Stop met serverwerk per klant met de hand. Draai er plannen voor.

Het werk voor elke klant hangt niet langer af van de shell van één persoon: richt een klant in vanuit een template en laat iedereen in het team het routinewerk draaien, met een proefrun per host en een goedkeuring waar u die wilt. AI maakt het concept van elk plan en Git bewaart het als code. Elke klant krijgt de vastlegging van wat er is gewijzigd, door wie en met wiens goedkeuring. De Cyberbeveiligingswet vraagt dat maatregelen aantoonbaar worden toegepast.

Fig. 1, run #4f2a, nginx patchen in prod op 3 hosts

Patch nginx across prod

Upgrade nginx to 1.25.3 on web-01 web-02 web-03 and keep TLS 1.3 only.

Activity

Alex Moreau asked for this run14:28
AI composer drafted 4 steps for @alex14:28
Dry run on 3 hosts: 12 changes, 0 destructive14:29

alex2 min ago

Ready for prod. TLS 1.2 is out and session tickets are off.

danajust now

Checking the dry run for web-02 now.

Changed 1 file+3-2nginx.conf on 3 hostsView diff

Approve revision 7 of Patch nginx across prod?

Alex Moreau asked, waiting 2m

Dry run, revision 7

12
changes: 3
hosts: 0
destructive

web-01 web-02 web-03

You hold access to prod. This approval covers revision 7 only.

Approve revision 7 of Patch nginx across prod?

Alex Moreau asked, waiting 2m

Dry run, revision 7

12
changes: 3
hosts: 0
destructive

web-01 web-02 web-03

You hold access to prod. This approval covers revision 7 only.

Waar Opafra past. Vier situaties waarmee teams komen.

Komt u van AWX, Rundeck, SaltStack of Chef? Elke vergelijking zegt waar de andere tool de betere keuze is.

Hoe een wijziging verloopt

Vier fasen. Elke fase laat iets achter dat u later kunt nalezen.

Elke wijziging aan een server wordt als concept opgesteld, per host proefgedraaid, voor de exacte revisie goedgekeurd en in een append-only log vastgelegd.

Fig. 2 Concept. Elke stap gemarkeerd als lezend of wijzigend. De composer ziet nooit inloggegevens.

Plans /Patch nginx across prod

Draft

Request

@alex

14:28:31

Patch nginx across prod and keep TLS 1.3 only.

Drafted by the composer

14:28:55

4 steps, 3 hosts, environment prod derived from the targets

1Back up current configfile.backupreads
2Upgrade nginx to 1.25.3apt.upgradechanges
3Write nginx.conf and reloadfile.templatechanges
4Verify TLS on :443http.probereads

Targetsweb-01web-02web-03

Fig. 3 Proefrun. Het commando per host, en wat zou veranderen, voordat er iets verandert.

Dry run #4f2a, revision 7

14:29:40Passed on 3 hosts

What the dry run found on each host
Host	Changes	Destructive	Time
web-01	4	0	810 ms
web-02, diff shown	4	0	790 ms
web-03	4	0	840 ms
Total	12	0
Since the last run	+2	0
ssl_session_tickets added

Diffweb-02

/etc/nginx/nginx.conf+3/−2

 --- a/etc/nginx/nginx.conf
 +++ b/etc/nginx/nginx.conf
 @@ -1,7 +1,7 @@
  user  www-data;
−worker_processes  4;
+worker_processes  auto;
  pid /run/nginx.pid;
 @@ -31,6 +31,7 @@
      ssl_prefer_server_ciphers on;
−    ssl_protocols TLSv1.2;
+    ssl_protocols TLSv1.3;
+    ssl_session_tickets off;

Fig. 4 Goedkeuring. Een beschermde omgeving wacht op een persoon, alleen voor deze revisie.

Patch nginx across prod

Upgrade nginx to 1.25.3

blocked 2mweb-01, web-02, web-03console4 items

@alex → AIDry-run passedApproval requiredAudit

Revision: Covers revision 7 only.
Targets: web-01, web-02, web-03 in prod, derived from the targets
Approver: Must hold access to prod

Fig. 5 Vastlegging. Geschreven of de run nu slaagt of niet, te exporteren als CSV of NDJSON.

Audit log /run #4f2a

Append-only5 entries

The audit entries run #4f2a wrote, newest first
Time	Actor	Event
14:33:19	web-03	reloaded nginx
14:32:07	dana	approved revision 7
14:29:40	alex	dry run on 3 hosts, 12 changes
14:28:55	AI	drafted 4 steps for alex
14:28:31	alex	requested Patch nginx across prod

ExportCSVNDJSON

Wie bij productie kan

Beheerder zijn is geen toegang. Twee uur prod, vastgelegd.

Een beschermde omgeving negeert de rol in de organisatie. Iedereen behalve de Owner, ook Admins, heeft een toekenning nodig, en die kan verlopen.

Hoe het product is begrensd

Fig. 6, wie bij prod kan, met een toekenning van twee uur

Who can touch

prod

Protected: org role alone grants nothing here. Access comes from an explicit grant.

Effective access to prod per member.
Member	View	Run	Manage	Via
Ada LovelaceOwner	View allowed	Run allowed	Manage allowed	Org role (owner)
Bo ChenAdmin	View not allowed	Run not allowed	Manage not allowed	No access
Alex MoreauOperator	View allowed, expires in 2h	Run allowed, expires in 2h	Manage not allowed	Grant, expires in 2h
Dana OkaforOperator	View allowed	Run allowed	Manage not allowed	Grant, permanent
Eli NovakViewer	View not allowed	Run not allowed	Manage not allowed	No access

Grant#a91cprod

Alex MoreauOperator

Run on prod for 2h, to patch nginx across prod.

Approved by: Dana Okafor, 14:02
Window: 14:05 to 16:05
Connections: 3, each on a 5 min certificate

Ends on its own at 16:05

Het bewijs waar uw klanten om vragen, geleverd door het werk zelf.

Elke goedgekeurde wijziging, toegangstoekenning en hersteltest wordt vastgelegd terwijl het gebeurt, en is per klant te exporteren naar het kader waartegen die wordt getoetst.

Bekijk het bewijs

Evidence for Kessel BankSample

1 July to 30 September 2026, CSV and NDJSON

NIS2 6.7.2(h)BIO 8.05.01ISO 27001

Changes approved for the exact revision14
Access grants, each with its approver and window9
Access review signed off by Ada Lovelace2026-10-05
Restore tests, time to restore 4m 10s3

Wat waar draait

Niets te installeren op de hosts. De verbinding sluit wanneer de run eindigt.

Opafra verbindt via SSH als de gebruiker die u per host instelt. Er is geen daemon om te patchen en geen nieuwe listener op de hosts die u beschermt.

Fig. 7, wat een run van een host nodig heeft, en wat over het netwerk gaat

Your secret manager

HashiCorp Vault
Infisical
AWS Secrets Manager
GCP Secret Manager

read only when a step runs

Opafra's servers

Runs and dry runs

Your organization's certificate authority

five-minute certificates

Sealed credentials

AES-256-GCM

SSH

Your network

Bastion

or directly

prod

web-01
web-02
web-03

SSH from Opafra's servers to each host, or through its bastion.
A fresh key and a five-minute certificate from your organization's own certificate authority, or a key you give Opafra.
Every host key, bastions included, checked against the one recorded on first contact. A different key is refused.
Secret values stay in your secret manager until the step that needs them runs. The plan carries a reference, and the log shows the value masked.
Credentials Opafra holds are sealed under your organization's own key.

On the host: An SSH login. Nothing stays running afterwards.
Credentials: Your existing keys, or five-minute certificates from your organization's own certificate authority.
Inbound to your network: SSH from Opafra's servers to the host, or to its bastion. Nothing is installed or left listening.
To operate Opafra: Nothing. It is hosted: no control-plane VM and no cluster to run.

Works with what you already run. Any Linux host over SSH, on any cloud or bare metal, modules for Docker and NGINX, discovery from Terraform and Kubernetes, plans synced from GitHub.

Linux
Docker
Kubernetes
Terraform
Google Cloud
GitHub
NGINX

Uit de beveiligingspagina

Zie het tegen uw eigen situatie.

Vertel ons wat u beheert. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.

Vraag een demo aan