RSG · شرح تفصيلي

ما هو RSG ولماذا تحتاجه.

Revit Server Guard هو بوابة برمجية تُثبّت على نفس المضيف مع Autodesk Revit Server. يعترض حركة TCP وHTTP إلى منافذ RS، ويقرأ بياناتها الوصفية (أي مستخدم، أي مشروع، أي قسم، أي إجراء)، ويطبق قواعد وصول غير موجودة في Revit Server نفسه.

نظرة عامةتدير هذه الشاشة نظرة عامة: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG. المشاريعتدير هذه الشاشة المشاريع: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG. الأدوارتدير هذه الشاشة الأدوار: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG. سجل التدقيقتدير هذه الشاشة سجل التدقيق: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG.

01 — نظرة عامة

ما هو RSG ولماذا تحتاجه.

Revit Server Guard هو بوابة برمجية تُثبّت على نفس المضيف مع Autodesk Revit Server. يعترض حركة TCP وHTTP إلى منافذ RS، ويقرأ بياناتها الوصفية (أي مستخدم، أي مشروع، أي قسم، أي إجراء)، ويطبق قواعد وصول غير موجودة في Revit Server نفسه.

لا يوفّر Revit Server افتراضيًا نظامًا واضحًا لحقوق الوصول حسب المستخدم والمشروع والقسم والإجراء. إذا كان للمشارك وصول إلى الخادم، فلا توجد في RS آلية مدمجة تقيّده بشكل موثوق بنطاق مسؤوليته فقط. قد يكون ذلك مقبولًا في فريق صغير، لكن في المشاريع التي تضم شركات عديدة ومشاركين مؤقتين ومستويات مختلفة من المسؤولية لا تكفي التدريبات واللوائح الداخلية؛ ويزيل RSG هذا القيد التقني.

من يحتاج هذا

• مكاتب التصميم التي تدير عدة عملاء بالتوازي ولا تريد لفريق العميل A رؤية ما يُنجز للعميل B.
• منسقو BIM الذين يحتاجون إلى فصل الحقوق على مستوى القسم — مهندسو الإنشاءات يرون ويعدلون الإنشاءات، ومهندسو MEP يرون تخصصهم فقط، وهكذا.
• المقاولون والمستقلون الذين يحصلون على وصول مؤقت إلى مشروع وقسم محددين ويجب إغلاق وصولهم بنقرة واحدة عند انتهاء العقد.
• فرق ذات متطلبات تنظيمية (عقود حكومية، منشآت محدودة الوصول) حيث يكون سجل من فتح ماذا ومتى إلزاميًا.

01 نظرة عامةتدير هذه الشاشة نظرة عامة: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG.

02 — البنية

أربعة مكوّنات، مضيف Windows واحد.

RSG هو نظام واحد متكامل، لكنه يتكوّن من أربع وحدات منفصلة تُثبَّت معًا. هذا مقصود: كل مكوّن مسؤول عن نطاقه ويمكن إعادة تشغيله مستقلًا عند الحاجة.

ما وظيفة كل مكوّن

1. RSG.Proxy — TCP/HTTP proxy يستمع على المنفذ 8086 بدل منفذ RS الافتراضي. يفك أغلفة SOAP الخاصة بـ Revit Server، ويستخرج بيانات الطلب، ويسأل RSG.Server «هل هذا مسموح؟» — ثم يمرره أو يعيد 403 إلى العميل.
2. RSG.Server — خدمة Windows على.NET 8 تحتفظ بقواعد الوصول في SQLite/SQL Server محلي، وتشغل سجل التدقيق، وتتحقق من الرخصة، وتتواصل مع License API. “عقل” الحل.
3. RSG.AdminPanel — تطبيق React SPA متاح على localhost:5080 (أو داخل الشبكة المؤسسية عبر HTTPS). يستخدمه المسؤول لإنشاء المستخدمين والمشاريع والقواعد وعرض سجل التدقيق.
4. RSG.LicenseTool — أداة CLI منفصلة للتفعيل أوفلاين. تُستخدم فقط في الشبكات المعزولة؛ ولا تحتاجها في التثبيت العادي المتصل.

مهم

يبقى Revit Server تمامًا كما كان. لا يعدّل RSG ثنائياته، ولا يعيد كتابة قاعدة البيانات، ولا يستبدل الإعدادات. يعمل بجانبه عبر واجهات الشبكة القياسية. إذا أوقفت RSG، يواصل Revit Server العمل تمامًا كما كان قبل التثبيت.

02 بوابات RSتدير هذه الشاشة بوابات RS: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG.

03 — التحكم في الوصول

ثلاثة مستويات للحقوق: المشروع، القسم، الإجراء.

يمنح RSG الحقوق بدقة وليس بطريقة “كل شيء أو لا شيء”. أنت لا تمنح “وصولًا إلى الخادم” بل تمنح “وصولًا إلى المشروع X، قسم Architecture، للقراءة فقط”. داخليًا يحدث ذلك على مستوى طلبات SOAP في Revit Server، حيث يفحص RSG نوع العملية ويتخذ القرار.

يرتبط المستخدمون ومجموعات AD بالأدوار. الدور هو مجموعة صلاحيات لمشروع محدد وأقسامه. يمكن للمستخدم الواحد أن يمتلك أدوارًا مختلفة في مشاريع مختلفة: “منسق” في مشروع، “مشاهد” في آخر، “لا وصول” في ثالث.

المستويات

• المشروع. الوحدة الأساسية هي مجلد المشروع الجذري على الخادم. يرى المستخدم المشروع في القائمة، لكنه لا يستطيع فتحه.
• قسم النموذج. المعمار، الإنشاءات، الهندسة، التنسيق — يمكن أن يكون لكل قسم صلاحياته الخاصة. يفتح مهندس المقاول قسمه فقط، ولا يتم تحميل الباقي حتى إلى عميل Revit.
• الإجراء. read، edit. العرض دون تعديل حق مستقل عن التعديل دون نشر.

03 المشاريعتدير هذه الشاشة المشاريع: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG.

الأدوار والمجموعات

فيما يلي كيف يبدو ذلك في لوحة الإدارة. المصفوفة: المشاريع في الصفوف، الأدوار في الأعمدة، وحالة الصلاحية في الخلايا.

المفتاح: وصول كامل · قراءة فقط · مختلط حسب القسم · لا يوجد

مثال على تكوين القواعد

كل قاعدة تُعبّر عنها كمستند JSON يمكن تحريره عبر الواجهة أو استيراده دفعة واحدة من CSV/JSON عند الانتقال من أدوات داخلية.

04 الأدوارتدير هذه الشاشة الأدوار: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG.

04 — لوحة الإدارة

لوحة إدارة ويب بدل CLI والرجستري.

كل الإدارة تتم عبر React SPA متاحة محليًا على مضيف RSG. لا regedit، لا gpedit، ولا تعديلات XML يدوية. يفتح المسؤول صفحة في المتصفح ويرى لوحة المعلومات، الرخصة، التدقيق، ومصفوفة الصلاحيات. إذا كان الوصول عن بعد مطلوبًا، تُقدّم خلف reverse proxy مع TLS.

الصفحة الرئيسية هي لوحة المعلومات. أربعة أرقام في الأعلى لهذا اليوم، ثم تدفق أحداث أسفلها ولوحة الرخصة.

05 المستخدمونتدير هذه الشاشة المستخدمون: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG.

06 الأقسامتدير هذه الشاشة الأقسام: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG.

05 — التدقيق

كل إجراء — في السجل.

التدقيق ليس ميزة اختيارية، بل جزء من التدفق الرئيسي. كل طلب يمر عبر RSG.Proxy يترك سجلًا: من، ماذا، ضد أي مشروع/قسم، أي إجراء، ما النتيجة، من أي IP، ومن أي إصدار Revit. تُخزن السجلات محليًا وتُصدّر إلى CSV/JSON/SIEM.

تحتوي لوحة الإدارة على جدول بفلاتر لكل حقل. عند النقر على صف يُفتح JSON الكامل للحدث.

ما الذي يُسجل

• الهوية: تسجيل دخول AD، IP، إصدار عميل Revit، اسم جهاز المستخدم.
• الهدف: معرف المشروع، اسم الملف، القسم/workset، معرف العنصر (عند توفره).
• الإجراء: open، sync_to_central، reload_latest، create_local، publish، delete_local، borrow_workset، إلخ.
• النتيجة: allow / deny / warn (warn — غير محظور، لكنه معلّم للمراجعة).
• السياق: أي قاعدة اتخذت القرار، طابع زمني مع TZ، مدة العملية.

الاحتفاظ

افتراضيًا يُحتفظ بالسجل لمدة 18 شهرًا. هذا قابل للضبط. يمكن بث السجلات إلى نظام SIEM عبر webhook (payload بصيغة JSON)، أو كتابتها في SQL Server الخاص بالشركة، أو تصديرها دفعة واحدة عبر CLI.

07 سجل التدقيقتدير هذه الشاشة سجل التدقيق: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG.

08 النسخ الاحتياطيتدير هذه الشاشة النسخ الاحتياطي: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG.

06 — الترخيص

رخصة موقّعة مرتبطة بالجهاز.

رخصة RSG هي ظرف موقّع (LicenseEnvelope) يحتوي على payload للحقوق وتوقيع. يُنشأ التوقيع من جهتنا بمفتاح ECDSA P-256 خاص، ويُتحقق منه على جهة العميل بمفتاح عام مضمّن في ثنائي RSG.

هذا يعني: تزوير رخصة أو تشغيل “License API خاص بك” على نفس الرابط مستحيل دون المفتاح الخاص. لا يمكن وجود keygen فعليًا — يجب إما كسر ECDSA P-256 (غير واقعي نظريًا) أو سرقة المفتاح الخاص من HSM لدينا.

بصمة الجهاز

ترتبط الرخصة بجهاز عبر بصمة — SHA-256 لسلسلة حتمية تُبنى من اسم الجهاز وعناوين MAC لواجهات الشبكة.

تُرتب واجهات الشبكة — وهذا مهم. إذا كان لدى النظام عدة MACs قد يعدّها نظام التشغيل بترتيب مختلف، والترتيب يزيل هذا عدم الاستقرار. يُحوّل اسم الجهاز إلى أحرف كبيرة للسبب نفسه.

التفعيل عبر الإنترنت وأوفلاين

عندما يمتلك المضيف اتصال HTTPS صادرًا إلى نطاقنا، يتم التفعيل بنقرة واحدة في لوحة الإدارة. يرسل RSG.Server ملف JSON بالبصمة والبيانات الوصفية، وتعيد License API ظرفًا موقّعًا يُطبق فورًا.

عندما لا توجد شبكة (محيط مغلق، قطاع حكومي، ميدان اختبار معزول)، يتم التفعيل عبر الملفات:

1. في لوحة الإدارة → “Generate license request” → حفظ request.rsgreq على USB.
2. في الحساب الشخصي على الموقع → “Activate offline” → رفع .rsgreq → استلام license.rsglic.
3. رفع .rsglic مرة أخرى إلى لوحة الإدارة. انتهى.

ما الذي يحدث بعد الانتهاء

بعد انتهاء النسخة التجريبية أو رخصة المدة، يتحول RSG إلى وضع bypass — تتوقف الحماية، ويعمل Revit Server كما كان قبل تثبيت RSG. هذا مقصود: لا نريد أن يجد العميل إنتاجه متوقفًا الساعة 23:50 يوم الجمعة. عند استعادة الرخصة، يعود RSG تلقائيًا إلى وضع full.

09 الإعداداتتدير هذه الشاشة الإعدادات: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG.

07 — التثبيت

في مساء واحد: من المثبت إلى أول دور.

يُثبت RSG عبر مثبت Windows ‏(MSI أو EXE). لا Docker، لا Kubernetes، ولا تبعيات خارجية إلا.NET 8 LTS Runtime — وهي إما مثبتة بالفعل على Windows Server 2022/2025 أو يسحبها المثبت.

ما تحتاجه قبل التثبيت

• Windows Server 2019 / 2022 / 2025 على نفس المضيف مع Revit Server.
• حساب بصلاحيات مسؤول على ذلك المضيف.
• وصول قراءة فقط إلى قاعدة بيانات RS (RSG لا يكتب إليها، يقرأ فقط بيانات المشروع الوصفية).
• منفذ TCP حر واحد (8086 افتراضيًا) — سيرتبط به RSG.Proxy.
• حوالي 250 MB للتثبيت، وحوالي 5 GB لسجل التدقيق خلال ستة أشهر.

الخطوات

1. نزّل RSG-Setup-1.0.0.exe من حسابك الشخصي.
2. شغّل المثبت كمسؤول. حدد منفذ proxy ومسار قاعدة بيانات RS.
3. افتح http://localhost:5080 — سيطلب منك معالج التشغيل الأول إنشاء مستخدم فائق للوحة الإدارة.
4. استورد المستخدمين من AD (بنقرة واحدة) أو أضفهم يدويًا.
5. أنشئ أول قاعدة وصول على مشروع اختبار.
6. أعد توجيه عملاء Revit إلى منفذ proxy الجديد (عبر DNS أو Group Policy).

التكوين

معظم الإعدادات موجودة في appsettings.json الخاص بـ RSG.Server. معظم المسؤولين لا يلمسونه — كل شيء قابل للضبط عبر الواجهة — لكنه يكون مطلوبًا أحيانًا.

08 — التوافق

يعمل مع ما لديك بالفعل.

صُمم RSG للمنشآت الموجودة وليس للبيئات الجديدة فقط. لا يتطلب إصدار Windows جديدًا، أو إصدار Revit Server جديدًا، أو بنية نظيفة. يعمل مع الموجود.

الأداء

يضيف proxy حوالي 3–8 ms من التأخير لكل طلب تحت حمل نموذجي (قياسًا على Xeon E-2336، Windows Server 2022، و100 عميل Revit متزامن). لا يشعر المستخدم به — Revit ليس معروفًا بسرعته البرقية عبر الشبكة أساسًا.

• RAM: من 200 إلى 400 MB مقيمة مع 100 مستخدم نشط.
• CPU: <5% من نواة واحدة تحت حمل الذروة.
• Disk I/O: حوالي 15 MB/ساعة من سجل التدقيق مع 100 مستخدم.
• Network: عبء شبه معدوم — لا يقوم RSG بالتخزين المؤقت، بل يمرر حركة proxy كتيار.

10 الإحصاءاتتدير هذه الشاشة الإحصاءات: البيانات والمرشحات والإجراءات والتصدير ضمن لوحة RSG.

09 — الأمان

ما يحميه RSG — وما لا يفعله.

بصراحة: RSG ليس حلًا سحريًا. يعالج فئة محددة من المشكلات — التفويض للوصول إلى Revit Server. أدناه ما يقع داخل نموذج تهديده وما يقع خارجه.

داخل نموذج تهديد RSG

• شخص داخلي لديه وصول AD مشروع يحاول قراءة مشاريع الآخرين. مغلق: فحص المشروع + القسم + الإجراء في كل طلب.
• مقاول انتهى عقده لكن حساب AD لم يُعطل بعد. مغلق: قواعد مع validUntil وdenyOnExpired: true.
• تسرب عبر موقع مزيف أو License API مزيف. مغلق: الرخصة موقعة بـ ECDSA P-256 والمفتاح مضمّن في العميل. استبدال الموقع دون المفتاح الخاص مستحيل.
• نقل الرخصة إلى جهاز شخص آخر. مغلق: بصمة الجهاز داخل payload ويتم التحقق منها عند كل بدء للخدمة.

خارج نموذج تهديد RSG

• خادم AD مخترق. إذا حصل المهاجم على حقوق DA فسيصل أيضًا إلى RSG.AdminPanel. هذه مشكلة أمان AD وليست مشكلة RSG.
• وصول مادي إلى مضيف RSG. مع صلاحية مسؤول محلي يمكن إيقاف الخدمة. الحماية هنا على مستوى البنية — BitLocker والتحكم المادي.
• لقطات الشاشة وصور الشاشة. إذا كان لدى المستخدم وصول مشروع، يستطيع رؤيته وتصويره. RSG ليس حل DLP.
• تسرب عبر ملفات Revit المحلية. عندما ينزّل عميل Revit نسخة محلية من المشروع، فهي توجد فعليًا على قرص المستخدم. يتطلب ذلك تشفير القرص وDLP.

التشفير

• توقيع الرخصة: ECDSA P-256 + SHA-256، تنسيق IEEE P1363، طول 64 بايت.
• الاتصال مع License API: TLS 1.2+، والتحقق من الشهادة.
• حركة AdminPanel ↔ RSG.Server الداخلية: HTTPS بشهادة موقعة ذاتيًا افتراضيًا (قابلة للاستبدال بشهادة الشركة).
• تخزين مفتاح التوقيع الخاص من جهتنا: key vault مُدار مع سياسة تدوير.

10 — الأسئلة الشائعة

أسئلة متكررة عن RSG تحديدًا.

ماذا يحدث إذا تعطل RSG.Server ليلًا؟

في هذه الحالة يتحول RSG.Proxy إلى وضع fail_open أو fail_closed — حسب الإعداد. افتراضيًا fail_open: عندما لا يمكن الوصول إلى “العقل”، يمرر proxy الحركة إلى Revit Server بلا فحوصات (كما لو لم يكن RSG موجودًا). يمنح ذلك سلوكًا آمنًا عند فشل RSG: العمل يستمر. إذا كانت متطلبات شركتك عكس ذلك — من الأفضل حظر كل شيء بدل المخاطرة بتسرب — فاضبط fail_closed.

ماذا لو تغير MAC بطاقة الشبكة؟

تتغير البصمة وتُرفض الرخصة. يوجد حلان: إما ضبط quantity = 2 عند الشراء (فتصبح الرخصة صالحة لبصمتين ويمكنك استخدام تفعيل إضافي)، أو طلب إعادة إصدار من حسابك الشخصي — مجانية وفورية.

هل يمكن تشغيل RSG بتكوين HA (عقدتان)؟

حاليًا (v2.4.x) — لا، مثيل واحد فقط. تكوين HA على خارطة الطريق للإصدار v3.0. كحل مؤقت تحتفظ الفرق عادة بعقدة ثانية “باردة” بنفس الإعداد وتبدل DNS عند الفشل.

هل يقرأ RSG ملفات .rvt؟

لا. يعمل RSG على مستوى بروتوكول شبكة Revit Server — يرى طلبات SOAP وبيانات المشروع الوصفية وأسماء الأقسام. لا يحلل محتويات النموذج ولا يخزنها. للتحكم على مستوى المحتوى (DLP حسب ما داخل النماذج) تحتاج إلى حلول منفصلة.

كم رخصة أحتاج لخادمي Revit Server؟

رخصتان — كل رخصة مرتبطة ببصمة واحدة، وبصمات المضيفين مختلفة. خصومات تكوينات الخوادم المتعددة تُسعّر فرديًا؛ اكتب إلى info@.

هل يمكنني الانتقال من حل داخلي؟

إذا كان لديك أي مصفوفة “مستخدم × مشروع × حق” في Excel/CSV/SQL — يمكن استيرادها إلى RSG عبر CLI rsg-import. إذا كان الحل الداخلي يفعل شيئًا أكثر تعقيدًا (مثل حقوق مبنية على خصائص هندسية داخل النموذج) — فهذا خارج نطاق RSG وستحتاج إلى إبقاء ذلك الجزء كما كان.

جاهز للتجربة؟

ثبّت RSG بجانب Revit Server اليوم.90 يومًا من التجربة، بلا بطاقة.

نزّل المثبت من حسابك الشخصي، ضعه على نفس المضيف مع RS، وامنحه نصف ساعة. بحلول المساء سترى ما يفعله RSG ولا يفعله Revit Server افتراضيًا.