Agentes de PlaidLink

Descripción

A veces es necesario y conveniente acceder a datos o ejecutar procesos desde un sistema remoto que no permite el acceso externo. Esto es habitual en entornos empresariales protegidos por firewalls. PlaidCloud ofrece esta posibilidad mediante PlaidLink, que habilita el acceso a sistemas remotos detrás de un firewall o donde no se desea el acceso directo desde PlaidCloud.

PlaidLink usa un sistema basado en agentes. Esto significa que un agente, el usuario remoto, se instala en un sistema dentro del firewall o de otra zona restringida. A continuación, el agente puede conectarse a PlaidCloud mediante un proceso de inicio saliente a través de una conexión websocket HTTPS segura. Es tan seguro como cualquier otra conexión web cifrada y normalmente no requiere que abra puertos no estándar. Antes de obtener acceso, el agente debe identificarse enviando su identificador de agente. A partir de ahí, si el agente supera correctamente el proceso de autenticación, se le concede acceso a las operaciones aprobadas.

PlaidLink se puede instalar en sistemas Windows, Unix y Linux y puede ejecutarse con usuarios de privilegios bajos. En los sistemas Windows, PlaidLink puede funcionar como un servicio de Windows con control total desde el panel de Servicios. En sistemas Linux o Unix, puede ejecutarse como un proceso daemon.

PlaidLink también puede ejecutarse como un contenedor Docker independiente o como un pod de Kubernetes.

Administración de agentes

Para administrar agentes:

1. Abra Analyze
2. Seleccione “Tools”
3. Haga clic en “Agentes de PlaidLink”

Esto lo lleva a la tabla de agentes de PlaidLink, donde puede ver y modificar la lista de agentes disponibles y obtener sus credenciales.

Creación de un agente

Para crear un agente:

1. Abra Analyze
2. Seleccione “Tools”
3. Haga clic en “Agentes de PlaidLink”
4. Haga clic en “Add PlaidLink Agent”
5. Complete los campos obligatorios
6. Haga clic en “Create”
7. Asigne el agente a los grupos de seguridad necesarios para acceder a los recursos que requiere su trabajo
8. Asigne el agente a las cuentas de documentos necesarias para acceder a los documentos que requiere su trabajo

Peligro

En los pasos 7 y 8 anteriores, el agente PlaidLink debe asignarse a los grupos de seguridad y a las cuentas de documentos necesarios para realizar los trabajos que espera que el agente ejecute. De lo contrario, se le denegará el acceso.

Nota

Cualquier información que no figure en el formulario del nuevo agente se generará automáticamente.

Obtención de las credenciales del agente

Para configurar los agentes PlaidLink en el sistema remoto, primero debe obtener la información de identificación del agente a fin de mantener la seguridad. Esta información incluye una clave pública y una privada.

Para obtener estas claves:

1. Abra Analyze
2. Seleccione “Tools”
3. Haga clic en “Agentes de PlaidLink”
4. Haga clic en el ícono de edición

Se abrirá un formulario donde podrá ver los valores de las claves pública y privada.

Regeneración de las credenciales del agente

Es recomendable regenerar periódicamente las claves pública y privada y actualizar la configuración de los sistemas remotos para mantener la seguridad.

Para regenerar las credenciales:

1. Abra Analyze
2. Seleccione “Tools”
3. Haga clic en “Agentes de PlaidLink”
4. Haga clic en el ícono de regenerar

Una vez regeneradas las credenciales, se pueden obtener de la misma forma que las credenciales de un agente nuevo (descrita anteriormente).

Habilitar y deshabilitar un agente

Para deshabilitar un agente:

1. Abra Analyze
2. Seleccione “Tools”
3. Haga clic en “Agentes de PlaidLink”
4. Desmarque la casilla “Active”

Nota

Cuando un agente no está marcado como activo, los sistemas remotos no podrán conectarse con las credenciales de ese agente

Entornos de agentes

Una conexión puede tener una configuración distinta por entorno, de modo que al cambiar el entorno de un proyecto se redirigen a la vez todas las conexiones que este utiliza. Los agentes pueden seguir el mismo cambio.

Cada agente tiene dos ajustes:

• Agent Group: un nombre compartido por los agentes que se sustituyen entre sí. Los agentes de un grupo son alternativas para el mismo trabajo, uno por entorno.
• Entorno: el entorno de conexión al que da servicio este agente.

Un paso sigue nombrando un agente específico. Cuando se ejecuta el flujo de trabajo, PlaidCloud consulta el grupo al que pertenece ese agente y elige el miembro que atiende el entorno actual del proyecto. Así, un proyecto que pasa de su entorno predeterminado a QA ejecuta sus pasos remotos en la máquina de QA, sin editar ningún paso.

Para un grupo llamado Finance con un agente que atiende Default y otro que atiende QA, un paso que nombre cualquiera de ellos se ejecuta en el que coincida con el proyecto; y un proyecto que vuelve a Default se ejecuta en el agente de Default, aunque el paso nombre el de QA.

Para asignar un agente a un entorno:

1. Abra Analyze
2. Seleccione “Tools”
3. Haga clic en “Agentes de PlaidLink”
4. Abra el agente
5. Establezca “Agent Group” con un nombre compartido con las alternativas del agente y establezca “Entorno” con el entorno al que da servicio este agente
6. En la máquina que ejecuta ese agente, establezca el nombre de entorno correspondiente en el archivo de configuración de PlaidLink; consulte Coincidencia con la máquina del agente más abajo

Nota

Un agente sin grupo establecido da servicio a todos los entornos, y así es cada agente hasta que establece uno. No cambia nada en un espacio de trabajo que ejecuta un solo agente.

Precaución

Establecer un grupo hace que la coincidencia sea exacta para cada agente que lo integra, incluso en un grupo de uno. Un proyecto que se ejecuta en un entorno que ningún agente del grupo atiende falla con un mensaje que nombra el grupo y el entorno, en lugar de recurrir al agente que nombraba el paso. Es deliberado: la alternativa sería que el trabajo de producción se ejecutara silenciosamente en una máquina de pruebas. Agregue un agente para cada entorno en el que se ejecuten sus proyectos y deje el grupo en blanco en un agente que deba seguir atendiendo todo.

Quitar un agente de un grupo reduce lo que el grupo cubre, por lo que tiene tanta trascendencia como agregar uno. Borrar el grupo del agente que atendía su entorno predeterminado deja a los proyectos que se ejecutan allí sin nada a lo que resolver, y fallan en su siguiente ejecución. Mueva el entorno a otro miembro del grupo antes de quitar uno. Cada guardado que cambia lo que cubre un grupo le informa de la nueva cobertura.

Los entornos se comparten con las conexiones, por lo que los nombres de entorno que se ofrecen aquí son los mismos con los que configura una conexión. Consulte Crear y administrar una conexión.

Coincidencia con la máquina del agente

El entorno que establezca aquí debe coincidir con el entorno para el que está configurado el servicio PlaidLink de esa máquina. PlaidLink se suscribe a una cola exacta para el entorno indicado en su archivo de configuración, por lo que un agente cuyo registro dice QA mientras su máquina sigue configurada para el entorno predeterminado escucha en una cola distinta de aquella a la que se envía el trabajo. El paso espera y luego falla indicando que el agente no está tomando el trabajo.

Establézcalo en el bloque environments del archivo de configuración de PlaidLink, en la entrada de ese agente:

environments:
  - name: QA
    agent_id: <agent identifier>

El name es el nombre del entorno tal como aparece en PlaidCloud. Si se omite, el agente da servicio al entorno predeterminado. Reinicie el servicio PlaidLink después de cambiarlo.

Nota

Un solo servicio PlaidLink puede contener varias entradas en este bloque, de modo que una máquina puede dar servicio a más de un agente, o al mismo agente en más de un entorno. Consulte Ejecución de varios agentes.

Ejecución de varios agentes

PlaidLink está diseñado para permitir el funcionamiento de varios agentes con una sola instalación del servicio. Esta instalación simplificada permite que una sola instalación atienda a agentes de varios espacios de trabajo o a agentes con distintos niveles de permisos para la ejecución de tareas.

Para habilitar varios agentes, simplemente agregue las credenciales de los agentes al archivo de configuración de PlaidLink.

Ejecución de varios servicios PlaidLink

De forma similar a la ejecución de varios agentes dentro de un servicio PlaidLink, también es posible ejecutar varios servicios PlaidLink.

A veces esto es necesario según el uso de seguridad basada en el sistema o de restricciones de acceso a la red que impiden la comunicación entre los límites de red.

Nota

Normalmente es mejor ejecutar varios agentes bajo un solo servicio que varios servicios en una misma máquina. Sin embargo, según el caso de uso, puede ser necesario ejecutar varios servicios distintos.

Requisitos de cómputo, memoria y disco

El servicio PlaidLink es extremadamente ligero y solo necesita un mínimo de cómputo y memoria para funcionar. Al procesar volúmenes de datos significativos, puede ser necesario aumentar los recursos de cómputo y, sobre todo, la memoria.

Normalmente, el agente funciona sin problemas con un 5 % de CPU y 200 MB de memoria. Para operaciones de datos intensivas, se recomienda asignar una CPU completa y al menos 4 GB de RAM. En sistemas de asignación dinámica de recursos como Kubernetes, no hay inconveniente en que el agente tenga acceso a recursos con capacidad de ráfaga en lugar de recursos reservados.

El espacio en disco del agente también es mínimo. Las operaciones del agente usan el espacio en disco como búfer de datos al transferir grandes cantidades de datos. Normalmente, 8 GB de espacio son suficientes para las operaciones habituales. Para operaciones de datos intensivas se recomienda ampliar el disco según los volúmenes de datos previstos. No hay una cantidad fija porque depende de varios factores, como la velocidad de la CPU, la velocidad de la red y la cantidad de datos. Sin embargo, un buen punto de partida son 20 GB, y a partir de ahí se ajusta.

Requisitos de red

El agente PlaidLink está diseñado para funcionar con una configuración mínima. No requiere ninguna VPN ni configuración de red especial, aparte de permitir el tráfico de red HTTPS estándar. Los agentes se comunican con el mismo protocolo que el tráfico normal basado en navegadores web.

El servicio del agente siempre inicia la comunicación con PlaidCloud, por lo que no es necesario configurar el acceso de entrada en los firewalls.

Nota

A veces las reglas del firewall bloquean todo el acceso, incluso el tráfico HTTPS estándar. Si el agente informa de que no puede comunicarse con PlaidCloud al iniciarse, deberá trabajar con su equipo de redes para abrir el puerto 443 al tráfico.