Abra **Importar uma zona de DNS** (em **DNS**) ou **Importar escopos e concessões de DHCP** (em **DHCP**), preencha **Servidor** (e **Zona**, no DNS), escolha o **Formato**, escolha o **Arquivo** ou cole em **Conteúdo** e clique em **Importar**. Importar de novo substitui os dados do mesmo servidor (e da zona, no DNS).
**Exemplo prático: achar um endereço livre e uma reserva duplicada na rede do escritório**
1. Abra **Mapas › Mapa físico**, aba **IPAM**, e clique em **Achar sub-redes**: aparece 10.50.0.0/24 com origem **IPs dos ativos**.
2. Escolha **DHCP**, abra **Importar escopos e concessões de DHCP**, preencha **Servidor**dc01 , escolha o **FormatoWindows (CSV do PowerShell)**, escolha em **Arquivo** o concessoes.csv exportado no servidor e clique em **Importar**. O aviso diz "Importado: 0 registros, 0 escopos, 212 concessões."
3\. De volta a **Sub-redes**, 10.50.0.0/24 mostra 83% com "201 em uso · 11 reservados · 42 livres". Clique nela: a grade mostra os endereços livres em cor clara; passe o mouse em 10.50.0.77 para confirmar que está **Livre**.
3. Abra **Conflitos**: 10.50.0.40 é uma **Reserva duplicada** (origens manual e dhcp\:dc01 ) — a impressora foi reservada à mão com outro MAC. Remova a reserva manual pela API ( DELETE /api/v1/ipam/reservations/ ); a tela não tem botão para reservas.
4. Em **DNS**, abra **Importar uma zona de DNS** e importe a **Zona**corp.local do **Servidor**dc01 (**FormatoArquivo de zona do BIND** ou o CSV do Windows). O achado gone.corp.local ·10.50.0.99 · Velho: sem máquina viva mostra o registro de uma máquina que saiu; apague-o no servidor DNS.
### Cuidados e limites
Só IPv4. Sub-redes de /16 a /32; a grade de endereços é desenhada até /22.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/SrArJcxGsWdP9VewfiG0V_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Adicionar, achar e remover sub-redes e importar DNS ou DHCP exigem assets\:write ; ler exige assets\:read . Arquivos importados acima de 20 MB são recusados.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/RVpSSRUoRjt_kGsJZQidm_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Reservas à mão só são feitas pela API ( POST /api/v1/ipam/reservations ); a tela as mostra, mas não tem botão para criar nem remover.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/s2bYPomAb_Oyr2ewH-XL5_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
A concessão só aponta para um ativo pelo MAC e só quando um único ativo tem aquele MAC; nome de máquina ou nome no DNS nunca liga (ARP e DNS são último recurso e dado ambíguo não junta ativos).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ui9klM3EI03zPZpzGHFwc_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
"Velho" depende do que o Hive vê: o endereço de uma máquina que nenhuma varredura, agente ou concessão alcança parece velho.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/sjesglssveDWU7eNuBNNG_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
O conector do Infoblox (WAPI) e a leitura direta dos servidores DNS/DHCP do Windows pelo coletor ainda não existem: exporte os arquivos e importe.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/398Dfh6nDGDBEywxVFpLd_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Remover uma sub-rede não remove endereços, reservas nem os dados de DNS/DHCP.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/2r_mtvnW-kAH-vWQm5mY6_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Relacionados
Rede e topologia
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/zKPZmyX0C2cU4UpexgaMw_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Linha do tempo do mapa e exportação
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Fb4E32WJN08vMPcTbS1HT_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Área de descoberta
***
## Firewalls, Wi-Fi e backup de configuração
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/nyiPR3_0Ot_RUl0nXmuiL_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"}
Tela: Firewalls, Wi-Fi e backup de configuração (1/2)
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/RauuZJ4GgekjrrXMpcAn0_image.png" size="67" isUploading="false" width="672" height="423" darkWidth="672" darkHeight="423" showCaption="false"}
Tela: Firewalls, Wi-Fi e backup de configuração (2/2)
**Mapas › Firewalls e Wi-Fi** lê FortiGate, Palo Alto, Cisco Meraki e Ubiquiti UniFi pelas APIs deles, com uma conta só leitura. Cada firewall, ponto de acesso e switch que a API devolve vira um equipamento de rede no inventário (o mesmo que a leitura SNMP e o mapa físico usam), com interfaces, versão do firmware, estado de HA, SSIDs, clientes do Wi-Fi e a porta do switch onde cada ponto de acesso estáligado. **Mapas › Backup de configuração** guarda cada versão da configuração de firewalls e switches, com os segredos mascarados, mostra a diferença entre duas versões e abre alerta quando a configuração muda fora de uma janela de mudança. O Hive nunca restaura uma configuração: vocêbaixa a versão e aplica você mesmo.
### O que você pode fazer aqui
Adicionar uma fonte com **Adicionar fonte**: um FortiGate, um firewall Palo Alto, uma organização Meraki ou um controlador UniFi.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/CuX9t7PlKqQlD3Kk0f_v1_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Ver os equipamentos com firmware, HA, porta do switch, clientes do Wi-Fi, CVEs abertas e o último backup; e os SSIDs com segurança, banda, VLAN e clientes.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/dYFS-LpR2qIpmsUkWQUj6_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Ler a fonte de novo com **Ler agora**, ou removê-la com **Remover**.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/G76iFjoU6YdmLCJzzuhoN_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Abrir um equipamento em **Backup de configuração**, comparar uma versão com a anterior (**Lado a lado** ou **Unificada**) e **Baixar**.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/bNcNFWpKL5muEh-Ekvnt4_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
Enviar a configuração de um switch com **Enviar configuração** e abrir uma janela com **Abrir janela** em **Janelas de mudança** para que mudanças planejadas não abram alerta.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/hm5ZGu0ztTxVbkDWo62Uw_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### O que é lido de cada fabricante
| **Fabricante** | **O que o Hive lê** | **Backup da** **configuração** |
| ----------------- | ------------------------------------------------------------------------------ | ----------------------------------- |
| FortiGate | estado do sistema, interfaces, modo e membros do HA | sim, pela API REST |
| Palo Alto | informações do sistema, interfaces, estado do HA | sim, pela API XML (export) |
| Cisco Meraki | redes, equipamentos, SSIDs, clientes da última hora, LLDP/CDP dos APs | não |
| UniFi | equipamentos (APs, switches, gateways), WLANs, clientes do Wi-Fi, uplink do AP | não |
O firmware vira um software do equipamento com o CPE (FortiOS e PAN-OS), então a correlação de vulnerabilidades acha as CVEs daquela versão como faz com qualquer outro software.
### Exemplo prático: ler um FortiGate e acompanhar uma mudança
1. No FortiGate, crie um perfil de administrador só leitura e um administrador de API REST hive-ro com ele, limitado ao endereço do servidor do Hive (Trusted Hosts). Copie a chave da API.
2. Abra **Mapas › Firewalls e Wi-Fi** e clique em **Adicionar fonte** (precisa de agents\:admin ). 3. Preencha **Nome**FW-HQ , escolha **Fabricante** FortiGate, **Endereço**https\://10.20.0.1 , cole a chave em **Chave da API ou senha**, mantenha **Ler a cada (minutos)** em 360 (de 15 a 10080) e deixe **Fazer backup da configuração (FortiGate e Palo Alto)** marcado. Clique em **Adicionar**.
3. Clique em **Ler agora**. A fonte fica **Lido** e o equipamento FW-HQ-01 aparece com firmware 7.2.5 , HA a-p · primary · 2 members e as CVEs do FortiOS 7.2.5.
4. Abra **Mapas › Backup de configuração**: FW-HQ-01 tem 1 versão. Alguém muda uma política do firewall à noite; na leitura seguinte aparece uma segunda versão marcada **Mudou fora da janela **e abre o alerta "Network configuration changed outside a change window".
5. Clique em FW-HQ-01 e em **Comparar com a anterior** na versão mais nova: as linhas da política alterada aparecem lado a lado, em vermelho à esquerda e verde à direita. Senhas aparecem como \ .
6. Antes da próxima mudança planejada, no painel **Janelas de mudança** escolha o **Equipamento **(ou **Todos os equipamentos**), preencha **Início**, **Fim** e **Observação (número da mudança)** e clique em **Abrir janela**: as mudanças dentro dela são gravadas sem alerta.
### Exemplo prático: backup de um switch e os APs nas portas
1. Leia o switch SW-CORE-01 por SNMP numa varredura da descoberta, para as portas dele serem conhecidas.
2. Adicione o controlador UniFi como fonte (**Endereço**https\://unifi.lab:8443 , **ID da organização ou site**default , o usuário só leitura e a senha).
3. Depois de **Ler agora**, AP-Lobby mostra **Porta do switch**SW-CORE-01 · Gi1/0/13 e aparece sob essa porta no mapa físico.
4. No switch, copie a saída de show running-config . Em **Backup de configuração**, abra o switch e clique em **Enviar configuração**, cole e clique em **Gravar versão**. O enable secret, as comunidades SNMP e as chaves são mascarados antes de gravar.
### Cuidados e limites
A conta precisa ser só leitura: o Hive só lê (chamadas GET, op e export). Restaurar não é feito pelo Hive; **Baixar** entrega o arquivo mascarado, então os segredos precisam ser preenchidos à mão antes de aplicar.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/bdR9tGCP4QvG2Sb9xIn6d_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Adicionar fonte, **Ler agora** e **Remover** exigem agents\:admin ; **Baixar**, **Enviar configuração** e **Abrir janela** exigem assets\:write . O **Endereço** precisa começar com https\:// ; o Meraki exige o ID da organização e o UniFi o usuário.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/zQjeQrWW_uT5lCRypMhAc_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
O certificado do firewall ou do controlador precisa ser confiável para o servidor do Hive (importe a CA interna); certificado autoassinado é recusado.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/2FUAStrvnZ0gbi9zmvUZf_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
O backup de switch por SSH pelo coletor ainda não é automático: use **Enviar configuração** (ou a API POST /api/v1/network/devices//config-versions ) com o texto lido por SSH.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/3mEVwC1q29wUod3xlJoBw_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
Uma versão nova só é gravada quando o texto mascarado muda, então uma mudança só num segredo (senha nova) não é vista.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/1o3pPTWaJI2dwVJZV2fEW_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Os nomes de firmware do Meraki e do UniFi não têm CPE: as CVEs deles não são correlacionadas.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Wu_Ca8htkMfBqs85LwTec_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Consoles UniFi OS (UDM, Cloud Key Gen2) que só respondem em /proxy/network ainda não são lidos.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/bNl4OQEb_6eC99qzm7FyY_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Configurações acima de 5 MB são recusadas.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0hgoE9s_CBUMigqm0gNPu_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Relacionados
Rede e topologia
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/A3gPMNZfFXUY85W6xd_dJ_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Vulnerabilidades
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Xij6DIO4FXMIXmbo7KO_I_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Alertas
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/HQApwl4rqjJHDRucLdrv7_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Área de descoberta
***
## Linha do tempo do mapa e exportação para draw.io e Visio
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/WHYEZVWDGXkPzN2MvIQfT_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"}
Tela: Linha do tempo do mapa e exportação para draw\.io e Visio
O Hive guarda o histórico dos mapas: sempre que o mapa muda, uma fotografia é guardada só com o que mudou (nós e ligações que entraram ou saíram). **Mapas › Mapa físico**, aba **Linha do tempo**, mostra o mapa como estava numa data e hora e o que mudou de lá até agora. Todo mapa também tem os botões **draw\.io** e **Visio**, ao lado de **Imagem (PNG)** e **Imagem (SVG)**, que baixam um diagrama editável.
### O que você pode fazer aqui
Escolha o **Mapa** (mapa físico ou mapa de serviços) e mova o controle: **Como estava em …** mostra quantos nós e ligações o mapa tinha e lista, em verde, o que entrou desde então e, em vermelho, o que saiu.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/PWq7jioNnMClGLhYxoc-b_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Fotografar agora** (aparece só com o mapa físico escolhido) tira uma fotografia do mapa físico na hora (o Hive também tira uma a cada hora, a primeira uns 15 minutos depois de o núcleo subir); se nada mudou, nada é guardado.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Ysuw5l-lXZ1bA23--a_Mp_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Em qualquer mapa, **draw\.io** baixa um arquivo .drawio (abra no draw\.io ou no diagrams.net) e **Visio** um arquivo .vdx (desenho XML do Visio).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/l1mITe36FL6LM3_AgxFsP_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Exemplo prático: o que mudou na rede desde a segunda-feira passada**
1. Abra **Mapas › Mapa físico**, aba **Linha do tempo**, mapa **Mapa físico**.
2. Mova o controle até a fotografia de segunda às 08:00: "Como estava em 19/10/2026 08:00" e "143 nós e 151 ligações naquela hora".
3. Em **O que mudou de lá até agora**: + nó NB-VENDAS-31 , − ligação SW-3A-01 — NB-VENDAS-12 e + ligação SW-3A-02 — NB-VENDAS-12 — o notebook mudou de switch.
4. Vá à aba **Mapa físico** e clique em **draw\.io**: o arquivo mapa-fisico-20261022-1810.drawio abre no diagrams.net com os switches e as máquinas como caixas ligadas por linhas; mova-as e acrescente notas para a reunião de mudanças.
5. Clique em **Visio** e abra o .vdx no Visio; use **Salvar como**.vsdx para guardar no formato atual.
### Cuidados e limites
O histórico começa quando o recurso é instalado: não há nada antes da primeira fotografia. Até lá a aba mostra **Nenhuma fotografia ainda**.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/xPEsbfRvgytkCldZIdMp6_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Os botões **draw\.io** e **Visio** somem em telas estreitas (celular); use uma janela mais larga ou **Imagem (PNG)**.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ABnfLiDDS3WX-UAOWEGwe_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
O mapa físico é fotografado a cada hora, então uma mudança que veio e voltou dentro da hora pode não aparecer. O mapa de serviços só tem linha do tempo quando os nós e ligações são enviados pela API ( POST /api/v1/map-timeline/service/snapshot ); a console ainda não envia sozinha.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/opuH-JVWdebbBR5zzM9If_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
A exportação para o Visio é no formato de desenho XML ( .vdx ), não .vsdx : o Visio 2013 ou mais novo abre e salva como .vsdx ; o Visio para a web não abre .vdx .
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ySgbjLFobT8JTN_aL7Feg_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
A exportação lê o mapa desenhado: formas viram caixas ou elipses com o texto, linhas viram conectores presos às formas onde começam e terminam. Ícones, cores e tracejados não vão; use SVG para uma imagem fiel.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/eFFAWDgqtFE9wxyCQKJp1_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Relacionados
Rede e topologia
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/oUpz47e9uJ1WZBE_kSGdY_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
Mapa de serviços
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/bNfx2kA94Bk0CP7LmPYjX_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Montador de mapas
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Z8Ajk75VYz03zLpGRY7hl_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
IPAM, DNS e DHCP
***
## Virtualização
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/QbnqkTja8T01txNb1iLEV_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"}
Tela: Virtualização
A Virtualização lê seus hipervisores por um coletor, com uma conta somente leitura, e mostra os hosts, as VMs (e qual máquina do inventário cada uma é), os switches virtuais, os datastores e os snapshots.
Fica em **Descoberta › Virtualização**. Existem quatro tipos de conexão: **vCenter / ESXi**, **Hyper-V**, **Proxmox VE** e **Nutanix (Prism Central)**.
### O que você pode fazer aqui
Conectar um hipervisor com **Conectar hipervisor** e acompanhar a leitura na aba **Conexões**.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/YElFmXAcvm4TfF9-CYDh6_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
Ler uma conexão de novo com **Ler agora**, ou removê-la com **Desconectar**.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/lHhYlmgPoWj0Nwh028wME_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Ver a topologia de uma conexão na aba **Mapa** (visões **Física** e **Lógica**).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/k2iovtdcMdlpSpyvpl1PH_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Listar os **Hosts** (hardware, cluster, VMs ligadas e total) e as **VMs** (estado, sistema, placas de rede, máquina do inventário).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/KFOVwFlE22D4PDrdJZ8VO_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Achar as VMs que não estão no inventário com **Só VMs fora do inventário**.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/jE6VD6QoQ_0rAR-u7JMBO_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Consultar a aba **Armazenamento** (datastores e snapshots das VMs) e a aba **Switches virtuais **(uplinks e grupos de portas com a VLAN).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/zYWGsdGyeX_ISfDcda75z_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Passo a passo: conectar um hipervisor
1. Abra **Descoberta › Virtualização** e clique em **Conectar hipervisor** (exige a permissão agents\:admin ).
2. Em **Hipervisor**, escolha vCenter / ESXi, Hyper-V, Proxmox VE ou Nutanix (Prism Central). A nota abaixo do campo diz qual conta somente leitura usar.
3. Preencha **Nome** (único, até 120 caracteres) e **Endereço** (nome ou IP do servidor, com a porta se quiser).
4. Preencha **Usuário** e **Senha**. No Proxmox os campos viram **ID do token de API **( usuario\@realm!token ) e **Segredo do token**.
5. No Hyper-V escolha o **Transporte do WinRM**: HTTPS (5986) ou HTTP (5985). Nos outros tipos, um certificado autoassinado é aceito colando a **Impressão do certificado (SHA-256)** (64 dígitos hexadecimais) ou a **CA (PEM)** que o assinou; deixe os dois em branco para usar as CAs do sistema.
6. Escolha o **Coletor** que alcança o servidor e clique em **Conectar**.
7. Aparece "Hipervisor conectado: a primeira leitura começou." e a linha mostra **Lendo**. A lista se atualiza sozinha a cada poucos segundos enquanto a leitura roda; ao terminar, o estado é **Lido** e **Conteúdo** mostra "hosts · VMs · no inventário".
A senha ou o token vão para o cofre e só seguem para o coletor na hora da leitura. Cada conexão élida de novo a cada hora.
### Como uma VM ou um host é reconhecido no inventário
Cada VM e cada host é casado com uma máquina do inventário, da evidência mais confiável para a menos confiável: **UUID da BIOS** (também com os três primeiros campos invertidos, como o Windows mostra o UUID de algumas VMs VMware), **MAC**, **IP** e **nome**. A aba **VMs** diz como cada uma foi casada ("casada pelo UUID da BIOS", "casada pelo MAC"...).
Um MAC, IP ou nome repetido em mais de uma máquina só decide se exatamente uma delas tem o agente; senão o item não é ligado (tabela ARP ou registro DNS velho não ganha).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/VR2EuMsTQy-Tr8kaRvQmv_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Uma VM ou host que não casa com nenhuma máquina **vira ativo** com o hipervisor como origem ("incluída no inventário pelo hipervisor"). Isso vale para **VMs desligadas**: elas também entram no inventário e aparecem nos mapas com a relação host → VM. Quando várias VMs têm o mesmo UUID da BIOS (cópias restauradas de backup), as VMs ligadas escolhem primeiro.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/uqAK40Crhh6Ad-CEsb1b3_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Quando um ativo criado pelo hipervisor encontra depois o registro de verdade da máquina pelo UUID ou MAC (agente instalado, descoberta, integração), os dois são unidos sozinhos: fica o registro de verdade, que recebe as tags, os grupos e o histórico do criado pelo hipervisor. Se casarem só por IP ou nome, os dois ficam e podem aparecer como possíveis duplicados.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/N_kykpUIZU1qr22-k7Yyk_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Se a máquina já existe, o hipervisor só liga e preenche o que está vazio: o que o agente informa vale mais.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Dgu34W525L-0fP2KfCnCu_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
A página da máquina mostra onde ela roda (VM em qual host e cluster) ou, num host, as VMs que rodam nele. É isso que liga o nó do Kubernetes e o servidor de banco à VM e ao host nos mapas.
### Exemplo prático: vCenter com três hosts
1. Clique em **Conectar hipervisor** e escolha **vCenter / ESXi**.
2. **Nome**vCenter SP , **Endereço**vcenter.corp.local , **Usuário**hive-read\@vsphere.local (conta do vCenter com o papel Read-only como permissão global), **Senha** a senha da conta.
3. O vCenter usa certificado autoassinado: cole o SHA-256 em **Impressão do certificado (SHA-** **256)**.
4. **Coletor**COL-SP01 e **Conectar**.
5. Alguns minutos depois a linha mostra **Lido** e "3 hosts · 48 VMs · 45 no inventário". Em **VMs**, marque **Só VMs fora do inventário**: as 3 VMs listadas não têm máquina ligada (por exemplo, duas VMs com o mesmo IP de outras máquinas e nenhuma delas com agente).
6. Abra **Mapa** e escolha vCenter SP : a visão **Física** mostra cluster → host → VM; clique num host para ver as VMs e os datastores dele.
### Exemplo prático: host Hyper-V
1. No host HV01 , inclua a conta CORP\svc-hive-hv no grupo local **Hyper-V Administrators** (só Get- VM, Get-VMNetworkAdapter e Get-VMSwitch são executados).
2. **Conectar hipervisor** › **Hyper-V**, **Nome**HV01 , **Endereço**hv01.corp.local , **Usuário**CORP\svc-hive- hv , **Senha**, **Transporte do WinRM** HTTPS (5986), **Coletor**COL-SP01 , **Conectar**.
3. Depois da leitura, **Hosts** mostra HV01 com "12 VMs (9 ligadas)" e **Switches virtuais** lista os switches virtuais do host.
### Exemplo prático: cluster Proxmox VE
1. No Proxmox, em Datacenter → Permissions → API Tokens, crie o token reader para o usuário hive\@pve com o papel **PVEAuditor**, sem separação de privilégios.
2. **Conectar hipervisor** › **Proxmox VE**, **Nome**PVE Lab , **Endereço**pve1.corp.local (qualquer nó do cluster, porta 8006), **ID do token de API**hive\@pve!reader , **Segredo do token** o segredo mostrado uma vez pelo Proxmox, **Coletor**, **Conectar**.
3. Depois da leitura, os contêineres LXC aparecem em **VMs** marcados "(contêiner)".
**Armazenamento** lista os storages de cada nó com capacidade, livre e % usado, e os snapshots das VMs com a idade.
### Exemplo prático: Nutanix Prism Central
1. No Prism Central, crie o usuário local hive-read com o papel **Viewer**.
2. **Conectar hipervisor** › **Nutanix (Prism Central)**, **Nome**Nutanix DC2 , **Endereço **pc.corp.local:9440 , **Usuário**hive-read , **Senha**, **Coletor**, **Conectar**.
3. O coletor lista clusters, hosts, VMs e sub-redes pela API v3; a linha mostra as contagens quando a leitura termina.
### Exemplo prático: duas conexões com o mesmo hipervisor
A equipe conecta o vCenter SP e também, para um teste, o host ESXi esx03.corp.local direto, como ESX03 direto .
1. A VM app-erp-01 roda no esx03 e não tem agente. A primeira leitura ( vCenter SP ) cria o ativo dela. 2. A leitura do ESX03 direto vê a mesma VM com o mesmo UUID da BIOS e MAC: liga ao ativo já criado em vez de criar um segundo. Com hosts é igual.
2. Em **VMs**, app-erp-01 aparece uma vez por conexão, as duas apontando para a mesma máquina do inventário.
Só UUID ou MAC unem itens vistos por duas conexões; IP ou nome sozinhos nunca unem.
### Exemplo prático: desconectar uma conexão
1. Em **Conexões**, clique em **Desconectar** no ESX03 direto e confirme "Desconectar ESX03 direto?".
2. Os hosts, VMs, switches e datastores lidos por essa conexão e o segredo dela no cofre são apagados. Nada muda no hipervisor.
3. Os ativos que **só essa conexão criou** e que ninguém assumiu (sem agente, não vistos por outra conexão) saem do inventário ativo (são baixados, não apagados). app-erp-01 continua ativo porque o vCenter SP ainda o vê.
### Exemplo prático: VM desligada e snapshot antigo
1. A VM intranet-antiga está desligada no vCenter SP . Depois da leitura ela está em **VMs** com o estado **desligada** e é uma máquina do inventário ("incluída no inventário pelo hipervisor"), então aparece nos mapas e nos relatórios.
2. Em **Armazenamento**, o snapshot antes-do-upgrade da intranet-antiga mostra "212 dias" em destaque (mais de 7 dias), e o datastore DS-SAS-01 mostra 93% usado em vermelho (90% ou mais).
3. Apague o snapshot no vCenter; na próxima leitura (ou com **Ler agora**) ele sai da lista.
### Cuidados e limites
Conectar, ler agora e desconectar exigem agents\:admin ; ver exige assets\:read .
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/onwy_K-mSVx1zxMliZlBG_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Uma nova leitura não começa enquanto outra roda ("The hypervisor is being read now.").
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/JI8ZoWULTW_ore8WlXoyI_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Se o coletor não terminar em uma hora, a conexão vai para **Erro** com "The collector did not finish the read." e a correção "Check that the collector is online and reaches the hypervisor." (o coletor está online e alcança o hipervisor?).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ftLkBl2m6C8cbt9Np2bXW_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Datastores e snapshots vêm do vCenter e do Proxmox. Hyper-V e Nutanix mostram hosts, VMs e redes.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Ho-6juYNvXAJjzeyoFLU-_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
No Proxmox, o **ID do token de API** precisa ser usuario\@realm!token .
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/g-y6gqip7j-P50SiOYKlu_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
A impressão precisa ser o SHA-256 do certificado (64 dígitos hexadecimais, com ou sem ":").
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/apohBejC-dtYOXeU5H65i_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
A tela não tem formulário de edição: para mudar o endereço, a conta ou o intervalo de leitura (15 a 1440 minutos, padrão 60) use a API ( PUT /api/v1/virtualization/connections/ ); senha ou token novos substituem os do cofre. Desconectar e conectar de novo baixaria os ativos criados pela conexão.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/8osIBHUs-7F6W0l63N71z_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Relacionados
Descoberta
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/M1XEuWMPG5r03v9X8QysF_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Mapa de rede
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/5dzcdyxVZcTJ2XbWp2OOO_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Kubernetes
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/-x9lqJjS_2ZvXrvKZgAEU_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Caminho do serviço e mapa lógico
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/GoZ1-DMqLFMvVBLvwOrxM_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Inventário
***
## Kubernetes
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/-wv3dBYoauKHvbpURbSQe_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"}
Tela: Kubernetes
O Kubernetes lê seus clusters por um coletor, com uma conta somente leitura: o que roda, as imagens e seus CVEs, as dependências e o mapa do serviço publicado até o banco. Fica em **Descoberta ›Kubernetes**. A lista mostra cada cluster com o estado, o conteúdo ("nós · cargas · pods"), as imagens com CVEs e a última leitura; clique num cluster para abrir o detalhe.
### O que você pode fazer aqui
Conectar um cluster com **Conectar cluster** (um assistente de 3 passos).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0IMboQ5OGSYNdR91wDX_a_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
Abrir um cluster e usar as abas: **Mapa lógico**, **Caminhos do serviço**, **Cargas**, **Imagens**, **Nós** e **Namespaces**.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/I7K4mS8bjLp6xaUnPjQZI_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Ler o cluster de novo com **Ler agora**, mudar como o Hive se autentica em **Acesso**, ou removê-lo com **Desconectar**.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/BzpYftCHIsaUzk2tqUvPG_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Clicar num objeto do mapa para ver do que ele depende, quem o usa e o que para se ele cair.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/HgSi8CsQFDVhNX24A7OKa_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Passo a passo: conectar um cluster
1. Abra **Descoberta › Kubernetes** e clique em **Conectar cluster** (exige agents\:admin ).
2. **Passo 1 de 3**: preencha **Nome do cluster**, escolha a **Distribuição** (k3s, Amazon EKS, Azure AKS, Google GKE, OpenShift, Rancher (RKE2) ou Outro Kubernetes) e o **Coletor** que alcança o servidor da API (clusters privados continuam privados). Clique em **Avançar**.
3. **Passo 2 de 3**: rode os comandos mostrados com uma conta de administrador do cluster. Eles criam a conta de serviço hive-reader em kube-system , um papel de cluster só com get, list e watch
(sem Secrets), a ligação, um token válido por um ano, e imprimem o endereço da API e a CA do cluster. Cada linha tem **Copiar**. Em **Opcional: Gateway API, Istio ou rotas do OpenShift** hámais dois comandos para ler esses objetos. Clique em **Avançar**.
4. **Passo 3 de 3**: cole o **Endereço da API** (como https\://api.cluster:6443 ). Em **Confiança no servidor da API** escolha **CA do cluster** (cole o PEM), **Impressão do certificado do servidor **(SHA-256) ou **Certificado público** (APIs gerenciadas assinadas por autoridade pública). Em **Acesso** escolha **Usuário e token** (cole o token) ou **Certificado de cliente** (certificado seguido da chave).
5. Clique em **Conectar**. Aparece "Cluster conectado: a primeira leitura começou."; o cluster é lido de novo a cada hora, ou com **Ler agora**.
O token ou o certificado ficam no cofre e só vão ao coletor na hora da leitura.
### O que é lido
Nós, namespaces, cargas (Deployment, StatefulSet, DaemonSet), pods e contêineres (imagem e portas), Services, Endpoints, Ingress, políticas de rede, volumes e, só quando ligado, ConfigMaps; com os comandos opcionais, Gateway API, virtual services do Istio ou rotas do OpenShift. **Secrets nunca são lidos.** De variáveis de ambiente (e ConfigMaps, quando lidos) só os endereços (host\:porta, URLs sem senha) saem do cluster, para desenhar as dependências. Os nós são ligados às máquinas do inventário pelo nome ou IP.
Se a conta não consegue listar alguns tipos, o cluster mostra "Leitura parcial" com os tipos que faltam; informe o **Usuário (conta de serviço)** em **Acesso** para ver os comandos exatos que dão a leitura do resto.
### As abas do cluster
**Mapa lógico**: da esquerda para a direita, o que é publicado (Ingress, rotas), Services, cargas, dados e destinos fora do cluster, e os nós (**Mostrar nós**). Cada ligação diz de onde veio (regra de Ingress, seletor de rótulos, Endpoints, variável de ambiente, ConfigMap, política de rede, service mesh ou conexão vista pelo agente) e a confiança: linha cheia alta, tracejada média, pontilhada baixa. Um destino que é máquina do inventário mostra o nome dela; um banco gerenciado de nuvem aparece como **Serviço de nuvem**. Quando o agente do nó vê a conexão, a dependência fica "confirmado pelo agente".
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/M4IumuruaQ5Rk_3N1sEBb_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"}
**Caminhos do serviço**: uma linha por endereço publicado, da entrada até o fim da cadeia, com os dados em negrito.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Bol8K47BufAUslXY-tQkB_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"}
**Cargas** e **Nós**: o que roda, quantas réplicas estão prontas e a máquina do inventário de cada nó.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/vrxifJRNrV6u0YZH5_yNF_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"}
**Imagens**: produto e versão vêm do nome e da tag da imagem (postgres:16.2 → PostgreSQL 16.2) e os CVEs são os dessa versão no NVD, com os explorados (KEV) em destaque. Imagens sem versão fixa mostram "sem versão fixa (latest ou digest)". Pacotes dentro da imagem não são lidos.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Qq6ZHHMHpfVcMk_m57vb7_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Namespaces**: um cartão por namespace com o que roda nele; clique para abrir o mapa dele.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/zhmw9Rfb4vGeiCJOOkPBP_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"}
Clique em qualquer objeto do mapa para ver **Vai para**, **Usado por** e **Se cair**: o que para e o que sóperde capacidade (uma carga com réplicas em outros nós).
### Exemplo prático: conectar um cluster EKS
1. **Conectar cluster**, **Nome do cluster**eks-prod , **Distribuição** Amazon EKS, **Coletor**COL-AWS01 , **Avançar**.
2. Copie os seis comandos e rode-os com kubectl no eks-prod . O comando 4 imprime o token; os comandos 5 e 6 imprimem o endereço da API e a CA. **Avançar**.
3. **Endereço da API**https\://ABC123.gr7.us-east-1.eks.amazonaws.com , **Confiança no servidor da API** › **Certificado público**, **Acesso** › **Usuário e token**, cole o token, **Conectar**.
4. Um minuto depois a lista mostra eks-prod**Lido** com "6 nós · 41 cargas · 97 pods" e "58 imagens · 12 com CVEs", e a marca vermelha "2 explorados (KEV)".
5. Abra eks-prod › **Imagens**: nginx:1.21.6 mostra 9 CVEs. Abra **Caminhos do serviço**: shop.example.com → Service web → Deployment web → Service api → Deployment api → o banco RDS prod-orders (serviço de nuvem).
### Exemplo prático: impacto de um nó
1. Em eks-prod › **Mapa lógico**, marque **Mostrar nós** e clique no nó ip-10-0-3-21 .
2. **Se cair** mostra "Para: redis-cart." (uma réplica só, neste nó) e "Perde capacidade (réplicas em outro lugar): api, web."
3\. Escale redis-cart para 2 réplicas em outros nós; depois da próxima leitura o nó não para mais nada.
### Exemplo prático: API autoassinada no k3s
1. Conecte k3s-lab sem conhecer o certificado: **Confiança no servidor da API** › **Certificado público**.
2. A primeira leitura falha (estado **Erro**) e a página do cluster mostra "O servidor da API mostrou este certificado (SHA-256), que nenhuma CA conhecida assina:" com a impressão.
3. Confira com quem administra o cluster ( openssl s\_client -connect host:6443 | openssl x509 -noout-fingerprint -sha256 ) e clique em **Confiar neste certificado**: "Certificado fixado; lendo o cluster de novo."
### Cuidados e limites
Conectar, ler agora, mudar o acesso e desconectar exigem agents\:admin ; ver exige assets\:read .
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/sg2vW7bXTSUumHqXkNviw_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
O endereço da API precisa começar com https\:// . A CA precisa ser o PEM já decodificado (BEGIN CERTIFICATE).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/wOhNwTKgxLh9dArcqLiPL_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
Um certificado de cliente colado no campo do token é recusado com "This is a client certificate: choose that option." (escolha a opção de certificado).
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/osl-KqUeazFf3mjJiCcv9_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
**Desconectar** apaga o que foi lido e o token no cofre; o cluster em si não é alterado.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/nnZJVsKIYS1CVLAlpioxp_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
O intervalo de leitura (15 a 1440 minutos, padrão 60) só muda pela API.
::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/i0OZZTajmCiXdb87aEBQB_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}
### Dependências e mapa lógico
O **mapa lógico** vai da esquerda para a direita (ou de cima para baixo: **Horizontal**, **Vertical** ou **Automática**, lembrada por pessoa): o que é publicado (Ingress, rotas), Services, cargas, dados e destinos fora do cluster, e os nós. Cada ligação diz de onde veio — regra do Ingress, seletor de rótulos,
Endpoints, variável de ambiente, ConfigMap, política de rede, malha de serviço ou conexão vista pelo agente — e a confiança (alta, média, baixa). Um destino que é máquina do inventário (um servidor de banco) aparece com o nome dela; um banco gerenciado na nuvem (RDS, Azure SQL, Cloud SQL) aparece como serviço de nuvem. Quando o agente do nó vê a conexão para o destino, a dependência fica confirmada.
Use **Níveis** para mostrar das entradas até o nível escolhido (1 = só o que é publicado; o último = tudo até os nós); ele começa num nível legível. Com mais de um namespace, cada namespace é uma caixa; no **Mapa do cluster inteiro** clique no nome para recolher ou expandir. Uma camada grande vira várias colunas, a ordem cruza o mínimo de linhas e **Ajustar** faz caber na tela. Clicar num objeto abre o painel ao lado do mapa: do que ele **depende**, quem ele **afeta** e o que para se ele cair.
### Caminho do serviço e impacto
**Caminhos do serviço** mostra, para cada endereço publicado, os saltos até o banco, agrupados por namespace (busca por nome ou host, filtro por namespace e host). Cada salto é um chip com o tipo, o nome e uma situação curta: host\:porta e TLS na entrada, tipo e portas no Service, réplicas
prontas/desejadas na carga e o endereço do dado no fim. Clique num caminho para ver o mini-mapa e o painel com o host público, os pods e os nós em que rodam, as imagens com CVEs/KEV e o que para se o fim da cadeia cair; **Abrir no mapa lógico** mostra o mapa inteiro com a cadeia em destaque (ou sóela). Clique num objeto no mapa para ver **o que para se ele cair**: quem depende dele para; uma carga com réplicas em outros nós perde capacidade quando um nó cai.
### Clusters gerenciados da nuvem (EKS, AKS, GKE)
Um cluster descoberto por uma conta de nuvem (**Nuvem → Recursos**, tipo Kubernetes) é lido com a **identidade da conta de nuvem**, sem token de conta de serviço: **Ler este cluster** pega o endereço da API e a CA no provedor e, a cada leitura, o núcleo gera um token de vida curta que vai ao coletor junto com a tarefa (nunca é guardado). Na conta, **Kubernetes** liga a leitura automática de todo cluster gerenciado, com o coletor que alcança a API. A lista do Kubernetes mostra o provedor e a conta; a página do cluster volta ao recurso na nuvem. Token ou certificado de cliente em **Acesso** continuam valendo para qualquer cluster.
**Exemplo — EKS.** A conta "AWS prod" (chave de acesso do usuário IAM hive-reader) acha o aurora-eks em us-east-1. **Ler este cluster** chama o DescribeCluster (endereço e CA) e cada leitura usa o mesmo token do aws eks get-token . Se o cluster responder 401 ou 403, a página mostra os comandos com o ARN da chave: aws eks create-access-entry --cluster-name aurora-eks --region us-east-1 --principal-arn arn\:aws\:iam\::123456789012\:user/hive-reader e aws eks associate-access-policy ... --policy-arn arn\:aws\:eks\::aws\:cluster-access-policy/AmazonEKSViewPolicy --access-scope type=cluster . Se nós ou volumes continuarem faltando, ligue o hive-read a um grupo e ponha o grupo na access entry ( --kubernetes-groups hive-readers ). Só clusters no modo CONFIG\_MAP (aws-auth) usam eksctl create iamidentitymapping .
**Exemplo — AKS.** A conta "Azure prod" (registro de aplicativo com Reader) acha o aurora-aks. O núcleo pega o endereço e a CA pelo listClusterUserCredential e entra com um token do Microsoft Entra para o aplicativo do servidor do AKS. Dê à entidade de serviço "Azure Kubernetes Service RBAC
Reader" e "Azure Kubernetes Service Cluster User Role" no cluster ( az role assignment create --assignee \ --role ... --scope \ ) ou, com RBAC do Kubernetes, ligue o hive-read ao object id dela ( --user=\