> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/product-docs/expert-insights/arquitetura-agentless.md).

# Arquitetura Agentless

Por que o DataDike PAM não precisa de agentes instalados nos ativos e como isso simplifica a operação, reduz superfície de ataque e facilita auditorias de conformidade.

## O que significa agentless?

Uma solução PAM agentless acessa, gerencia e audita ativos privilegiados **sem instalar nenhum software nos hosts de destino**. Toda a comunicação ocorre pelos protocolos nativos do sistema operacional ou do serviço — SSH, WinRM, RDP, HTTPS e protocolos de banco de dados.

O DataDike PAM opera nesse modelo desde sua concepção. Não há processo em execução nos servidores gerenciados, nenhuma porta extra aberta e nenhuma atualização de agente para gerenciar.

***

## Como o PAM se conecta sem agente

| Tipo de ativo                 | Protocolo usado pelo PAM                                     | Porta padrão    |
| ----------------------------- | ------------------------------------------------------------ | --------------- |
| Servidores Linux / Unix       | SSH 2.0                                                      | 22              |
| Servidores Windows            | WinRM/HTTPS                                                  | 5986            |
| Área de Trabalho Remota (RDP) | RDP via gateway                                              | 3389 (proxiado) |
| Bancos de dados               | Protocolo nativo (MySQL, MSSQL, Oracle, PostgreSQL, MongoDB) | Variável        |
| Dispositivos de rede          | SSH / Telnet (somente SSH em produção)                       | 22              |
| Aplicações web                | HTTPS proxiado                                               | 443             |
| Dispositivos OOB / IPMI       | HTTPS / SSH                                                  | Variável        |

O PAM atua como um **proxy de sessão**: o operador se conecta ao PAM, e o PAM abre a sessão com o ativo de destino. O operador nunca recebe a credencial diretamente — o PAM injeta-a na sessão de forma transparente.

***

## Vantagens operacionais

### 1. Sem ciclo de vida de agente

Não há instalação, atualização, monitoramento ou remoção de agentes. Novos ativos são integrados simplesmente adicionando-os ao inventário do PAM.

### 2. Compatibilidade universal

Qualquer ativo que suporte SSH ou WinRM é gerenciável — independente da distribuição Linux, versão do Windows Server ou sistema operacional legado.

### 3. Superfície de ataque reduzida

Agentes são software adicional com dependências próprias. Sem agente, não há vetor de comprometimento via atualização de agente, falha de processo ou escalada de privilégio no host via componente do PAM.

### 4. Facilidade de auditoria

Auditores externos verificam a ausência de agentes em qualquer host — é uma verificação simples e inequívoca. Não há processo, porta ou conta de serviço específica do PAM a ser justificada no host.

***

## Segurança na conexão sem agente

A ausência de agente não significa ausência de controle. O PAM garante:

* **Criptografia de ponta a ponta** — SSH AES-256 para Linux; TLS 1.2/1.3 para Windows e serviços HTTPS.
* **Autenticação do host de destino** — host key SSH ou certificado X.509 validado antes de qualquer credencial ser enviada.
* **Injeção de credencial** — o operador nunca vê a senha; o PAM a injeta diretamente na sessão.
* **Gravação de sessão** — toda a atividade é registrada e reproduzível, independentemente do protocolo.

Para detalhes sobre a criptografia durante a rotação de senhas, consulte [Criptografia na Rotação de Senhas](/product-docs/expert-insights/criptografia-na-rotacao-de-senhas.md).

***

## Perguntas Frequentes

**É possível gerenciar ativos sem SSH ou WinRM habilitado?**\
Ativos que não suportam nenhum protocolo de gerenciamento remoto padrão podem ser acessados via console web proxiada (HTTPS) ou conexão RDP via gateway. Em último caso, dispositivos completamente isolados são gerenciados via acesso OOB (Out-of-Band).

**O agentless funciona em ambientes air-gapped?**\
Sim. O PAM é implantado on-premise na mesma rede dos ativos. Não há dependência de conectividade com a internet para a operação de sessões.

**Como o PAM descobre novos ativos automaticamente?**\
O PAM integra com Active Directory e fontes LDAP para importar contas e ativos automaticamente. Também suporta importação manual e via API.