Agents PlaidLink

Description

Il est parfois nécessaire, et souhaitable, d’accéder à des données ou d’exécuter des processus depuis un système distant qui n’autorise pas l’accès externe. C’est courant dans les environnements d’entreprise protégés par des pare-feu. PlaidCloud offre cette possibilité grâce à PlaidLink, qui permet d’accéder à des systèmes distants situés derrière un pare-feu ou lorsque l’accès direct depuis PlaidCloud n’est pas souhaité.

PlaidLink repose sur un système d’agents. Cela signifie qu’un agent, l’utilisateur distant, est installé sur un système situé à l’intérieur du pare-feu ou d’une autre zone restreinte. L’agent peut ensuite se connecter à PlaidCloud par un processus d’initiation sortante, via une connexion websocket HTTPS sécurisée. Elle est aussi sûre que n’importe quelle autre connexion web chiffrée et ne nécessite généralement pas d’ouvrir de ports non standard. Avant d’obtenir l’accès, l’agent doit s’identifier en envoyant son identifiant d’agent. Si l’authentification de l’agent réussit, celui-ci obtient l’accès aux opérations approuvées.

PlaidLink peut être installé sur les systèmes Windows, Unix et Linux et peut s’exécuter sous des utilisateurs à faibles privilèges. Sous Windows, PlaidLink peut fonctionner comme un service Windows, avec un contrôle complet depuis le panneau Services. Sous Linux ou Unix, il peut s’exécuter comme un processus démon.

PlaidLink peut également s’exécuter dans un conteneur Docker autonome ou comme un pod Kubernetes.

Gérer les agents

Pour gérer les agents :

1. Ouvrez Analyze
2. Sélectionnez « Tools »
3. Cliquez sur « Agents PlaidLink »

Vous accédez à la table des agents PlaidLink, où vous pouvez afficher et modifier la liste des agents disponibles, et obtenir leurs identifiants.

Créer un agent

Pour créer un agent :

1. Ouvrez Analyze
2. Sélectionnez « Tools »
3. Cliquez sur « Agents PlaidLink »
4. Cliquez sur « Add PlaidLink Agent »
5. Renseignez les champs obligatoires
6. Cliquez sur « Create »
7. Affectez l’agent aux groupes de sécurité nécessaires pour accéder aux ressources dont il a besoin pour accomplir sa tâche
8. Affectez l’agent aux comptes de documents nécessaires pour accéder aux documents dont il a besoin pour accomplir sa tâche

Danger

Pour les étapes 7 et 8 ci-dessus, l’agent PlaidLink doit être affecté aux groupes de sécurité et aux comptes de documents nécessaires à l’exécution des tâches que vous attendez de lui. Sinon, l’accès lui sera refusé.

Note

Toute information absente du formulaire de nouvel agent sera générée automatiquement.

Obtenir les identifiants d’un agent

Pour configurer les agents PlaidLink sur le système distant, vous devez d’abord obtenir les informations d’identification de l’agent afin de préserver la sécurité. Ces informations comprennent une clé publique et une clé privée.

Pour obtenir ces clés :

1. Ouvrez Analyze
2. Sélectionnez « Tools »
3. Cliquez sur « Agents PlaidLink »
4. Cliquez sur l’icône de modification

Un formulaire s’ouvre, dans lequel vous pouvez consulter les valeurs des clés publique et privée.

Régénérer les identifiants d’un agent

Il est conseillé de régénérer périodiquement les clés publique et privée et de mettre à jour la configuration des systèmes distants afin de préserver la sécurité.

Pour régénérer les identifiants :

1. Ouvrez Analyze
2. Sélectionnez « Tools »
3. Cliquez sur « Agents PlaidLink »
4. Cliquez sur l’icône de régénération

Une fois les identifiants régénérés, vous pouvez les obtenir de la même manière que ceux d’un nouvel agent (décrite plus haut).

Activer et désactiver un agent

Pour désactiver un agent :

1. Ouvrez Analyze
2. Sélectionnez « Tools »
3. Cliquez sur « Agents PlaidLink »
4. Décochez la case « Active »

Note

Lorsqu’un agent n’est pas marqué comme actif, les systèmes distants ne peuvent pas se connecter avec les identifiants de cet agent

Environnements des agents

Une connexion peut contenir une configuration différente par environnement : changer l’environnement d’un projet redirige donc en une seule fois toutes les connexions qu’il utilise. Les agents peuvent suivre ce même basculement.

Chaque agent possède deux paramètres :

• Agent Group : nom partagé par les agents qui se remplacent mutuellement. Les agents d’un groupe sont des alternatives pour un même travail, à raison d’un par environnement.
• Environnement : l’environnement de connexion que cet agent dessert.

Une étape désigne toujours un agent précis. Lors de l’exécution du workflow, PlaidCloud examine le groupe auquel appartient cet agent et choisit le membre qui dessert l’environnement actuel du projet. Ainsi, un projet passé de votre environnement par défaut à QA exécute ses étapes distantes sur la machine QA, sans qu’aucune étape ne soit modifiée.

Pour un groupe nommé Finance dont un agent dessert Default et un autre QA, une étape qui désigne l’un ou l’autre s’exécute sur celui qui correspond au projet. Un projet rebasculé sur Default s’exécute sur l’agent Default, même si l’étape désigne l’agent QA.

Pour affecter un agent à un environnement :

1. Ouvrez Analyze
2. Sélectionnez « Tools »
3. Cliquez sur « Agents PlaidLink »
4. Ouvrez l’agent
5. Définissez « Agent Group » avec un nom partagé avec les alternatives de l’agent, et définissez « Environnement » avec l’environnement que cet agent dessert
6. Sur la machine qui exécute cet agent, définissez le nom d’environnement correspondant dans le fichier de configuration de PlaidLink ; voir Faire correspondre la machine de l’agent ci-dessous

Note

Un agent sans groupe défini dessert tous les environnements, ce qui est le cas de tous les agents tant que vous n’en définissez pas. Rien ne change pour un espace de travail qui exécute un seul agent.

Attention

Définir un groupe rend la correspondance exacte pour chaque agent du groupe, y compris pour un groupe d’un seul agent. Un projet qui s’exécute dans un environnement desservi par aucun agent du groupe échoue avec un message qui nomme le groupe et l’environnement, au lieu de se rabattre sur l’agent désigné par l’étape. C’est voulu : l’alternative serait que du travail de production s’exécute discrètement sur une machine de test. Ajoutez un agent pour chaque environnement dans lequel vos projets s’exécutent, et laissez le groupe vide sur un agent qui doit continuer à tout desservir.

Retirer un agent d’un groupe restreint ce que le groupe couvre : l’impact est donc aussi important que celui d’un ajout. Si vous videz le champ Group de l’agent qui desservait votre environnement par défaut, les projets qui s’y exécutent n’ont plus aucune cible et échouent à leur prochaine exécution. Déplacez l’environnement vers un autre membre du groupe avant d’en retirer un. Chaque enregistrement qui modifie ce qu’un groupe couvre vous indique la nouvelle couverture.

Les environnements sont partagés avec les connexions : les noms d’environnement proposés ici sont donc ceux sous lesquels vous configurez une connexion. Voir Créer et gérer une connexion.

Faire correspondre la machine de l’agent

L’environnement que vous définissez ici doit correspondre à l’environnement pour lequel le service PlaidLink de cette machine est configuré. PlaidLink s’abonne à une file d’attente précise pour l’environnement nommé dans son fichier de configuration : un agent dont l’enregistrement indique QA alors que sa machine est encore configurée pour l’environnement par défaut écoute donc une autre file que celle vers laquelle le travail est envoyé. L’étape attend, puis échoue en signalant que l’agent ne prend pas en charge la tâche.

Définissez-le dans le bloc environments du fichier de configuration de PlaidLink, dans l’entrée de cet agent :

environments:
  - name: QA
    agent_id: <agent identifier>

Le name est le nom de l’environnement tel qu’il apparaît dans PlaidCloud. S’il est omis, l’agent dessert l’environnement par défaut. Redémarrez le service PlaidLink après toute modification.

Note

Un même service PlaidLink peut contenir plusieurs entrées dans ce bloc : une seule machine peut donc desservir plusieurs agents, ou le même agent dans plusieurs environnements. Voir Exécuter plusieurs agents.

Exécuter plusieurs agents

PlaidLink est conçu pour exécuter plusieurs agents à partir d’une seule installation du service. Cette installation simplifiée permet à une seule instance de gérer des agents de plusieurs espaces de travail et/ou des agents disposant de niveaux d’autorisation différents pour l’exécution des tâches.

Pour activer plusieurs agents, il suffit d’ajouter les identifiants de ces agents au fichier de configuration de PlaidLink.

Exécuter plusieurs services PlaidLink

Comme pour l’exécution de plusieurs agents au sein d’un même service PlaidLink, il est également possible d’exécuter plusieurs services PlaidLink.

Cela est parfois nécessaire en raison d’une sécurité reposant sur le système ou de restrictions d’accès réseau qui empêchent la communication entre des frontières réseau.

Note

Il est normalement préférable d’exécuter plusieurs agents sous un seul service plutôt que plusieurs services sur une même machine. Toutefois, selon le cas d’usage, il peut être nécessaire d’exécuter plusieurs services distincts.

Besoins en calcul, en mémoire et en disque

Le service PlaidLink est extrêmement léger et n’a besoin que de très peu de calcul et de mémoire. Lors du traitement de volumes de données importants, il peut être nécessaire d’augmenter les ressources de calcul et surtout la mémoire.

Normalement, l’agent fonctionne sans difficulté avec 5 % d’un processeur et 200 Mo de mémoire. Pour des opérations de données intensives, il est recommandé d’allouer un processeur entier et au moins 4 Go de RAM. Sur les systèmes à allocation dynamique de ressources comme Kubernetes, il est acceptable que l’agent dispose de ressources extensibles plutôt que de ressources réservées.

L’espace disque requis par l’agent est lui aussi minimal. Les opérations de l’agent utilisent l’espace disque comme tampon de données lors du transfert de grandes quantités de données. En règle générale, 8 Go suffisent pour un fonctionnement normal. Pour des opérations de données intensives, nous vous recommandons d’augmenter l’espace disque selon les volumes de données attendus. Il n’existe pas de valeur fixe, car elle dépend de plusieurs facteurs, notamment la vitesse du processeur, la vitesse du réseau et la quantité de données. Un bon point de départ est toutefois 20 Go, à ajuster ensuite.

Exigences réseau

L’agent PlaidLink est conçu pour fonctionner avec un minimum de configuration. Il ne nécessite ni VPN ni configuration réseau particulière, hormis l’autorisation du trafic réseau HTTPS standard. Les agents communiquent avec le même protocole que le trafic web habituel des navigateurs.

Le service de l’agent initie toujours la communication avec PlaidCloud : il n’est donc pas nécessaire de configurer d’accès entrant dans les pare-feu.

Note

Parfois, les règles de pare-feu bloquent tout accès, y compris le trafic HTTPS standard. Si l’agent signale au démarrage qu’il ne parvient pas à contacter PlaidCloud, vous devrez travailler avec votre équipe réseau pour ouvrir le port 443 au trafic.