系统要求与网络
主机规格、Docker 版本、Elasticsearch 版本、大模型端点、域名，以及需要放通的入站与出站端口。
交付形态
RST AI Copilot for Elastic 只以 Docker 形态交付，包含网关容器、终结 TLS 的 Caddy 反向代理，以及保存多用户账号的 Postgres。交付包不包含 Elasticsearch。网关连接已有的 Elasticsearch 8.x 与 Kibana，读取日志和告警，只写入 .rst_copilot_* 等网关自有索引。PoC 或没有 ELK 的主机可以在安装时选择自带 Elasticsearch 与 Kibana，见交付包安装。
主机
| 项目 | 要求 |
|---|---|
| 操作系统 | Ubuntu 20.04、22.04、24.04，或同等 Linux（Debian、RHEL 系） |
| 规格 | 不低于 2 vCPU、4 GB 内存、20 GB 磁盘。网关容器默认上限 2 CPU、2 GB，由 RST_GATEWAY_CPUS、RST_GATEWAY_MEM 调整 |
| 运行时 | Docker Engine 24 及以上，Docker Compose v2 |
| 权限 | 以 sudo 或 docker 组成员身份执行 deploy.sh |
离线环境的知识库使用本地 Embedding 模型时，Ollama 与 bge-m3 另需约 3 GB 内存，不需要 GPU。
选择自带 Elasticsearch 与 Kibana 时，两个容器与网关运行在同一主机上，Elasticsearch 堆内存为 1 GB（ES_JAVA_OPTS=-Xms1g -Xmx1g）。
Elasticsearch
| 项目 | 要求 |
|---|---|
| 版本 | 8.x 与 9.x，在 8.12 和 9.5 上验证。不支持 7.x |
| 网络 | 网关主机可访问 Elasticsearch 的 9200 或 9243 端口。使用私有 CA 签发的 HTTPS 证书时，把 CA 证书放入 ./certs/ |
| 账号 | 专用账号，权限见 Elasticsearch 权限 |
| Kibana | 可选。用于「在 Kibana 中打开」链接和 Webhook 告警推送 |
大模型
网关支持任何 OpenAI 兼容端点，例如火山方舟、DeepSeek、通义、Azure OpenAI、自建 vLLM 或 Ollama，需要 URL、API key 和模型名。离线环境使用本地模型，并选择离线脱敏档位。安装后可以在 AI 配置中添加故障转移 provider。
域名
CADDY_SITE_ADDRESS 必须是域名，例如 copilot.corp.local。IP 字面量不是合规的 TLS SNI，部分浏览器拒绝握手。没有内网 DNS 时，在分析师机器上添加 hosts 记录。
端口
入站到网关主机：
| 端口 | 来源 | 用途 |
|---|---|---|
| 443/TCP | 分析师网段 | https://<域名>/v2/，唯一入口 |
| 80/TCP | 分析师网段 | HTTP 跳转到 HTTPS，可选 |
网关的 8000 端口只在 compose 内部网络开放，不对外暴露。云主机还需在安全组放通 443。
网关主机出站：
| 目标 | 端口 | 用途 | 是否必需 |
|---|---|---|---|
| 大模型端点 | 443 | 推理与向量化 | 必需。本地模型时为内网地址 |
| Elasticsearch | 9200 或 9243 | 查询、审计、知识库 | 必需 |
| Kibana | 5601 | 深链 | 可选 |
license.reallysec.com | 443 | 激活、心跳、在线更新 | 仅在线激活的商业许可需要。未激活的安装和离线许可不连接 |
| 飞书、钉钉、企业微信、Teams、Slack、SMTP | 443、465、587 | 对外通道 | 可选 |