Zum Inhalt springen
OpfieldOpfieldOpfield

Opfield Cloud

Opfield Cloud verbindet eine Opfield-Installation mit Ihrem Opfield-Konto unter https://account.opfield.dev. Eine verbundene Installation hält eine ausgehende Verbindung zum Konto. Darüber liest das Konto den Zustand der Installation und führt, wenn Sie es erlauben, einige Wartungsaktionen aus. Die Installation läuft wie bisher auf Ihren Servern weiter: Ihre Ressourcen, Nodes, Secrets und Daten bleiben, wo sie sind.

Die Verbindung ist optional: Jede Funktion von Opfield funktioniert ohne sie. Sie verbinden eine Installation unter Settings > General im Block Cloud. Das funktioniert in jedem Tarif, auch in Community, und Sie können die Verbindung jederzeit trennen. Siehe Eine Installation verbinden.

Was Ihnen eine verbundene Installation bietet

Abschnitt betitelt „Was Ihnen eine verbundene Installation bietet“
Im Opfield-Konto Erfordert Allow remote management
Der Zustand der Installation: Hostname, Betriebszeit, Opfield-Version, CPU, Last, Arbeitsspeicher- und Festplattennutzung sowie der Zustand jedes eigenen Containers von Opfield Nein
Die neuesten Logs der eigenen Container von Opfield Nein
Ob ein Opfield-Update verfügbar ist und auf welchem Kanal Nein
Ein einmaliges Token zur Node-Registrierung mit seinem Installationsbefehl, wie Nodes > Add Node es erstellt, für jeden Node-Typ, den Add Node anbietet Ja
Das Starten des Opfield-Updates, das Settings > General anbietet Ja
Ein Einrichtungscode für den ersten Administrator, nur vor der Ersteinrichtung, solange die Installation keine Benutzer hat Ja
Ein Anmelde-Client, damit sich Benutzer mit Sign in with Opfield account an der Installation anmelden; nur nachdem ein Administrator ihn mit Use Opfield account angefordert hat Nein

Allow remote management ist standardmäßig aus; ein Administrator schaltet es im Block Cloud ein. Solange es aus ist, kann das Konto nur lesen und eine Anfrage nach einem Anmelde-Client beantworten, die ein Administrator gestellt hat. Das Konto kann keine Konsole öffnen, keine Ressourcen ändern, keine Secrets lesen und Ihre Workloads, Routen oder Datenbanken nicht sehen: Die Verbindung beantwortet nur die oben genannten Anfragen. Siehe Cloud-Daten und Sicherheit.

Wer verbinden darf

Abschnitt betitelt „Wer verbinden darf“

Der Block Cloud erscheint unter Settings > General für Benutzer mit dem Scope license:manage. Derselbe Scope verbindet, trennt und schaltet die Fernverwaltung ein oder aus. Das Lesen des Verbindungsstatus über die REST API oder MCP erfordert license:view. Der KI-Assistent und MCP-Clients verwenden dieselben Scopes über get_cloud_status und manage_cloud; siehe Eine Installation verbinden und die Scope-Referenz.

Verwaltete Installationen

Abschnitt betitelt „Verwaltete Installationen“

Die Managed Cloud ist ein Add-on für die Tarife Personal und Business und wird zusammen mit dem Lizenzschlüssel in Ihrem Opfield-Konto verkauft. Eine verwaltete Installation läuft auf einer VM, die Opfield Cloud für Sie erstellt. Sie verbindet sich beim ersten Start selbst mit ihrem Konto und aktiviert ihren Lizenzschlüssel. Nennt ihre Bereitstellung den Eigentümer des Kontos, startet sie außerdem bereits eingerichtet, ohne Einrichtungsassistent:

  • die öffentliche URL ist gesetzt (und das öffentliche gRPC-Ziel, sofern es noch nicht gesetzt ist);
  • ein OIDC-Anbieter namens „Opfield account“ wird hinzugefügt;
  • der Eigentümer des Kontos wird erster Systemadministrator und meldet sich mit Sign in with Opfield account an;
  • die Einrichtung wird als abgeschlossen markiert.

Diese Schritte gelingen gemeinsam oder gar nicht; schlägt einer fehl, bleibt die Installation beim üblichen Ablauf mit Einrichtungscode.

Eine verwaltete Installation bleibt an die Cloud gebunden, die sie betreibt:

  • Der Block Cloud zeigt Managed by Opfield Cloud. Es gibt weder Switch account noch Disconnect, und die Fernverwaltung zeigt Managed by the cloud statt eines Schalters: Sie ist immer aktiviert.
  • Die Lizenz wird vom Opfield-Konto verwaltet: Update license und Deactivate sind nicht verfügbar.
  • Die öffentliche URL, die gRPC-Adressen, mit denen sich Nodes registrieren, internes HTTPS, die Einstellungen zum Netzwerkvertrauen (Quelle der Client-IP, vertrauenswürdige Proxys, Cloudflare-Header) und die Upstream-URL der Statusseite können nicht geändert werden. Die Anmeldung ist nicht an die Cloud gebunden. Sie funktioniert wie bei einer selbst gehosteten Installation; siehe den nächsten Abschnitt.

Anmeldung bei einer verwalteten Installation

Abschnitt betitelt „Anmeldung bei einer verwalteten Installation“

Der Anbieter „Opfield account“ ist ein gewöhnlicher OIDC-Anbieter, und Sie entscheiden, wie sich Personen anmelden:

  • Unter Settings > Authentication > OIDC provider können Sie den Anbieter „Opfield account“ umbenennen oder bearbeiten, ihn mit Remove entfernen oder durch Ihr eigenes SSO ersetzen; siehe Ihren SSO-Anbieter verbinden. Die Installation hat einen OIDC-Anbieter, daher tritt Ihr eigenes SSO an die Stelle des Opfield-Kontos.
  • Unter Sign-in methods können Sie die OIDC-Anmeldung ausschalten und Email and password oder Email sign-in code verwenden (sie benötigen ein geprüftes SMTP).
  • Unter Administration > Users > Configure User können Sie den Eigentümer auf eine andere Anmeldemethode umstellen.

Fügen Sie weitere Benutzer unter Administration > Users mit Passwort, E-Mail-Code oder OIDC über den verwendeten Anbieter hinzu. Benutzer, die sich mit dem Opfield-Konto angemeldet haben, einschließlich des Eigentümers, bleiben damit verknüpft: Setzen Sie nach dem Wechsel zu Ihrem eigenen SSO ihre Sign-in method auf eine andere Methode und zurück auf OIDC, damit sie bei ihrer nächsten Anmeldung mit dem neuen Anbieter verknüpft werden.

Die Regel jeder Installation gilt auch hier: Opfield verweigert eine Änderung, nach der sich kein Administrator mehr anmelden könnte (LAST_ADMIN_SIGN_IN). Ist der Eigentümer der einzige Administrator, geben Sie zuerst dem Eigentümer oder einem anderen Administrator eine Methode, die aktiv bleibt, zum Beispiel E-Mail und Passwort, und melden Sie sich damit an.

Use Opfield account im Bereich OIDC provider stellt die Anmeldung mit dem Opfield-Konto jederzeit wieder her. Es setzt den Anbieter „Opfield account“ mit dem Client, den Opfield Cloud für die Installation erstellt hat, an die Stelle Ihres eigenen Anbieters und schaltet die OIDC-Anmeldung ein. Opfield hält diesen Client getrennt vom Anbieter, sodass er das Bearbeiten oder Entfernen des Anbieters übersteht. Die Schaltfläche wird angezeigt, solange die Installation einen anderen oder keinen Anbieter verwendet. API: PUT /api/admin/auth-settings mit oidcProviderAction: "opfield_account"; MCP und Assistent: update_opfield_settings mit demselben Feld. Die Einstellungen melden den Zustand in opfieldAccountSignIn.

Der Anbieter bleibt „Opfield account“, solange er Issuer und Client-ID der Cloud behält; ein anderer Issuer oder eine andere Client-ID macht ihn zu Ihrem eigenen Anbieter. Das Opfield-Konto kann das Client-Secret über die Verbindung ersetzen:

  • Solange sich die Installation mit dem Anbieter „Opfield account“ anmeldet, ersetzt das neue Secret das Secret des Anbieters und die aufbewahrte Kopie; Opfield speichert es verschlüsselt.
  • Nachdem Sie den Anbieter entfernt oder durch Ihren eigenen ersetzt haben, verweigert die Installation das neue Secret (OPFIELD_ACCOUNT_PROVIDER_MISSING) und ändert nichts. Ihre Anmeldung bleibt unberührt, das vorherige Secret bleibt im Konto gültig, und Use Opfield account funktioniert weiter.

Eine Neuinstallation, die einen neuen Client aus der Cloud mitbringt, behält Ihre Wahl bei: Haben Sie den Anbieter entfernt oder verwenden Sie Ihren eigenen, bleibt das so, und der neue Client wird nur für Use Opfield account aufbewahrt.

Auch eine selbst gehostete, mit Opfield Cloud verbundene Installation kann sich mit dem Opfield-Konto anmelden: Use Opfield account fordert beim Konto einen Anmelde-Client an. Siehe Mit dem Opfield-Konto anmelden.

Verwandte Seiten

Abschnitt betitelt „Verwandte Seiten“