feat: 完善堡垒机与 Agent 智能运维能力

- 支持 Windows Agent 构建、安装脚本和统一上报协议

- 增强 RDP 剪贴板、虚拟盘和文件传输能力

- 新增 AIOps 上下文工具、告警 RCA trace 落库和回放接口

- 重构 docs 模块文档并补充终端、堡垒机、监控、AI Agent 设计

docs/asset-credential/README.md

@@ -0,0 +1,115 @@
+# 资产与凭证设计说明
+
+> 更新：2026-07-05
+> 范围：服务器资产、云账号与云同步、域名/账单、资源模型、统一凭证、凭证授权、资产权限。// Logan.Li
+
+---
+
+## 定位
+
+资产与凭证是 AIOps 的权限和执行底座。SSH、RDP、Agent 安装、远程执行、AI Agent、云同步、Kubernetes 接入都依赖资产和凭证的可信建模。
+
+一句话：**资产说明“管什么”，凭证说明“怎么安全地管”。**
+
+---
+
+## 能力矩阵
+
+| 能力 | 当前状态 | 说明 |
+|------|----------|------|
+| 服务器资产 CRUD | 已完成 | IP、端口、系统、区域、状态、监控字段 |
+| 批量导入 | 已完成 | Excel/CSV 导入 |
+| Agent 自动注册 | 已完成 | Agent 上报后按 hostname/IP 匹配或注册 |
+| SSH/RDP 凭据 | 已完成 | 资产内凭据和统一凭证体系并存 |
+| 统一凭证 | 已完成 | SSH、Docker、TLS、AKSK、DB、API、Generic |
+| 凭证授权 | 已完成 | 用户/角色/资源授权 |
+| 云账号 | 已完成 | 云平台、地域、账号、同步 |
+| 域名/账单 | 已完成 | 云域名、账单、账单告警 |
+| 资源模型 | 已完成 | 资产规格模型 |
+
+---
+
+## 主要代码落点
+
+| 模块 | 后端 | 前端 |
+|------|------|------|
+| 服务器资产 | `server*.go`、`model/server.go` | `frontend/src/components/server/` |
+| 批量导入 | `server_batch.go`、`server_import_helpers.go` | `ExcelServerImport.tsx`、`CsvImportDialog.tsx` |
+| 统一凭证 | `credential.go`、`credential_assign.go`、`model/credential.go` | `frontend/src/components/deploy/CredentialManager.tsx` |
+| 云账号 | `cloud_accounts.go`、`cloud_sync.go` | `frontend/src/components/cloud/CloudAccountManager.tsx` |
+| 云平台/地域 | `cloud_platform.go`、`cloud_region.go` | `PlatformManager.tsx`、`RegionManager.tsx` |
+| 域名/账单 | `cloud_domain.go`、`billing*.go` | `DomainManager.tsx`、`CloudBilling.tsx` |
+| 资源模型 | `resource_model.go` | 资产资源模型页面 |
+
+---
+
+## 资产模型边界
+
+服务器资产应包含：
+
+| 类别 | 字段 |
+|------|------|
+| 连接信息 | IP、端口、协议、用户名、认证类型 |
+| 主机信息 | hostname、OS、kernel、CPU、内存、磁盘 |
+| 状态信息 | running/offline、agent_status、agent_version |
+| 组织信息 | 区域、环境、业务、负责人、标签 |
+| 监控信息 | CPU/内存/磁盘实时使用率 |
+
+不建议把所有凭证明文塞进资产表。长期应以“资产引用凭证 ID”为主，资产内嵌凭据只作为历史兼容。
+
+---
+
+## 凭证模型
+
+| 类型 | 用途 |
+|------|------|
+| SSH | WebSSH、远程执行、Agent 安装 |
+| RDP | Windows 远程桌面 |
+| Docker | 镜像仓库 |
+| TLS | 证书和私钥 |
+| AKSK | 云账号访问密钥 |
+| DB | MySQL/PostgreSQL 等数据库 |
+| API | HTTP API token |
+| Generic | 其他密钥 |
+
+安全要求：
+
+- 敏感字段必须加密存储。
+- API 返回必须脱敏。
+- 凭证授权要按用户/角色/资产范围控制。
+- 使用凭证的操作必须进入审计。
+
+---
+
+## 与堡垒机关系
+
+| 堡垒机能力 | 资产/凭证依赖 |
+|------------|---------------|
+| SSH 登录 | 服务器资产 + SSH 凭证 |
+| RDP 登录 | Windows 资产 + RDP 凭证 |
+| RDP 文件传输 | 会话策略 + 资产授权 |
+| Agent CLI | 服务器资产 + SSH 凭证 + 用户权限 |
+| 会话审计 | 资产 ID、资产名称、用户 ID |
+
+---
+
+## 演进方向
+
+| 优先级 | 方向 | 说明 |
+|--------|------|------|
+| P0 | 凭证引用统一 | SSH/RDP/远程执行尽量从统一凭证读取 |
+| P0 | 资产标签和环境 | 为安全策略、告警、AI 上下文提供维度 |
+| P1 | 凭证轮换 | 支持过期提醒、轮换记录、使用范围 |
+| P1 | 权限矩阵 | 用户/角色/团队/资产/协议维度授权 |
+| P2 | CMDB 同步 | 与云、K8s、Agent 自动发现形成统一资产视图 |
+
+---
+
+## 验收清单
+
+1. 创建服务器资产后可 SSH/RDP 连接。
+2. 批量导入资产能校验必填字段和重复项。
+3. Agent 上报能关联或注册资产。
+4. 凭证创建后 API 不返回明文密钥。
+5. 无权限用户不能使用未授权凭证。
+6. 使用凭证的远程操作能关联审计记录。