PlaidLink-Agents

Beschreibung

Manchmal ist es notwendig und wünschenswert, auf Daten zuzugreifen oder Prozesse auf einem entfernten System auszuführen, das keinen externen Zugriff zulässt. Das ist in Unternehmensumgebungen hinter Firewalls üblich. PlaidCloud ermöglicht dies mit PlaidLink, das den Zugriff auf entfernte Systeme hinter einer Firewall ermöglicht oder dort, wo ein direkter Zugriff von PlaidCloud nicht gewünscht ist.

PlaidLink arbeitet mit einem Agent-basierten System. Das bedeutet, dass ein Agent, der entfernte Benutzer, auf einem System innerhalb der Firewall oder eines anderen abgeschotteten Bereichs installiert wird. Der Agent kann sich dann über einen ausgehend initiierten Vorgang per sicherer HTTPS-WebSocket-Verbindung mit PlaidCloud verbinden. Das ist so sicher wie jede andere verschlüsselte Webverbindung und erfordert in der Regel nicht, dass Sie nicht standardmäßige Ports öffnen. Bevor der Agent Zugriff erhält, muss er sich durch Senden seiner Agent-Kennung identifizieren. Wenn die Authentifizierung des Agents erfolgreich verläuft, erhält er Zugriff auf die genehmigten Operationen.

PlaidLink kann auf Windows-, Unix- und Linux-Systemen installiert werden und unter Benutzern mit geringen Berechtigungen laufen. Unter Windows kann PlaidLink als Windows-Dienst betrieben werden, der sich vollständig über die Dienstverwaltung steuern lässt. Unter Linux oder Unix kann es als Daemon-Prozess laufen.

PlaidLink kann außerdem als eigenständiger Docker-Container oder als Kubernetes-Pod ausgeführt werden.

Agenten verwalten

So verwalten Sie Agenten:

1. Öffnen Sie Analyze
2. Wählen Sie „Tools“
3. Klicken Sie auf „PlaidLink-Agents“

Dadurch gelangen Sie zur PlaidLink-Agents-Tabelle, in der Sie die Liste der verfügbaren Agenten anzeigen, ändern und deren Anmeldedaten abrufen können.

Agent erstellen

So erstellen Sie einen Agent:

1. Öffnen Sie Analyze
2. Wählen Sie „Tools“
3. Klicken Sie auf „PlaidLink-Agents“
4. Klicken Sie auf „Add PlaidLink Agent“
5. Füllen Sie die erforderlichen Felder aus
6. Klicken Sie auf „Create“
7. Weisen Sie den Agent den Sicherheitsgruppen zu, die für den Zugriff auf die Ressourcen erforderlich sind, die er für seine Aufgabe benötigt
8. Weisen Sie den Agent den Dokumentenkonten zu, die für den Zugriff auf die Dokumente erforderlich sind, die er für seine Aufgabe benötigt

Gefahr

Für die Schritte 7 und 8 oben muss der PlaidLink-Agent den Sicherheitsgruppen und Dokumentenkonten zugewiesen werden, die für die Jobs erforderlich sind, die der Agent ausführen soll. Andernfalls wird ihm der Zugriff verweigert.

Hinweis

Alle Informationen, die im Formular für den neuen Agent nicht enthalten sind, werden automatisch generiert.

Agent-Anmeldedaten abrufen

Um PlaidLink-Agents auf dem entfernten System zu konfigurieren, müssen Sie zunächst die identifizierenden Informationen des Agents abrufen, damit die Sicherheit gewährleistet bleibt. Zu diesen Informationen gehören ein öffentlicher und ein privater Schlüssel.

So rufen Sie diese Schlüssel ab:

1. Öffnen Sie Analyze
2. Wählen Sie „Tools“
3. Klicken Sie auf „PlaidLink-Agents“
4. Klicken Sie auf das Bearbeiten-Symbol

Dadurch wird ein Formular geöffnet, in dem Sie die Werte des öffentlichen und des privaten Schlüssels einsehen können.

Agent-Anmeldedaten neu generieren

Es empfiehlt sich, den öffentlichen und den privaten Schlüssel regelmäßig neu zu generieren und die Konfiguration der entfernten Systeme zu aktualisieren, um die Sicherheit zu gewährleisten.

So generieren Sie die Anmeldedaten neu:

1. Öffnen Sie Analyze
2. Wählen Sie „Tools“
3. Klicken Sie auf „PlaidLink-Agents“
4. Klicken Sie auf das Symbol zum Neugenerieren

Nach dem Neugenerieren können die Anmeldedaten auf dieselbe Weise abgerufen werden wie die Anmeldedaten eines neuen Agents (siehe oben).

Agent aktivieren und deaktivieren

So deaktivieren Sie einen Agent:

1. Öffnen Sie Analyze
2. Wählen Sie „Tools“
3. Klicken Sie auf „PlaidLink-Agents“
4. Deaktivieren Sie das Kontrollkästchen „Active“

Hinweis

Ist ein Agent nicht als aktiv markiert, können entfernte Systeme keine Verbindung mit den Anmeldedaten dieses Agents herstellen.

Agent-Umgebungen

Eine Verbindung kann pro Umgebung eine andere Konfiguration enthalten. Wenn Sie die Umgebung eines Projekts wechseln, werden daher alle von ihm verwendeten Verbindungen gleichzeitig umgestellt. Agenten können demselben Wechsel folgen.

Jeder Agent hat zwei Einstellungen:

• Agent Group – ein Name, den die Agenten gemeinsam haben, die einander vertreten. Agenten in einer Gruppe sind Alternativen für dieselbe Arbeit, jeweils einer pro Umgebung.
• Environment – die Verbindungsumgebung, die dieser Agent bedient.

Ein Schritt benennt weiterhin einen bestimmten Agent. Wenn der Workflow ausgeführt wird, prüft PlaidCloud die Gruppe, zu der dieser Agent gehört, und wählt das Mitglied aus, das die aktuelle Umgebung des Projekts bedient. Ein Projekt, das von Ihrer Standardumgebung auf QA umgestellt wird, führt seine Remote-Schritte also auf dem QA-Rechner aus, ohne dass ein Schritt bearbeitet werden muss.

Bei einer Gruppe namens Finance mit einem Agent für Default und einem weiteren für QA wird ein Schritt, der einen der beiden benennt, auf dem Agent ausgeführt, der zum Projekt passt. Wird ein Projekt wieder auf Default zurückgestellt, läuft es auf dem Default-Agent, selbst wenn der Schritt den QA-Agent benennt.

So weisen Sie einen Agent einer Umgebung zu:

1. Öffnen Sie Analyze
2. Wählen Sie „Tools“
3. Klicken Sie auf „PlaidLink-Agents“
4. Öffnen Sie den Agent
5. Setzen Sie „Agent Group“ auf einen Namen, den der Agent mit seinen Alternativen gemeinsam hat, und setzen Sie „Environment“ auf die Umgebung, die dieser Agent bedient
6. Legen Sie auf dem Rechner, auf dem dieser Agent läuft, den passenden Umgebungsnamen in der PlaidLink-Konfigurationsdatei fest – siehe Agent-Rechner abgleichen weiter unten

Hinweis

Ein Agent ohne festgelegte Gruppe bedient jede Umgebung. Das gilt für jeden Agent, bis Sie eine Gruppe festlegen. Für einen Workspace, der nur einen Agent betreibt, ändert sich nichts.

Achtung

Das Festlegen einer Gruppe macht die Zuordnung für jeden Agent darin exakt, auch bei einer Gruppe mit nur einem Mitglied. Ein Projekt, das in einer Umgebung läuft, die kein Agent der Gruppe bedient, schlägt mit einer Meldung fehl, die die Gruppe und die Umgebung nennt, anstatt auf den Agent zurückzufallen, den der Schritt benannt hat. Das ist beabsichtigt, denn die Alternative wäre, dass Produktivarbeit unbemerkt auf einem Testrechner läuft. Fügen Sie für jede Umgebung, in der Ihre Projekte laufen, einen Agent hinzu, und lassen Sie die Gruppe bei einem Agent leer, der weiterhin alles bedienen soll.

Einen Agent aus einer Gruppe zu entfernen, verkleinert den Bereich, den die Gruppe abdeckt, und ist daher ebenso folgenreich wie das Hinzufügen. Wenn Sie die Gruppe bei dem Agent leeren, der Ihre Standardumgebung bedient hat, haben Projekte, die dort laufen, nichts mehr, worauf sie aufgelöst werden können, und schlagen bei ihrer nächsten Ausführung fehl. Verschieben Sie die Umgebung auf ein anderes Mitglied der Gruppe, bevor Sie eines entfernen. Jedes Speichern, das ändert, was eine Gruppe abdeckt, meldet Ihnen die neue Abdeckung zurück.

Umgebungen werden mit Verbindungen gemeinsam genutzt. Die hier angebotenen Umgebungsnamen sind also dieselben, unter denen Sie eine Verbindung konfigurieren. Siehe Verbindung erstellen und verwalten.

Agent-Rechner abgleichen

Die hier festgelegte Umgebung muss mit der Umgebung übereinstimmen, für die der PlaidLink-Dienst auf diesem Rechner konfiguriert ist. PlaidLink abonniert genau eine Warteschlange für die Umgebung, die in seiner Konfigurationsdatei genannt ist. Ein Agent, dessen Datensatz QA angibt, dessen Rechner aber noch für die Standardumgebung konfiguriert ist, lauscht daher auf einer anderen Warteschlange als der, an die die Arbeit gesendet wird. Der Schritt wartet und schlägt dann mit der Meldung fehl, dass der Agent den Job nicht übernimmt.

Legen Sie sie im Block environments der PlaidLink-Konfigurationsdatei fest, im Eintrag für diesen Agent:

environments:
  - name: QA
    agent_id: <agent identifier>

Der Wert name ist der Umgebungsname, wie er in PlaidCloud erscheint. Wird er weggelassen, bedient der Agent die Standardumgebung. Starten Sie den PlaidLink-Dienst nach der Änderung neu.

Hinweis

Ein einzelner PlaidLink-Dienst kann mehrere Einträge in diesem Block enthalten, sodass ein Rechner mehr als einen Agent bedienen kann oder denselben Agent in mehr als einer Umgebung. Siehe Mehrere Agenten betreiben.

Mehrere Agenten betreiben

PlaidLink ist darauf ausgelegt, mehrere Agenten mit einer einzigen Dienstinstallation zu betreiben. Mit dieser schlanken Installation kann eine Installation Agenten aus mehreren Workspaces und/oder Agenten mit unterschiedlichen Berechtigungsstufen für die Aufgabenausführung verwalten.

Um mehrere Agenten zu aktivieren, fügen Sie einfach die Anmeldedaten der Agenten zur PlaidLink-Konfigurationsdatei hinzu.

Mehrere PlaidLink-Dienste betreiben

Ähnlich wie beim Betrieb mehrerer Agenten innerhalb eines PlaidLink-Dienstes ist es auch möglich, mehrere PlaidLink-Dienste zu betreiben.

Das ist mitunter notwendig, je nachdem, ob systembasierte Sicherheit verwendet wird oder Netzwerkzugriffsbeschränkungen die Kommunikation über Netzwerkgrenzen hinweg verhindern.

Hinweis

In der Regel ist es besser, mehrere Agenten unter einem einzigen Dienst zu betreiben als mehrere Dienste auf einem einzelnen Rechner. Je nach Anwendungsfall kann es jedoch notwendig sein, mehrere getrennte Dienste zu betreiben.

Anforderungen an Rechenleistung, Arbeitsspeicher und Festplatte

Der PlaidLink-Dienst ist äußerst schlank und benötigt nur minimale Rechenleistung und minimalen Arbeitsspeicher. Bei der Verarbeitung erheblicher Datenmengen kann es notwendig sein, die Rechenressourcen und vor allem den Arbeitsspeicher zu erhöhen.

Normalerweise läuft der Agent problemlos mit 5 % CPU und 200 MB Arbeitsspeicher. Für datenintensive Operationen wird empfohlen, eine vollständige CPU und mindestens 4 GB RAM zuzuweisen. Bei Systemen mit dynamischer Ressourcenzuteilung wie Kubernetes ist es in Ordnung, wenn der Agent Zugriff auf burstfähige statt auf reservierte Ressourcen hat.

Auch der Festplattenbedarf des Agents ist gering. Agent-Operationen nutzen Festplattenspeicher als Datenpuffer, wenn große Datenmengen übertragen werden. Üblicherweise sind 8 GB für den Normalbetrieb ausreichend. Für datenintensive Operationen wird empfohlen, den Speicher entsprechend den erwarteten Datenmengen zu erhöhen. Es gibt keinen festen Wert, da er von mehreren Faktoren abhängt, darunter CPU-Geschwindigkeit, Netzwerkgeschwindigkeit und Datenmenge. Ein guter Ausgangspunkt sind jedoch 20 GB, die Sie dann bei Bedarf anpassen.

Netzwerkanforderungen

Der PlaidLink-Agent ist so konzipiert, dass er mit minimaler Konfiguration funktioniert. Er benötigt kein spezielles VPN und keine besondere Netzwerkkonfiguration, außer dass normaler HTTPS-Netzwerkverkehr zugelassen sein muss. Agenten kommunizieren über dasselbe Protokoll wie der normale browserbasierte Datenverkehr.

Der Agent-Dienst initiiert die Kommunikation mit PlaidCloud immer selbst, sodass in Firewalls kein eingehender Zugriff konfiguriert werden muss.

Hinweis

Manchmal blockieren Firewall-Regeln jeden Zugriff, auch normalen HTTPS-Datenverkehr. Meldet der Agent beim Start, dass er PlaidCloud nicht erreichen kann, müssen Sie gemeinsam mit Ihrem Netzwerkteam Port 443 für den Datenverkehr öffnen.