Licenciamento

O modelo

A licença é offline: um certificado Ed25519 assinado pelas chaves raiz da Atlasberg, cujas metades públicas estão embutidas no binário. O import verifica o parse, a assinatura contra o keyring, a validade do payload, a vinculação à chave pública do deployment e o anti-replay de licença antiga. Cada tentativa de import, aceita ou recusada, vira um evento license.import na trilha.

Anti-retrocesso de relógio: high water mark persistida, avançada a cada chamada de status, import e uso e por um ticker de cinco minutos. Regressão gera um evento clock.retrograde.

Estados e o que congela

• Estado: setup | Significado: Sem licença.
• Estado: valid | Significado: Licença válida.
• Estado: grace | Significado: Vencida, ainda funcionando por inteiro.
• Estado: expired | Significado: Vencida, pós-graça.
• O plano de dados nunca para: um appliance sem licença continua roteando inferência. Em expired, o log diz que o plano de dados segue roteando. O gate de módulo é de plano de controle por definição.
• Congelamento do plano de controle (expired pós-graça, ou setup): mutações sob /api são recusadas com 403 (license_control_plane_frozen) por allowlist, não denylist. Leituras GET sempre passam.
• Ficam abertas apenas: as rotas de licença (a saída do congelamento), as rotas de login e sessão incluindo /api/atlasberg/sso/, /api/atlasberg/files/scan, que é ação de plano de dados do usuário final, e as revogações sob /api/atlasberg/identidade/tokens, porque revogar o token de um laptop roubado ou de quem saiu nunca pode esperar licença. Editar a configuração de identidade e as contas locais congela com o resto.

Módulos

O conjunto fechado que este build entende:

• Módulo: governance | O que habilita: Chaves virtuais, times, orçamentos e rate limits.
• Módulo: local-llm | O que habilita: Provedores de modelo locais, on-prem ou air-gapped.
• Módulo: audit-export | O que habilita: Export assinado da trilha e relatório de conformidade.
• Módulo: byok | O que habilita: Credenciais de provedor do próprio cliente.
• Módulo: sso | O que habilita: Login corporativo OIDC.
• Módulo: copilot | O que habilita: Importação dos inventários de licença Copilot e rateio do custo fixo.
• Módulo desconhecido nunca destrava nada (fail-closed), mas é mantido verbatim no status para relato honesto.
• Um módulo está licenciado quando está presente e o plano de controle não está congelado. Licença vencida não licencia ação nova de módulo.

Corte suave versus gate de módulo

Dois mecanismos em planos diferentes, ambos deliberados: um reescreve tráfego e nunca nega, o outro recusa mudança de configuração e nunca toca tráfego nem leitura.

• Corte suave (orçamentos): quando o gasto do mês de um escopo estoura o limite opt-in, o hook de pré-requisição reescreve o modelo (e o provedor, quando configurado) para o degradado que o administrador escolheu. Nunca nega e nunca aborta uma request; qualquer falha interna degrada para servir exatamente o que foi pedido (fail-open no plano de dados). Recusa reescrever para um modelo que a chave do chamador não pode usar, senão a governança devolveria 403 logo depois. Eventos: budget.degraded quando serviu no modelo barato, budget.degrade_blocked quando a reescrita foi impedida.
• Gate de módulo (Copilot, módulo fora da licença): escritas (import de inventário, salvar conexão) respondem 403 com instrução de ativação. Leituras nunca são bloqueadas: o painel e as conexões respondem com todos os dados mais o fato modulo_licenciado e o aviso modulo_aviso, então um deployment cuja licença perde o módulo continua vendo o inventário que já tem; não há novo import nem nova conexão até o módulo voltar. Remover credencial nunca depende de licença em dia. O segredo nunca é devolvido pela API em nenhum estado.

Faturamento air-gapped

• GET /api/atlasberg/license/activation gera o pedido de ativação assinado pela chave do deployment, carimbado com a versão do produto.
• GET /api/atlasberg/license/usage?period=YYYY-MM gera o relatório de uso assinado, com números dobrados da própria trilha (tokens de entrada e saída, requests, por modelo), encadeado pelo hash do relatório anterior. Verificável offline com atlasberg-verify -usage.
• O limite tokens_per_month viaja no payload da licença e aparece no status.
• Envio automático: todo mês fechado, um deployment com saída para a internet entrega sozinho o mesmo relatório de uso assinado na central Atlasberg (POST /api/usage em proxy.atlasberg.com). Nenhum token ou senha viaja: a central verifica o relatório com a chave pública do deployment que recebeu na ativação. Sem internet nada acontece; o bloco fica guardado em disco e é reenviado, byte a byte, quando houver saída, e a cadeia continua inteira. ATLASBERG_ENVIO_USO_DESLIGADO desliga o envio; ATLASBERG_CENTRAL_URL aponta para outra central (só https). O status da licença informa em envio_uso, e cada entrega deixa um evento license.usage_sent na trilha.

Sobre a Atlasberg Platform

A Atlasberg Platform é a camada de controle entre uma empresa e todos os modelos de IA: cada requisição é autenticada com uma chave virtual, filtrada por política e DLP, roteada para o provedor certo e gravada numa trilha de auditoria encadeada por hash. Expõe uma API compatível com a OpenAI, então as aplicações só trocam a URL base.

O mesmo artefato roda na Atlasberg Cloud, na sua VPC, on-premises ou totalmente air-gapped, e é cobrado por capacidade e módulos, nunca por assento.

Esta página faz parte da documentação oficial. Para falar com o time de engenharia, escreva para [email protected] ou use https://atlasberg.com/pt-br/contato. A resposta vem em até um dia útil.