Compartir una copia (attach)

El agente entra. La clave no.

kling db up pg -name crm
kling db role crm -ro -name agent                  # un rol de solo lectura
kling run -image toolchain -name a1 -egress allowlist -allow example.org -allow-exec
kling db attach a1 crm -role agent                 # a1 recibe un marcador en PGPASSWORD
kling db detach a1 crm                             # fuera, y sus sesiones cortadas

Dentro de a1:

psql "host=crm.db.internal user=agent dbname=appdb sslmode=disable"

Cómo funciona

• El proxy de credenciales de a1 pone la contraseña al conectar.
• En cada conexión el daemon comprueba que la copia existe, corre, está ready y es del mismo dueño. Si no, el agente recibe 08006.
• Congelar, parar o borrar la copia corta las sesiones abiertas.
• En macOS va por el broker de enlaces del daemon.

El rol de solo lectura

LOGIN NOSUPERUSER NOBYPASSRLS, CONNECTION LIMIT 5, solo SELECT, statement_timeout de 5 s. No pasa a las copias hijas: fork y undo lo borran.

En el repo: docs/db.md: modelo A · docs/postgres.md