agent: manage SSH sessions from dashboard

Author: inode64

docs/safety.es.md

@@ -66,6 +66,16 @@ pasa por el mismo motor:
 7. Verificar el estado del backend cuando corresponda y ejecutar el postflight
    requerido para start/restart/reload/resume.
 
+El **close SSH session** del panel es una operación manual separada del motor,
+nunca una acción de regla ni remediación automática. Toma los mismos locks de
+operación y nombrados, guards, timeout y ruta de un resultado/evento, pero no
+reinicia ni ejecuta postflight del daemon SSH. Justo antes de la única señal,
+Sermo vuelve a leer el terminal con login y su ascendencia `/proc` hasta un
+ejecutable `sshd` configurado exacto y su usuario real, y exige el mismo
+terminal, PID de sesión y ticks de inicio del proceso. Si falta esa frontera, el
+terminal cambió o el PID se recicló, se rechaza. Un cierre correcto envía un único `SIGTERM` al proceso de
+sesión; nunca escala a `SIGKILL`.
+
 Un residual que Sermo no tiene permitido identificar y matar se **reporta, no se mata**:
 un fallo limpio `orphan_processes` es más seguro que matar el proceso equivocado.
 

docs/safety.md

@@ -65,6 +65,17 @@ runs through the same engine:
 7. Verify backend status where applicable and run required postflight for
    start/restart/reload/resume.
 
+The dashboard's **close SSH session** is a separate manual engine operation,
+never a rule action or automatic remediation. It takes the same operation and
+named locks, guards, timeout and one-result event path, but does not restart or
+postflight the SSH daemon. Immediately before the only signal, Sermo re-reads
+the logged-in terminal and its `/proc` ancestry to an exact configured `sshd`
+executable and real user, and requires the same terminal, session PID and
+process start ticks.
+Any missing boundary, changed terminal or recycled PID is rejected. A successful
+close sends one `SIGTERM` to the per-session process; it never escalates to
+`SIGKILL`.
+
 A residual Sermo is not allowed to identify and kill is **reported, not killed**:
 a clean `orphan_processes` failure is safer than killing the wrong process.
 

docs/webui-representation.es.md

@@ -160,6 +160,7 @@ con un cuerpo `{"ok": bool, "message": string}` para una acción atendida.
 | --- | --- | --- |
 | Acción de servicio | `POST /api/services/{name}/{action}[?no_cascade=1]` | `monitor`, `unmonitor`, `start`, `stop`, `restart`, `reload`, `resume`; `reload` se ofrece solo cuando el servicio informa `can_reload` desde soporte de reload del backend de init o desde un fallback `reload:` válido; `no_cascade` omite los objetivos de `also_apply` en start/stop/restart |
 | Preflight de servicio | `POST /api/services/{name}/preflight` | ejecuta los checks de preflight sin cambiar el estado del servicio |
+| Cerrar sesión SSH | `POST /api/services/{name}/sessions/{pid}/close?start_ticks=TICKS&terminal=PTS` | solo admin y con confirmación: cierre elegante de un terminal SSH mostrado; el backend redescubre el terminal, el ejecutable `sshd` configurado exacto y su usuario real, exige el mismo PID y ticks de inicio y solo envía `SIGTERM` |
 | Acción de watch | `POST /api/watches/{name}/{action}` | `monitor`, `unmonitor`, `expand`, `probe` (una muestra manual), más `pause`/`resume` de RAID, que ejecutan una operación de re-chequeo y verificación y requieren la cabecera `X-Sermo-Confirm` |
 | Prueba de notifier | `POST /api/notifiers/{name}/test` | envía una notificación de prueba por el notifier nombrado tras confirmación |
 | Acción de montaje | `POST /api/mounts/{name}/{action}[?force=1&lazy=1&kill=1]` | `mount`, `umount`, `alert`; `force=1` permite `umount -f`, `lazy=1` permite `umount -l` como último fallback y `kill=1` habilita señalización de blockers limitada por `kill_only_if`; `/` rechaza las rutas de desmontaje |
@@ -180,6 +181,7 @@ con un cuerpo `{"ok": bool, "message": string}` para una acción atendida.
 | Refresco | selector con intervalo de refresco, botón de refresco manual |
 | Notificaciones | campana de notificaciones del navegador (opt-in); con el permiso concedido, los objetivos que empiezan a fallar generan una única notificación agrupada mientras la pestaña está oculta |
 | Estado | antigüedad del último refresco completo, errores de conexión o lista de paneles que conservan datos anteriores tras un refresco parcial; `#statusbar` termina con el `uptime:` del host y luego el `status:` del daemon (`ok` / `starting` / …) como una cola emparejada |
+| Sesiones | cuando se puede atribuir con seguridad un servicio SSH configurado, `sessions (console/SSH): X/Z` es el número de terminales locales y SSH con login; reemplaza el recuento anterior de usuarios distintos, así que tres terminales de la misma cuenta se ven como `0/3`, no como `1` |
 | Estado del sistema | identidad del host, tipo de host, resumen de daemon/backend/runtime |
 
 Notas editables:
@@ -308,6 +310,7 @@ Compartida por los paneles Services, Containers y Virtual machines:
 | Datos generales | una cuadrícula sin encabezado, primera área de la expansión: nombre, estado, categoría, unidad/backend, uptime, intervalo, política, locks, último evento, próxima remediación, estado de remediación y totales del proceso; mientras la insignia de la fila sea `starting`, la expansión puede mostrar todavía el backend de init en bruto (`inactive`) y muestras de check en curso del ciclo de solo observación |
 | Gráficos | línea temporal de SLA a ancho completo seguida de gráficos de latencia, CPU, memoria e IO; cada servicio persiste su propia ventana temporal y check de latencia; los servicios `no_resident_process` muestran solo SLA porque no tienen runtime de procesos para graficar |
 | Procesos | tabla del árbol de procesos detectado a ancho completo, con los procesos hijos marcados en CMD y mantenidos bajo su padre; **Max core** sigue a CPU e informa del uso máximo que ese proceso hizo de un solo core —su hilo más ocupado—, cuyo tooltip indica si el daemon lo midió por hilo o lo acotó con la tasa del proceso; las advertencias de descubrimiento se listan encima, una por línea; se omite cuando `no_resident_process` es true |
+| Sesiones SSH | solo en un servicio SSH atribuido: usuario, terminal, PID de sesión y tiempo inactivo en vivo. Los administradores pueden confirmar **close** cuando exista un límite de sesión verificado; los invitados no tienen acción y una sesión no verificable se muestra pero no se puede cerrar |
 | Checks | checks configurados y resultado actual; la columna SLA lleva la misma banda de disponibilidad que dibuja la línea temporal de SLA de Gráficas, sobre la ventana en la que esté el selector de esa sección, así que un tramo sin observar se ve como hueco rayado en ambas en vez de como un porcentaje plano en una |
 | Locks con nombre | estado de los locks de runtime |
 | Reglas | estado de las reglas de remediación/alerta |

docs/webui-representation.md

@@ -150,6 +150,7 @@ with an `{"ok": bool, "message": string}` body for a handled action.
 | --- | --- | --- |
 | Service action | `POST /api/services/{name}/{action}[?no_cascade=1]` | `monitor`, `unmonitor`, `start`, `stop`, `restart`, `reload`, `resume`; `reload` is offered only when the service reports `can_reload` from init backend reload support or a valid `reload:` fallback; `no_cascade` skips `also_apply` targets on start/stop/restart |
 | Service preflight | `POST /api/services/{name}/preflight` | run preflight checks without changing service state |
+| Close SSH session | `POST /api/services/{name}/sessions/{pid}/close?start_ticks=TICKS&terminal=PTS` | admin-only, confirmation-required graceful close of one displayed SSH terminal; the backend re-discovers the terminal plus exact configured `sshd` executable and real user, then requires the same PID and start ticks before sending only `SIGTERM` |
 | Watch action | `POST /api/watches/{name}/{action}` | `monitor`, `unmonitor`, `expand`, `probe` (one manual sample), plus RAID `pause`/`resume`, which run a check-and-verify operation and require the `X-Sermo-Confirm` header |
 | Notifier test | `POST /api/notifiers/{name}/test` | sends one test notification through the named notifier after confirmation |
 | Mount action | `POST /api/mounts/{name}/{action}[?force=1&lazy=1&kill=1]` | `mount`, `umount`, `alert`; `force=1` allows `umount -f`, `lazy=1` allows `umount -l` as the last fallback, and `kill=1` enables `kill_only_if`-gated blocker signalling for `umount`; `/` rejects unmount paths |
@@ -170,6 +171,7 @@ with an `{"ok": bool, "message": string}` body for a handled action.
 | Refresh | select with refresh interval, manual refresh button |
 | Notifications | opt-in browser-notification bell; once granted, targets that newly start failing raise one grouped notification while the tab is hidden |
 | Status | last complete refresh age, connection errors, or panels retaining older data after a partial refresh; `#statusbar` ends with host `uptime:` then daemon `status:` (`ok` / `starting` / …) as a paired tail |
+| Sessions | when a configured SSH service can be attributed safely, `sessions (console/SSH): X/Z` is the number of logged-in local-console and SSH terminals; it replaces the former distinct-user count, so three terminals of the same account read `0/3`, not `1` |
 | System status | host identity, host type, daemon/backend/runtime summary |
 | Browser tab title | after the first full load: `Sermo - <host>` when healthy, `(N) Sermo - <host>` when attention has N signals, `Sermo - <host> · starting` while the daemon is starting; `<host>` is the short hostname from `GET /api/daemon` (same identity as the Basic auth realm) |
 
@@ -304,6 +306,7 @@ Shared by the Services, Containers and Virtual machines panels.
 | General data | an unheaded grid, first area of the expansion: name, state, category, unit/backend, uptime, interval, policy, locks, last event, next remediation, remediation state and process totals; while the row badge is `starting`, expansion may still show the raw init backend (`inactive`) and in-flight check samples from the observe-only cycle |
 | Graphs | full-width SLA timeline followed by latency, CPU, memory and IO charts; each service persists its own time window and latency check; `no_resident_process` services show only SLA because they have no process runtime to chart |
 | Processes | full-width detected process tree table, with child processes marked in CMD and kept under their parent; **Max core** follows CPU and reports the most a single core was used by that process — its busiest thread — whose tooltip says whether the daemon measured it per thread or bounded it by the process rate; discovery warnings are listed above it, one per line; omitted when `no_resident_process` is true |
+| SSH sessions | only on an attributed SSH service: live user, terminal, session PID and idle time. Admins can confirm **close** for a session with a verified boundary; guests have no action and an unverifiable session is displayed but cannot be closed |
 | Checks | configured checks and current result; the SLA column carries the same availability band the Graphs SLA timeline draws, on the window that section's selector is on, so an unobserved stretch reads as a hatched gap in both instead of a flat percentage in one |
 | Named locks | runtime lock state |
 | Rules | remediation/alert rule state |

internal/app/daemon.go

@@ -212,11 +212,16 @@ type Deps struct {
 	// PID, cutting discovery from O(services × processes) to O(processes).
 	// Optional: nil makes each discoverer read /proc directly.
 	ProcReader process.Reader
-	// SSHIdleSampler observes interactive SSH terminals. It owns a separate
-	// terminal-aware procfs cache because ordinary service discovery deliberately
-	// avoids reading tty_nr for every process. Optional: nil lets checks build a
-	// one-shot native sampler.
-	SSHIdleSampler checks.SSHIdleSamplerFunc
+	// SSHIdleSampler observes idle interactive SSH terminals. SSHSessionSampler
+	// presents the same terminal-aware evidence in the web UI and verifies a
+	// requested close. Both share a separate procfs cache because ordinary
+	// service discovery deliberately avoids reading tty_nr for every process.
+	// Optional nil values let checks build one-shot native samplers.
+	SSHIdleSampler    checks.SSHIdleSamplerFunc
+	SSHSessionSampler checks.SSHSessionSamplerFunc
+	// SSHSessionVerifier must obtain a fresh terminal/process snapshot for a
+	// close action. Optional nil uses an uncached native sampler.
+	SSHSessionVerifier checks.SSHSessionSamplerFunc
 	// StorageUsage reports filesystem usage for storage checks.
 	// Optional: nil uses statfs.
 	StorageUsage checks.StorageUsageFunc
@@ -345,6 +350,9 @@ type Deps struct {
 	// MountSignaler sends TERM/KILL during policy-gated web umount escalation.
 	// Optional: nil uses process.OSSignaler.
 	MountSignaler process.Signaler
+	// SSHSessionSignaler sends the single SIGTERM used to close a freshly
+	// revalidated interactive SSH session. Optional: nil uses process.OSSignaler.
+	SSHSessionSignaler process.Signaler
 	// MountUserAlerter sends a console alert to users blocking a web mount
 	// operation. Optional: nil uses the native tty notifier.
 	MountUserAlerter MountUserAlerter

internal/app/monitor.go

@@ -231,14 +231,13 @@ func (m *Monitor) applyConfig(cfg *config.Config) {
 	// Recreate the shared /proc reader so reloads can change user/group lookup
 	// policy as well as the freshness window.
 	m.deps.ProcReader = process.NewCachingReader(process.OSReader{LookupUserName: m.deps.UserLookup.Username}, m.deps.SystemFreshness)
-	m.deps.SSHIdleSampler = checks.NewSSHIdleSampler(
-		process.NewCachingReader(process.OSReader{
-			LookupUserName:  m.deps.UserLookup.Username,
-			LookupGroupName: m.deps.UserLookup.GroupName,
-			ReadTTY:         true,
-		}, m.deps.SystemFreshness),
-		m.deps.UserLookup,
-	)
+	terminalReader := process.NewCachingReader(process.OSReader{
+		LookupUserName:  m.deps.UserLookup.Username,
+		LookupGroupName: m.deps.UserLookup.GroupName,
+		ReadTTY:         true,
+	}, m.deps.SystemFreshness)
+	m.deps.SSHIdleSampler = checks.NewSSHIdleSampler(terminalReader, m.deps.UserLookup)
+	m.deps.SSHSessionSampler = checks.NewSSHSessionSampler(terminalReader, m.deps.UserLookup)
 	notifiers, warns := notify.Build(cfg.Notifiers(), notify.WithTemplateDir(cfg.Global.TemplateDir()))
 	m.deps.Notifiers = notifiers
 	m.deps.GlobalNotify = config.NotifyDefault(cfg.Global.Raw)

internal/app/webbackend.go

@@ -85,6 +85,7 @@ type webEntry struct {
 	discoverer        process.Discoverer
 	selectors         []process.Selector
 	processWarnings   []string
+	sshSessionFilters []process.IdentityFilter
 	noResidentProcess bool
 	alsoApply         []string
 	canReload         bool
@@ -175,6 +176,7 @@ type WebBackend struct {
 	mountUsers        func(string) ([]process.Process, error)
 	mountSignaler     process.Signaler
 	mountAlerter      MountUserAlerter
+	sshSessionSampler checks.SSHSessionSamplerFunc
 	emit              func(Event)
 	defaultTimeout    time.Duration
 	operationTimeout  time.Duration
@@ -196,6 +198,9 @@ type WebBackend struct {
 
 	mountOperationsMu sync.Mutex
 	mountOperations   map[string]web.MountOperation
+
+	sshSessionsMu   sync.Mutex
+	sshSessionCache map[string]cachedSSHSessions
 }
 
 func (b *WebBackend) webNow() time.Time {
@@ -269,6 +274,7 @@ func NewWebBackend(ctx context.Context, cfg *config.Config, deps Deps) (*WebBack
 		mountUsers:        deps.MountDiscoverUsers,
 		mountSignaler:     deps.MountSignaler,
 		mountAlerter:      deps.MountUserAlerter,
+		sshSessionSampler: deps.SSHSessionSampler,
 		emit:              deps.Emit,
 		defaultTimeout:    deps.DefaultTimeout,
 		operationTimeout:  deps.OperationTimeout,
@@ -365,6 +371,12 @@ func attachServiceRuntime(ctx context.Context, entry *webEntry, name string, tre
 	entry.discoverer = discoverer
 	entry.selectors = selectors
 	entry.processWarnings = processWarnings
+	entry.sshSessionFilters = sshSessionFilters(tree, selectors)
+	if len(entry.sshSessionFilters) > 0 {
+		engine.SessionVerifier = freshSSHSessionVerifier(deps, entry.sshSessionFilters)
+		engine.SessionSignaler = deps.SSHSessionSignaler
+		entry.engine = engine
+	}
 	reloadCtx, cancel := context.WithTimeout(ctx, serviceInitQueryTimeout)
 	canReload, reloadErr := operation.ReloadSupported(reloadCtx, tree, target.Manager, target.Unit)
 	cancel()

internal/app/webbackend_daemon.go

@@ -15,6 +15,9 @@ import (
 func (b *WebBackend) DaemonInfo(_ context.Context) web.DaemonInfo {
 	info := web.DaemonInfo{}
 	info.ActiveUsers = notify.ActiveUserCount()
+	if sample, err := b.sshSessions(b.allSSHSessionFilters()); err == nil {
+		info.Sessions = &web.SessionSummary{Console: sample.Console, SSH: len(sample.SSH)}
+	}
 
 	// Short host identity — same source as ${hostname} and the Basic auth realm.
 	info.Hostname = config.ShortHostname()

internal/app/webbackend_services.go

@@ -472,6 +472,15 @@ func (b *WebBackend) Detail(ctx context.Context, name string) (web.Detail, bool)
 		d.Processes, d.ProcessTotals = aggregateProcesses(procs, b.runtimeMetricReader())
 		attachLiveCPU(&d, b.live, name)
 	}
+	if len(e.sshSessionFilters) > 0 {
+		d.SSHSessionsSupported = true
+		sessions, err := b.sshSessions(e.sshSessionFilters)
+		if err != nil {
+			d.ProcessWarnings = append(d.ProcessWarnings, sshSessionUnavailablePrefix+err.Error())
+		} else {
+			d.SSHSessions = sshSessionsToWeb(sessions)
+		}
+	}
 
 	if b.remediation != nil {
 		if rep, ok := b.remediation.Get(name); ok {