` | Contenedor en el que ejecutar el comando (predeterminado: el nombre del componente). |
Los indicadores `--k8s-*` y los indicadores de canal remoto son mutuamente excluyentes; elija un único destino.
## clicklink clctl troubleshoot session
Habilita, deshabilita e inspecciona la sesión de soporte: la ventana de tiempo durante la cual el solucionador de problemas acepta comandos. Cuando no hay ninguna sesión activa, el demonio rechaza todos los comandos, aunque su WebSocket esté conectado. Consulte las [sesiones de soporte](/docs/es/products/bring-your-own-cloud/connector/support-sessions).
Los comandos funcionan en uno de dos modos:
* **Archivo local** (predeterminado): lee y escribe el archivo de estado de la sesión en el host donde se ejecuta el solucionador de problemas (de forma predeterminada, `/var/lib/clicklink/session.json`).
* **Gateway**: con `--gateway-url`, obtiene un token de ID de OIDC y, desde su estación de trabajo, llama en su lugar al gateway de sesiones del solucionador de problemas.
### Indicadores compartidos
| Indicador | Descripción |
| -------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--session-file ` | Ruta del archivo de estado de la sesión (predeterminado: `/var/lib/clicklink/session.json`). |
| `--config ` | Archivo de configuración del conector; obtiene la ruta del archivo de sesión de la sección `troubleshooter`. |
| `--gateway-url ` | URL base del gateway de sesión. Cuando se especifica, el comando obtiene un token Bearer OIDC y llama al gateway en lugar de acceder al archivo de estado local. Es mutuamente excluyente con `--session-file` y `--config`. |
| `--gateway-audience ` | Claim de audiencia al que está vinculado el token OIDC (predeterminado: `clicklink-clctl`, que coincide con el valor predeterminado del gateway). Especifíquelo solo si se ha reconfigurado la audiencia del gateway. |
| `--gateway-issuer ` | Emisor OIDC que valida el gateway. Si está vacío, se selecciona el flujo de Google; especifíquelo junto con `--oidc-client-id` para ejecutar el flujo de código de dispositivo con un proveedor de identidad distinto de Google. |
| `--oidc-client-id ` | ID de client OIDC público para el flujo de código de dispositivo, registrado en `--gateway-issuer` con la concesión de dispositivo habilitada. |
| `--token-file ` | Archivo que contiene un token de ID OIDC preemitido, utilizado como token Bearer y que omite los demás proveedores de tokens. |
| `--gateway-ca ` | Paquete de CA para verificar el certificado del gateway (certificado propio). Si no se especifica, se usa un certificado fijado mediante `gateway trust`; un gateway autofirmado sin certificado fijado falla de forma segura. |
### habilitar sesión
| Indicador | Descripción |
| ------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--duration ` | Tiempo que la sesión permanece activa (valor predeterminado: `4h`; máximo: `24h`). |
| `--reason ` | Motivo opcional de texto libre que se registra con la sesión (hasta 256 caracteres). |
| `--user ` | Identidad del operador que se registrará en el modo de archivo local; de forma predeterminada, `$SUDO_USER` o `$USER`. En el modo gateway, el correo electrónico validado por el token es el que prevalece. |
La habilitación falla si ya hay una sesión activa; deshabilítela primero o espere a que expire.
### desactivar sesión
Desactiva la sesión de inmediato. No tiene ningún efecto si no hay una sesión activa.
### estado de la sesión
Muestra si la sesión está activa, quién la habilitó y cuándo expira. `--output` (`-o`) permite seleccionar `table` (predeterminado) o `json`.
En Kubernetes, acceda al gateway mediante un reenvío de puertos:
```bash theme={null}
kubectl -n port-forward \
statefulset/clicklink-connector-troubleshooter 8443:8443
clicklink clctl troubleshoot session enable \
--gateway-url http://localhost:8443 \
--duration 1h --reason "support ticket 1234"
```
## clicklink clctl troubleshoot gateway trust
En una VM, el gateway de sesión utiliza un certificado TLS autofirmado. Este comando registra la huella SHA-256 del certificado en `~/.clicklink/clctl.yaml` para que los comandos de `session` puedan verificarlo; si una huella fijada deja de coincidir, la operación falla de forma segura. La confianza se establece fuera de banda de una de estas dos formas:
* Con los [indicadores del canal remoto](#channel-flags), el certificado se lee directamente desde la VM a través del canal ya autenticado y se fija.
* Sin un canal, pase `--gateway-fingerprint` con el valor SHA-256 que el conector registró al generar el certificado; el certificado obtenido solo se fija si coincide. Si omite el indicador, se muestra la huella presentada sin fijar nada.
| Indicador | Descripción |
| -------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------- |
| `--gateway-url ` | URL base del gateway en el que se confiará (obligatoria), por ejemplo, `https://:8443`. |
| `--gateway-fingerprint ` | Huella SHA-256 esperada del registro del conector, verificada antes de fijarla. Se ignoran los dos puntos y las mayúsculas y minúsculas. |
| `--remote-cert-file ` | Ruta al certificado del gateway en la VM, leída a través del canal (valor predeterminado: `/var/lib/clicklink/gateway/tls/server.crt`). |
```bash theme={null}
clicklink clctl troubleshoot gateway trust \
--gateway-url https://:8443 \
--gateway-fingerprint
```
En Kubernetes, no se usa el pinning: exponga el gateway mediante un Ingreso con un certificado emitido por una CA o utilice un reenvío de puertos.
## clicklink clctl troubleshoot audit tail
Imprime las últimas entradas del registro de auditoría del solucionador de problemas: JSON delimitado por saltos de línea, una entrada por cada comando que el daemon aceptó o bloqueó. El comando abre el registro en modo de solo lectura y nunca lo modifica.
| Indicador | Descripción |
| ------------------- | ------------------------------------------------------------------------------------------------------------------- |
| `--lines `, `-n` | Número de entradas finales que se imprimirán (el valor predeterminado es 50). |
| `--path ` | Ruta del archivo de registro de auditoría (el valor predeterminado es `/var/log/clicklink/troubleshoot-audit.log`). |
La imagen de runtime del conector no incluye una shell, por lo que, en Kubernetes, este comando es el lector compatible:
```bash theme={null}
kubectl -n exec -- \
/clicklink clctl troubleshoot audit tail
```
## Aprovisionamiento de acceso
`clicklink clctl scraper access provision` y `clicklink clctl troubleshoot access provision` crean y, con `--force`, rotan el paquete de acceso por instancia de un componente: el usuario de ClickHouse de solo lectura y sus permisos, además de la ServiceAccount, RBAC y el token de Kubernetes que utiliza el componente. `init` realiza esta operación integrada durante la instalación; los comandos independientes permiten volver a ejecutarla y rotar las credenciales.
| Indicador | Descripción |
| -------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--instance ` | Nombre de la instancia de la configuración (obligatorio). |
| `--server ` | URL del servidor de la API de Kubernetes (obligatorio). |
| `--ca-data ` | Certificado de CA del clúster codificado en Base64 para el kubeconfig generado. |
| `--config ` | Archivo de configuración del conector del que se lee la instancia. |
| `--target ` | `systemd` (predeterminado: envía el paquete a una VM a través de un canal remoto o lo genera localmente con `--provider local`) o `helm` (envía el paquete como un secreto de Kubernetes para el chart). |
| `--target-namespace ` | Espacio de nombres donde se crea el secreto del paquete (obligatorio con `--target helm`). |
| `--instance-namespace ` | (`--target helm`) Espacio de nombres de la instancia de ClickHouse de destino. |
| `--force` | Sobrescribe un paquete existente: permite volver a ejecutarlo y rotar las credenciales. |
| `--secret-name ` | Sobrescribe el nombre del secreto del paquete (predeterminado: `clicklink-connector--access-`). |
| `--output-dir ` | (`--target helm` o `--provider local`) Directorio raíz donde se crea el paquete. |
| `--ch-admin-user ` | Usuario administrador de ClickHouse para aplicar permisos (predeterminado: `default`). |
| `--ch-admin-password-stdin` | Lee la contraseña del administrador de ClickHouse desde stdin. |
| `--ch-user-suffix ` | Sufijo opcional para el nombre de usuario de ClickHouse aprovisionado. |
| `--ch-user-via ` | Cómo se aprovisiona el usuario de ClickHouse: `sql` (predeterminado; aplica los permisos generados como `--ch-admin-user`) o `cr` (escribe el usuario en el recurso personalizado de la instancia, para instancias administradas por operadores sin un administrador con acceso a SQL). |
| `--apply-ch-grants` | (`--target helm`) Aplica los permisos generados dentro del pod de Kubernetes mediante `kubectl exec` en lugar de dejarlos para que los aplique usted. |
| `--ch-pod [`, `--ch-pod-namespace `, `--ch-container ` | (`--target helm` con `--apply-ch-grants` o `--ch-user-via cr`) Selecciona el pod de Kubernetes de ClickHouse y el contenedor en los que se ejecutarán los comandos. |
| `--token-duration ` | Vida útil del token de ServiceAccount (predeterminado: `2160h`, 90 días; EKS limita la duración concedida a 24 horas). |
| `--skip-restart` | Omite reiniciar el componente después del aprovisionamiento. |
| `--dry-run` | Imprime el plan y sale; no realiza escrituras en Kubernetes, sistemas remotos ni ClickHouse. |
Rote las credenciales de una instancia para un componente:
```bash theme={null}
clicklink clctl scraper access provision --target helm \
--target-namespace \
--instance --instance-namespace \
--server \
--apply-ch-grants --ch-pod --ch-pod-namespace \
--force
```
]
## Indicadores de canales remotos
`preflight`, `gateway trust` y `access provision` aceptan un conjunto común de indicadores que determinan cómo se accede a una VM de destino:
| Indicador | Descripción |
| ------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `--provider ` | Canal de ejecución: `ssh`, `aws` (SSM) o `gcp` (IAP) para VM remotas, o `local` cuando se ejecuta en la propia VM de destino. Se infiere a partir de los indicadores específicos de cada proveedor si no se establece explícitamente; `local` nunca se infiere. |
| `--ssh-host `, `--ssh-user `, `--ssh-port `, `--ssh-identity-file ` | Datos de conexión SSH (`--provider ssh`); el usuario, el puerto y la clave toman de forma predeterminada los valores de tu configuración SSH. |
| `--instance-id `, `--region `, `--profile ` | Instancia EC2, región y perfil de configuración compartida para SSM (`--provider aws`). |
| `--project `, `--zone `, `--instance-name ` | Proyecto, zona e instancia para la tunelización mediante IAP (`--provider gcp`). |