Tanuki

Triage di Active Directory su Linux per agenti di coding AI. Protocol-first, zero rumore.

Avvio Rapido • Architettura Dual-Engine • Validazione Empirica in Live Lab • Video Demo • La Scala Decisionale • Prima & Dopo • Strumenti & Utilizzo • Configurazione Agente • Discendenza & Crediti

---

Avvio Rapido (Installazione Universale in 1 Riga)

Tanuki è 100% plug-and-play. Un singolo comando installa la CLI unificata e configura le AI Agent Skills per Claude Code, Cursor e Google Antigravity:

Linux & macOS

curl -sSL https://raw.githubusercontent.com/Mafifrizi/tanuki/main/install.sh | bash

Windows (PowerShell)

irm https://raw.githubusercontent.com/Mafifrizi/tanuki/main/install.ps1 | iex

Tramite Pipx / Pip / Cargo

# Pipx (Isolated CLI environment)
pipx install git+https://github.com/Mafifrizi/tanuki.git

# Local repository install
pip install .

# Note for Linux (Kali, Debian, Ubuntu): If ~/.local/bin is not in your PATH:
export PATH="$HOME/.local/bin:$PATH"

# Rust binary install
cargo install --path crates/tanuki-cli

Verifica la tua installazione:

# Direct CLI binary or universal Python module
tanuki --version
python3 -m tanuki --version

tanuki doctor
tanuki ladder
tanuki triage KRB_AP_ERR_SKEW

Architettura Dual-Engine

Tanuki include due implementazioni complementari:

1. Rust Systems Core (crates/tanuki-cli): Il motore principale ad alte prestazioni per workstation degli operatori, pipeline di validazione della sicurezza CI/CD e deployment standalone. Si compila in un singolo binario statico con #![forbid(unsafe_code)], zero dipendenze esterne e tempi di esecuzione inferiori a 2 millisecondi.
2. Python Fallback Engine (scripts/): Una suite di script a zero dipendenze che utilizza solo la libreria standard di Python (struct, io, sys). Opera direttamente su sistemi target remoti dove il rilascio di binari compilati è proibito o monitorato dal rilevamento degli endpoint.

Entrambi i motori condividono uno schema JSON identico e una specifica di parsing.

---

Validazione Empirica su Laboratorio Live

Tutti i parser di protocollo, le diagnostiche e i flussi di lavoro CLI sono validati empiricamente su ambienti di laboratorio virtualizzati live:

• Active Directory Domain Controller: Windows Server 2022 (DC01.lab.local, IP: 192.168.56.106)
• Operator Workstation: Kali Linux 2024 (kraii@kraiiandreyy, IP: 192.168.56.105)

Walkthrough End-to-End Full-Stack (Validazione su Laboratorio Live)

📺 Guarda il Video Demo: youtu.be/wqZRYmEn0eY - Walkthrough operativo full-stack su infrastruttura di dominio live.

Verifica visiva del ciclo di vita operativo completo in 3 atti su infrastruttura di dominio live:

Atto	Ambiente	Obiettivi e Primitive Validate
Atto 1: Configurazione Domain Controller	Windows Server 2022 (DC01)	Domain discovery (nltest), SPN audit (setspn) e esportazione keytab binaria RFC 4120 AES-256 (ktpass, KVNO 9).
Atto 2: Operatore Linux Non Privilegiato	Kali Linux 2024 (Naga)	Diagnostica passiva (tanuki doctor), audit dell'albero RFC 4120 (tanuki keytab), sintesi configurazione zero-root (tanuki config), acquisizione TGT nativa ctypes (tanuki auth), pass di salute del ticket (tanuki doctor) e triage del protocollo (tanuki triage).
Atto 3: Verifica Closed-Loop	Windows Server 2022 (DC01)	Domain Controller Security Event ID 4768 Audit Success per tanuki-nhi proveniente dall'IP client 192.168.56.105.

Atto 1: Configurazione del Servizio Domain Controller e Provisioning Keytab (DC01)

Esportazione keytab binaria ufficiale RFC 4120 sul Domain Controller per l'account di servizio LAB\tanuki-nhi con AES-256 moderno (aes256-cts-hmac-sha1-96, KVNO 9):

Atto 2: Sessione Operatore Linux Non Privilegiato e Validazione della Salute (Naga)

1. Baseline Diagnostica di Salute Pre-Flight (tanuki doctor)

Diagnostica di salute pre-flight passiva, a zero pacchetti, eseguita in 0.96 ms, che rileva accuratamente stato non configurato, keytab mancanti e cache di ticket inattive:

2. Ingestione Keytab RFC 4120 e Audit dell'Albero (tanuki keytab)

Analizza le strutture keytab binarie, estrae i principal AES-256, visualizza alberi gerarchici dei principal, verifica il KVNO 9 e fornisce guida automatizzata per kinit:

3. Generatore di Configurazione Kerberos Zero-DNS (tanuki config)

Genera un file di configurazione Kerberos locale (/tmp/lab_krb5.conf) che applica le convenzioni di realm maiuscole RFC 4120 § 6.1, routing diretto KDC IP zero-DNS e tolleranza al clock-skew dell'hypervisor:

4. Acquisizione TGT Nativa Non Privilegiata (tanuki auth)

Acquisisce un Kerberos Ticket Granting Ticket (TGT) direttamente dal Domain Controller utilizzando ctypes della libreria standard Python (libkrb5.so.3) senza richiedere privilegi di root, il binario kinit nel PATH o dipendenze esterne: