Operando o Orbit

Conferindo

sudo orbit status                      # administrador, instalação, operações, servidores, agentes, validade dos certificados
journalctl -u orbit -f                 # o plano de controle
journalctl -u orbit-agent -f           # o agente
journalctl -u k3s                      # o Kubernetes
sudo k3s kubectl get pods -A           # o que roda no servidor

O orbit status lê o banco do Orbit em modo somente leitura e funciona com o Orbit rodando.

Métricas

A cada 30 segundos o Orbit coleta amostras de cada servidor e dos workloads que ele roda, e guarda 8 dias de amostras:

• Aplicações: CPU como fração do limite, a memória da instância mais ocupada, rede de entrada e saída e reinícios com a causa.
• Bancos: o mesmo, mais o espaço usado no volume e os clientes conectados.
• Servidores: CPU, memória e disco em uso.

As páginas mostram o uso atual e gráficos de 1 hora, 24 horas ou 7 dias. Quando o Orbit não conseguiu coletar (estava fora do ar, ou o Kubernetes não respondeu), os gráficos mostram o buraco em vez de uma linha, e a linha do tempo diz por quanto tempo.

O que os logs nunca guardam

Toda linha de log, log de operação e detalhe de falha passa pela mesma remoção: credenciais em URLs, tokens bearer e prefixos de tokens conhecidos, valores no estilo password= e token=, segredos em JSON, chaves privadas e tokens do Kubernetes e de registro de agentes.

Backup do Orbit

sudo orbit backup --output /root/orbit-$(date +%F).tar.gz

• O backup é consistente com o Orbit rodando.
• Ele guarda o banco do Orbit, a autoridade certificadora dos agentes e a chave que sela os segredos. Copie-o para fora do servidor e mantenha-o tão privado quanto o próprio servidor.
• Ele não inclui o estado do Kubernetes nem os dados das suas aplicações: os backups dos bancos são separados.

Para recuperar o plano de controle na mesma máquina:

sudo systemctl stop orbit
sudo orbit restore --input /root/orbit-2026-10-09.tar.gz
sudo systemctl start orbit

O restore recusa enquanto o Orbit responde, recusa arquivos que ele não escreveu e confere a integridade do banco e que ele não é mais novo que o binário. Os arquivos substituídos ficam em /var/lib/orbit/before-restore-<horário>/.

Removendo o Orbit

sudo systemctl disable --now orbit orbit-agent k3s orbit-firewall orbit-buildkit
sudo rm -rf /var/lib/orbit /var/lib/orbit-agent /etc/orbit-agent /var/lib/rancher /etc/rancher /usr/local/lib/orbit /var/lib/orbit-buildkit \
  /usr/local/bin/{orbit,orbit-agent,k3s,kubectl,crictl,ctr} /etc/systemd/system/{orbit,orbit-agent,k3s,orbit-firewall,orbit-buildkit}.service
sudo reboot   # limpa as interfaces de rede e as regras de firewall que o K3s e o Orbit criaram

Isso apaga todas as aplicações e bancos do servidor com os seus dados. Backups em armazenamento externo ficam onde estão.