Cloud-Daten und Sicherheit

Die Cloud-Verbindung ist bewusst eng gefasst: Das Opfield-Konto kann einer verbundenen Installation eine feste Menge von Fragen stellen und mit Allow remote management drei Aktionen ausführen. Alles andere bleibt in Ihrer Installation.

Die Verbindung

• Opfield öffnet einen ausgehenden WebSocket über HTTPS zu https://account.opfield.dev und authentifiziert ihn mit den Zugangsdaten, die es beim Verbinden erhalten hat. Es wird kein eingehender Port geöffnet, und Opfield folgt auf dieser Verbindung keinen Weiterleitungen.
• Das Konto pingt die Verbindung alle 25 Sekunden. Opfield ersetzt eine Verbindung, die 70 Sekunden lang still war, und verbindet sich nach einem Abbruch mit wachsender Verzögerung neu: ab 1 Sekunde, verdoppelt bis zu 60 Sekunden.
• Bei einer Installation mit mehreren App-Replikaten hält ein Replikat die Verbindung, und die anderen melden ihren Zustand.
• Beim Verbinden sendet Opfield seine Installations-ID (die, die der Lizenzdienst kennt), den Installationsnamen, die Opfield-Version und ob die Fernverwaltung aktiviert ist. Solange die Anfrage eines Administrators nach einem Anmelde-Client wartet, sendet es außerdem die angeforderte Redirect-URI und den Zeitpunkt. Es gibt außerdem an, dass es Anfragen zum Entfernen von Zugriff annimmt (siehe unten). Es sendet diese Angaben erneut, wenn sich etwas davon ändert.

Was das Konto fragen kann

Anfrage	Was Opfield antwortet	Erfordert Allow remote management
Zustand	Hostname, Betriebszeit, Opfield-Version, CPU-Kerne und -Auslastung, Lastmittelwerte, Gesamtwerte und Nutzung von Arbeitsspeicher und Festplatte sowie Name, Zustand, Health und Startzeit jedes eigenen Containers von Opfield	Nein
Dienste	Die Namen der eigenen Container von Opfield	Nein
Logs	Die neuesten Zeilen eines der eigenen Container von Opfield, optional ab einem bestimmten Zeitpunkt	Nein
Update-Status	Aktuelle und neueste Version, Update-Kanal, ob ein Update verfügbar ist und ob eines läuft	Nein
Node-Token	Ein einmaliges Token zur Node-Registrierung, sein Ablauf und der Installationsbefehl, für einen neuen Node, den Opfield wie Nodes > Add Node erstellt	Ja
Update	Startet das Opfield-Update auf die verfügbare Version, wie Settings > General	Ja
Einrichtungscode	Ein neuer Einrichtungscode für den ersten Administrator und sein Ablauf; abgelehnt, sobald die Einrichtung abgeschlossen ist oder die Installation Benutzer hat	Ja
Anmelde-Client	Das Konto übergibt Issuer, Client-ID, Client-Secret und Redirect-URI. Opfield übernimmt sie nur, solange seine Anfrage über Use Opfield account wartet und für dieselbe Redirect-URI (andernfalls SSO_CLIENT_NOT_REQUESTED), fügt den Anbieter „Opfield account“ hinzu und schaltet die OIDC-Anmeldung ein	Nein
Zugriff entfernen	Das Konto nennt Personen, die den Zugriff auf die Installation verloren haben (aus dem Team entfernt, ihr Zugriff entzogen, die Installation einem anderen Konto zugeordnet oder das Konto gesperrt), anhand ihrer Opfield-Konto-ID. Opfield sperrt ihre Benutzer; siehe Im Opfield-Konto entzogener Zugriff. Antwortet, welche Benutzer gesperrt wurden und für welche IDs es hier keinen Benutzer gibt	Nein

Eine verwaltete Installation nimmt außerdem einen Anmelde-Client an, den sie nicht angefordert hat, wie ihre Bereitstellungsdatei: Er ersetzt den Client eines verwendeten Anbieters „Opfield account“ und wird andernfalls nur für Use Opfield account aufbewahrt. Würde der Wechsel zum Opfield-Konto dazu führen, dass sich kein Administrator mehr anmelden kann, behält jede Installation nur den Client.

Das Konto kann außerdem das Secret des von ihm ausgestellten Anmelde-Clients ersetzen, bei einer verwalteten Installation und bei jeder Installation, die einen Client von ihm erhalten hat; Allow remote management ist nicht erforderlich. Die Installation wendet das Secret nur an, solange sie sich mit dem Anbieter „Opfield account“ anmeldet; nachdem ein Administrator diesen Anbieter entfernt oder durch sein eigenes SSO ersetzt hat, lehnt sie das Secret mit OPFIELD_ACCOUNT_PROVIDER_MISSING ab und ändert nichts, und das vorherige Secret bleibt gültig. Siehe Mit dem Opfield-Konto anmelden und Anmeldung bei einer verwalteten Installation. Eine Installation ohne Client vom Konto lehnt die Anfrage ab.

Im Opfield-Konto entzogener Zugriff

Verliert jemand im Opfield-Konto den Zugriff auf die Installation, teilt das Konto dies der Installation mit. Opfield sperrt die Benutzer, die sich mit diesem Opfield-Konto angemeldet haben, unabhängig davon, welchen OIDC-Anbieter die Installation jetzt verwendet:

• Ihre Browsersitzungen enden, geöffnete Konsolen und Live-Ansichten schließen sich wie bei jeder Sperre, und ihre API-Tokens sowie ihr OAuth- und MCP-Zugriff funktionieren nicht mehr. Die Tokens bleiben erhalten und werden nicht gelöscht.
• Administration > Users zeigt Blocked by the Opfield account statt des Abzeichens Blocked, und blockedBy des Benutzers ist in der API und MCP opfield_account (admin bei einer Sperre durch einen Administrator).
• Gibt das Konto den Zugriff zurück, hebt die nächste Anmeldung des Benutzers mit dem Opfield-Konto die Sperre auf, erfasst als user.opfield_account_unblock. Eine Sperre durch einen Administrator wird nie durch eine Anmeldung aufgehoben. Unblock user hebt beide Arten von Sperren auf, und Block user bei einem vom Opfield-Konto gesperrten Benutzer macht daraus eine Sperre durch einen Administrator.
• Der letzte aktive Systemadministrator wird auf diese Weise nie gesperrt; die Antwort an das Konto führt ihn als beibehalten auf.

Das erfordert kein Allow remote management, und eine Wiederholung der Anfrage ändert nichts.

Die Messwerte stammen aus der eigenen Diagnose von Opfield: der Host, wie Opfield ihn sieht (bzw. die Limits seines Containers, wo der Host nicht sichtbar ist), und die Container des eigenen Compose-Projekts von Opfield. Für die Verbindung wird nichts zusätzlich gemountet. Läuft Opfield nicht in Docker mit Zugriff auf seinen Docker-Socket, sind Containerliste und Logs nicht verfügbar, und die Antwort nennt den Grund.

Das Konto kann Ihre Ressourcen, Konfiguration, Secrets, Nodes, Workloads, Routen, Datenbanken oder deren Logs weder lesen noch ändern: Opfield beantwortet nur die oben genannten Anfragen und lehnt alle anderen ab. Die einzige Einstellung, die es ändern kann, ist der oben beschriebene Anmelde-Client, und die einzigen Benutzer, auf die es einwirken kann, sind diejenigen, die sich mit dem Opfield-Konto angemeldet haben und die es wie oben beschrieben sperren kann. Es beantwortet höchstens acht Anfragen gleichzeitig und antwortet mit einem Fehler, wenn eine Anfrage länger als 14 Sekunden dauert.

Was wo gespeichert wird

Wo	Was
Datenbank von Opfield	Die Verbindungs-ID und das Secret (das Secret mit dem Master-Schlüssel verschlüsselt, wie andere gespeicherte Zugangsdaten), die E-Mail-Adresse und URL des Kontos und der Verbindungszeitpunkt; der Schalter Allow remote management mit dem, der ihn geändert hat, und dem Zeitpunkt; nach einer Trennung durch das Konto dessen E-Mail-Adresse, URL, Zeitpunkt und Grund; der vom Konto ausgestellte Anmelde-Client, falls vorhanden (Issuer, Client-ID, Redirect-URI und das verschlüsselte Secret), getrennt vom OIDC-Anbieter für Use Opfield account aufbewahrt; eine wartende Anfrage danach mit ihrer Redirect-URI und ihrem Zeitpunkt
Audit-Log von Opfield	Jedes Verbinden, Trennen, jede Schalteränderung und jede Anfrage; siehe Audit-Log
Das Opfield-Konto	Den Verbindungscode und das Verbindungs-Secret nur als SHA-256-Hashes, ID, Name und Version der Installation und wann sie zuletzt gesehen wurde; den für die Installation ausgestellten Anmelde-Client, falls vorhanden

Das Verbinden ändert weder Lizenz noch Tarif der Installation, die weiterhin über den Lizenzdienst funktionieren, wie unter Tarife und Leistungsumfang beschrieben. Die anderen ausgehenden Verbindungen von Opfield finden Sie unter Was eine selbst gehostete Installation verlässt.

Kann Opfield das gespeicherte Secret nicht mehr entschlüsseln, zum Beispiel nachdem sich der Master-Schlüssel geändert hat, hört es auf, sich zu verbinden, und protokolliert einen Fehler. Verbinden Sie sich mit einem neuen Code erneut.

Audit-Log

Jeder Cloud-Eintrag hat den Ressourcentyp cloud-link, und das Audit-Log benennt seine Ressource als Opfield account mit der E-Mail-Adresse des Kontos:

Aktion	Erfasst, wenn
cloud.connect	Opfield sich verbunden hat oder sich nicht verbinden konnte, mit der Quelle (ein eingefügter Code oder die Bereitstellungsdatei einer verwalteten Installation)
cloud.disconnect	Ein Opfield-Benutzer die Verbindung getrennt hat, und ob das Konto es bestätigt hat
cloud.disconnected_by_account	Das Konto die Verbindung widerrufen hat
cloud.remote_management	Allow remote management ein- oder ausgeschaltet wurde
cloud.sso_revoke	Das Konto Zugriff entfernt hat: der Grund und die Benutzer, die es gesperrt hat, bereits gesperrt vorfand oder beibehalten hat
cloud.request	Das Konto eine Anfrage gesendet hat: ihr Typ, der genannte Container, Log-Bereich, Node-Name und -Typ oder die Update-Version, ob sie erfolgreich war und die Größe der Antwort
cloud.enroll_file, cloud.managed_sso	Schritte des ersten Starts einer verwalteten Installation und der Anmeldung mit dem Opfield-Konto: ein Anmelde-Client angefordert, Anfrage abgebrochen, Client erhalten oder nur aufbewahrt, Client-Secret ersetzt sowie der Client vergessen und der Anbieter entfernt oder beibehalten, als die Verbindung endete; nie mit einem Schlüssel oder Secret

Aktionen und fehlgeschlagene Anfragen erhalten immer einen eigenen Eintrag. Identische erfolgreiche Lesevorgänge desselben Typs und Containers innerhalb von 10 Minuten nach dem ersten werden gezählt statt einzeln geschrieben: Der erste Lesevorgang hat einen eigenen Eintrag, und die Wiederholungen erhalten einen Sammeleintrag mit ihrer Anzahl sowie erstem und letztem Zeitpunkt, wenn die 10 Minuten enden, die Verbindung endet oder Opfield herunterfährt. Ein Node, den das Konto erstellt, wird mit dem Akteur cloud-link erfasst. Siehe Tasks, Ereignisse und Audit.

Wenn das Konto nicht erreichbar ist

Nichts in der Installation hängt von der Verbindung ab. Opfield läuft weiter, liefert Datenverkehr aus und verwaltet Nodes; es versucht weiter, sich neu zu verbinden, und der Status zeigt reconnecting mit dem letzten Fehler. Das Konto zeigt die Installation nach zwei Minuten ohne Verbindung als offline und kann sie nicht lesen oder darauf einwirken, bis sie sich neu verbindet.

Trennen Sie die Verbindung, während das Konto nicht erreichbar ist, vergisst Opfield die Verbindung trotzdem und warnt Sie, die Installation auch im Konto zu trennen.

Wenn die Verbindung entfernt wird

• In Opfield getrennt: Opfield bittet das Konto, die Verbindung zu widerrufen, und vergisst dann Verbindungs-ID, Secret und den Schalter für die Fernverwaltung.
• Im Konto getrennt oder entfernt: Das Konto lehnt die Verbindung ab, und Opfield hört auf, sich zu verbinden, vergisst die Zugangsdaten und den Schalter und zeigt Disconnected by the account.
• Zu einem anderen Konto gewechselt: Die alte Verbindung wird sofort ersetzt, und die Fernverwaltung beginnt ausgeschaltet.

In jedem Fall bleiben die Installation, ihre Ressourcen und ihre Lizenz unverändert; verbinden Sie sich bei Bedarf jederzeit mit einem neuen Code erneut. Nach einer Trennung, von welcher Seite auch immer, vergisst Opfield außerdem den Anmelde-Client vom Konto und eine wartende Anfrage danach. Hat sich die Installation mit dem Anbieter „Opfield account“ angemeldet, entfernt Opfield ihn und schaltet die OIDC-Anmeldung aus, es sei denn, kein Administrator könnte sich dann anmelden: Dann bleibt der Anbieter bestehen, das Audit-Log erfasst es mit einer Warnung, und Settings > Authentication > OIDC provider fordert Sie auf, einem Administrator eine andere Anmeldemethode zu geben und ihn zu entfernen.

Konfigurationsexport und Wiederherstellung

Ein auf einem anderen Host wiederhergestellter Konfigurationsexport ist mit keinem Opfield-Konto verbunden: Die Verbindung der exportierten Installation wird verworfen, zusammen mit dem Anmelde-Client vom Konto und einer wartenden Anfrage danach. Verbinden Sie die Kopie mit einem neuen Code, wenn Sie sie in Ihrem Konto benötigen.

Ein Export einer verwalteten Installation kommt ohne die Anmeldung mit dem Opfield-Konto zurück, die nur unter der Adresse der Cloud funktioniert: Die OIDC-Anmeldung ist ausgeschaltet, die Passwort-Anmeldung ist eingeschaltet, und der Eigentümer erhält einen einmaligen, 24 Stunden gültigen Link, um ein Passwort festzulegen. Das Installationsprogramm gibt den Link aus, und eine Wiederherstellung im Einrichtungsassistenten zeigt ihn auf ihrem letzten Bildschirm. Benutzer, die sich mit dem Opfield-Konto angemeldet haben, benötigen eine andere Anmeldemethode. Die Lizenz bleibt bei der verwalteten Installation: Die Kopie startet unter einer neuen Installations-ID mit Community.