Agentes PlaidLink

Descrição

Às vezes é necessário e desejável acessar dados ou executar processos a partir de um sistema remoto que não permite acesso externo. Isso é comum em ambientes corporativos protegidos por firewalls. O PlaidCloud oferece essa capacidade por meio do PlaidLink, que permite o acesso a sistemas remotos atrás de um firewall ou nos casos em que o acesso direto do PlaidCloud não é desejado.

O PlaidLink usa um sistema baseado em agentes. Isso significa que um agente, o usuário remoto, é instalado em um sistema dentro do firewall ou de outra área restrita. O agente pode então se conectar ao PlaidCloud por meio de um processo de inicialização de saída, em uma conexão websocket HTTPS segura. Ela é tão segura quanto qualquer outra conexão web criptografada e, em geral, não exige que você abra portas fora do padrão. Antes de obter acesso, o agente precisa se identificar enviando seu identificador de agente. A partir disso, se o agente passar pelo processo de autenticação, ele recebe acesso às operações aprovadas.

O PlaidLink pode ser instalado em sistemas Windows, Unix e Linux e pode ser executado com usuários de baixo privilégio. Em sistemas Windows, o PlaidLink pode operar como um serviço do Windows, com controle total pelo painel de Serviços. Em sistemas Linux ou Unix, ele pode ser executado como um processo daemon.

O PlaidLink também pode ser executado como um contêiner Docker autônomo ou como um pod do Kubernetes.

Gerenciar agentes

Para gerenciar agentes:

1. Abra o Analyze
2. Selecione “Tools”
3. Clique em “Agentes PlaidLink”

Isso leva você à tabela de agentes PlaidLink, onde é possível ver, modificar e obter as credenciais da lista de agentes disponíveis.

Criar um agente

Para criar um agente:

1. Abra o Analyze
2. Selecione “Tools”
3. Clique em “Agentes PlaidLink”
4. Clique em “Adicionar agente PlaidLink”
5. Preencha os campos obrigatórios
6. Clique em “Create”
7. Atribua o agente aos grupos de segurança necessários para acessar os recursos de que ele precisa para realizar seu trabalho
8. Atribua o agente às contas de documentos necessárias para acessar os documentos de que ele precisa para realizar seu trabalho

Perigo

Nas etapas 7 e 8 acima, o agente PlaidLink deve ser atribuído aos grupos de segurança e às contas de documentos necessários para realizar os trabalhos que você espera que ele execute. Caso contrário, o acesso será negado.

Nota

Qualquer informação ausente do formulário do novo agente será gerada automaticamente.

Obter as credenciais do agente

Para configurar agentes PlaidLink no sistema remoto, primeiro é preciso obter as informações de identificação do agente para manter a segurança. Essas informações incluem uma chave pública e uma chave privada.

Para obter essas chaves:

1. Abra o Analyze
2. Selecione “Tools”
3. Clique em “Agentes PlaidLink”
4. Clique no ícone de edição

Isso abrirá um formulário em que você pode ver os valores das chaves pública e privada.

Regenerar as credenciais do agente

É uma boa prática regenerar periodicamente as chaves pública e privada e atualizar a configuração dos sistemas remotos para manter a segurança.

Para regenerar as credenciais:

1. Abra o Analyze
2. Selecione “Tools”
3. Clique em “Agentes PlaidLink”
4. Clique no ícone de regenerar

Depois que as credenciais forem regeneradas, elas podem ser obtidas da mesma forma que as credenciais de um novo agente (descrita acima).

Habilitar e desabilitar um agente

Para desabilitar um agente:

1. Abra o Analyze
2. Selecione “Tools”
3. Clique em “Agentes PlaidLink”
4. Desmarque a caixa de seleção “Active”

Nota

Quando um agente não está marcado como ativo, os sistemas remotos não conseguem se conectar usando as credenciais desse agente

Ambientes do agente

Uma conexão pode ter uma configuração diferente por ambiente, de modo que alternar o ambiente de um projeto redireciona de uma só vez todas as conexões que ele usa. Os agentes podem acompanhar essa mesma alternância.

Cada agente tem duas configurações:

• Agent Group: um nome compartilhado pelos agentes que se substituem entre si. Os agentes de um grupo são alternativas para o mesmo trabalho, um por ambiente.
• Ambiente: qual ambiente de conexão este agente atende.

Uma etapa ainda indica um agente específico. Quando o fluxo de trabalho é executado, o PlaidCloud consulta o grupo ao qual esse agente pertence e escolhe o membro que atende ao ambiente atual do projeto. Assim, um projeto movido do seu ambiente padrão para o QA executa suas etapas remotas na máquina de QA, sem editar nenhuma etapa.

Para um grupo chamado Finance com um agente atendendo ao ambiente Default e outro atendendo ao QA, uma etapa que indique qualquer um dos dois é executada naquele que corresponde ao projeto. Um projeto que volta para o ambiente Default é executado no agente Default, mesmo que a etapa indique o de QA.

Para atribuir um agente a um ambiente:

1. Abra o Analyze
2. Selecione “Tools”
3. Clique em “Agentes PlaidLink”
4. Abra o agente
5. Defina “Agent Group” com um nome compartilhado com as alternativas do agente e defina “Ambiente” com o ambiente que este agente atende
6. Na máquina que executa esse agente, defina o nome de ambiente correspondente no arquivo de configuração do PlaidLink. Consulte Corresponder à máquina do agente abaixo

Nota

Um agente sem grupo definido atende a todos os ambientes, o que vale para todos os agentes até que você defina um. Nada muda para um espaço de trabalho que executa um único agente.

Cuidado

Definir um grupo torna a correspondência exata para todos os agentes dele, inclusive para um grupo de um só agente. Um projeto executado em um ambiente que nenhum agente do grupo atende falha com uma mensagem que cita o grupo e o ambiente, em vez de recorrer ao agente indicado na etapa. Isso é proposital: a alternativa seria o trabalho de produção ser executado silenciosamente em uma máquina de teste. Adicione um agente para cada ambiente em que seus projetos são executados e deixe o grupo em branco em um agente que deva continuar atendendo a tudo.

Remover um agente de um grupo reduz o que o grupo cobre, portanto tem tanto impacto quanto adicionar um. Limpar o grupo do agente que atendia ao seu ambiente padrão deixa os projetos executados nele sem destino, e eles falham na próxima execução. Mova o ambiente para outro membro do grupo antes de remover um. Cada salvamento que altera o que um grupo cobre informa a nova cobertura a você.

Os ambientes são compartilhados com as conexões, portanto os nomes de ambiente oferecidos aqui são os mesmos em que você configura uma conexão. Consulte Criar e gerenciar uma conexão.

Corresponder à máquina do agente

O Ambiente definido aqui precisa corresponder ao ambiente para o qual o serviço PlaidLink dessa máquina está configurado. O PlaidLink assina exatamente uma fila para o ambiente indicado em seu arquivo de configuração, portanto um agente cujo registro diz QA, mas cuja máquina ainda está configurada para o ambiente padrão, escuta uma fila diferente daquela para a qual o trabalho é enviado. A etapa aguarda e depois falha informando que o agente não está assumindo o trabalho.

Defina-o no bloco environments do arquivo de configuração do PlaidLink, na entrada desse agente:

environments:
  - name: QA
    agent_id: <agent identifier>

O name é o nome do ambiente como aparece no PlaidCloud. Quando omitido, o agente atende ao ambiente padrão. Reinicie o serviço PlaidLink depois de alterá-lo.

Nota

Um único serviço PlaidLink pode ter várias entradas nesse bloco, de modo que uma máquina pode atender a mais de um agente, ou ao mesmo agente em mais de um ambiente. Consulte Executar vários agentes.

Executar vários agentes

O PlaidLink foi projetado para permitir a operação de vários agentes com uma única instalação do serviço. Essa instalação simplificada permite que uma única instalação atenda a agentes de vários espaços de trabalho e/ou agentes com diferentes níveis de permissão para execução de tarefas.

Para habilitar vários agentes, basta adicionar as credenciais dos agentes ao arquivo de configuração do PlaidLink.

Executar vários serviços PlaidLink

Assim como é possível executar vários agentes em um único serviço PlaidLink, também é possível executar vários serviços PlaidLink.

Isso às vezes é necessário, dependendo do uso de segurança baseada no sistema ou de restrições de acesso à rede que impedem a comunicação entre limites de rede.

Nota

Normalmente é melhor executar vários agentes em um único serviço do que vários serviços em uma única máquina. No entanto, dependendo do caso de uso, pode ser necessário executar vários serviços distintos.

Requisitos de computação, memória e disco

O serviço PlaidLink é extremamente leve e precisa de apenas um mínimo de computação e memória para operar. Ao processar volumes significativos de dados, pode ser necessário aumentar os recursos de computação e, principalmente, a memória.

Normalmente, o agente funciona bem com 5% de CPU e 200 MB de memória. Para operações de dados intensas, recomenda-se alocar uma CPU inteira e pelo menos 4 GB de RAM. Em sistemas de alocação dinâmica de recursos, como o Kubernetes, não há problema se o agente tiver acesso a recursos expansíveis em vez de reservados.

O espaço em disco do agente também é mínimo. As operações do agente usam o espaço em disco como buffer de dados na transferência de grandes volumes de dados. Normalmente, 8 GB de espaço são suficientes para operações normais. Para operações de dados intensas, recomenda-se escalar o disco de acordo com os volumes de dados esperados. Não existe um valor fixo, pois ele depende de vários fatores, como velocidade da CPU, velocidade da rede e quantidade de dados. No entanto, um bom ponto de partida é 20 GB, ajustando a partir daí.

Requisitos de rede

O agente PlaidLink foi projetado para operar com o mínimo de configuração. Ele não exige nenhuma VPN ou configuração de rede especial, além de permitir o tráfego de rede HTTPS padrão. Os agentes se comunicam pelo mesmo protocolo do tráfego normal de navegadores web.

O serviço do agente sempre inicia a comunicação com o PlaidCloud, portanto não é preciso configurar acesso de entrada nos firewalls.

Nota

Às vezes, as regras de firewall bloqueiam todo o acesso, até mesmo o tráfego HTTPS padrão. Se o agente informar que não consegue contatar o PlaidCloud na inicialização, você precisará trabalhar com sua equipe de rede para liberar a porta 443 para o tráfego.