Opfield Cloud

Opfield Cloud conecta una instalación de Opfield con tu cuenta de Opfield en https://account.opfield.dev. Una instalación conectada mantiene una conexión saliente con la cuenta. A través de ella, la cuenta lee el estado de la instalación y, si lo permites, ejecuta algunas acciones de mantenimiento. La instalación sigue funcionando en tus servidores como antes: tus recursos, nodos, secretos y datos se quedan donde están.

La conexión es opcional: todas las funciones de Opfield funcionan sin ella. Una instalación se conecta en Settings > General, en el bloque Cloud. Funciona en todos los planes, Community incluido, y puedes desconectarla en cualquier momento. Consulta Conecta una instalación.

Qué te aporta una instalación conectada

En la cuenta de Opfield	Requiere Allow remote management
El estado de la instalación: nombre de host, tiempo de actividad, versión de Opfield, CPU, carga, uso de memoria y de disco, y el estado de cada uno de los contenedores propios de Opfield	No
Los últimos logs de los contenedores propios de Opfield	No
Si hay una actualización de Opfield disponible y en qué canal	No
Un token de registro de nodos de un solo uso con su comando de instalación, igual que lo genera Nodes > Add Node, para cualquier tipo de nodo que ofrezca Add Node	Sí
Iniciar la actualización de Opfield que ofrece Settings > General	Sí
Un código de configuración del primer administrador, solo antes de la configuración inicial, mientras la instalación no tiene usuarios	Sí
Un cliente de inicio de sesión, para que los usuarios inicien sesión en la instalación con Sign in with Opfield account; solo después de que un administrador lo pida con Use Opfield account	No

Allow remote management está desactivado por defecto; un administrador lo activa en el bloque Cloud. Mientras está desactivado, la cuenta solo puede leer y responder a una petición de cliente de inicio de sesión hecha por un administrador. La cuenta no puede abrir una consola, cambiar recursos, leer secretos ni ver tus cargas de trabajo, Routes o bases de datos: la conexión solo responde a las peticiones anteriores. Consulta Datos y seguridad de Cloud.

Quién puede conectar

El bloque Cloud aparece en Settings > General para los usuarios con el ámbito license:manage. El mismo ámbito permite conectar, desconectar y activar o desactivar la gestión remota. Leer el estado de la conexión a través de la REST API o de MCP requiere license:view. El asistente de IA y los clientes MCP usan los mismos ámbitos mediante get_cloud_status y manage_cloud; consulta Conecta una instalación y la referencia de ámbitos.

Instalaciones gestionadas

La nube gestionada es un complemento de los planes Personal y Business, que se vende junto con la clave de licencia en tu cuenta de Opfield. Una instalación gestionada se ejecuta en una VM que Opfield Cloud crea para ti. Se conecta por sí sola a su cuenta en el primer arranque y activa su clave de licencia. Cuando su aprovisionamiento indica el propietario de la cuenta, también arranca ya configurada, sin el asistente de configuración:

se fija la URL pública (y el destino gRPC público, cuando aún no está fijado);
se añade un proveedor OIDC llamado “Opfield account”;
el propietario de la cuenta pasa a ser el primer administrador del sistema e inicia sesión con Sign in with Opfield account;
la configuración se marca como completada.

Estos pasos se completan todos juntos o ninguno; si uno falla, la instalación sigue con el flujo habitual del código de configuración.

Una instalación gestionada sigue ligada a la nube que la ejecuta:

El bloque Cloud muestra Managed by Opfield Cloud. No hay Switch account ni Disconnect, y la gestión remota muestra Managed by the cloud en lugar de un interruptor: siempre está activada.
La licencia la gestiona la cuenta de Opfield: Update license y Deactivate no están disponibles.
No se pueden cambiar la URL pública, las direcciones gRPC con las que se registran los nodos, el HTTPS interno, los ajustes de confianza de la red (origen de la IP del cliente, proxies de confianza, cabeceras de Cloudflare) ni la URL upstream de la página de estado. El inicio de sesión no está ligado a la nube. Funciona como en una instalación autoalojada; consulta la sección siguiente.

Inicio de sesión en una instalación gestionada

El proveedor “Opfield account” es un proveedor OIDC normal, y tú decides cómo inician sesión las personas:

En Settings > Authentication > OIDC provider puedes renombrar o editar el proveedor “Opfield account”, eliminarlo con Remove o sustituirlo por tu propio SSO; consulta Conecta tu proveedor de SSO. La instalación tiene un solo proveedor OIDC, así que tu propio SSO ocupa el lugar de la cuenta de Opfield.
En Sign-in methods puedes desactivar el inicio de sesión con OIDC y usar Email and password o Email sign-in code (requieren un SMTP verificado).
En Administration > Users > Configure User puedes pasar al propietario a otro método de inicio de sesión.

Añade otros usuarios desde Administration > Users con contraseña, código por correo u OIDC a través del proveedor en uso. Los usuarios que iniciaron sesión con la cuenta de Opfield, incluido el propietario, siguen vinculados a ella: después de cambiar a tu propio SSO, cambia su Sign-in method a otro método y vuelve a OIDC para que queden vinculados al nuevo proveedor en su próximo inicio de sesión.

La regla de todas las instalaciones también se aplica aquí: Opfield rechaza un cambio tras el cual ningún administrador podría iniciar sesión (LAST_ADMIN_SIGN_IN). Si el propietario es el único administrador, da primero al propietario, o a otro administrador, un método que siga activo, por ejemplo correo y contraseña, e inicia sesión con él.

Use Opfield account, en el panel OIDC provider, recupera en cualquier momento el inicio de sesión con la cuenta de Opfield. Vuelve a poner el proveedor “Opfield account” con el cliente que Opfield Cloud creó para la instalación, en lugar de tu propio proveedor, y activa el inicio de sesión con OIDC. Opfield guarda ese cliente aparte del proveedor, así que sobrevive a la edición o eliminación del proveedor. El botón se muestra mientras la instalación usa otro proveedor o ninguno. API: PUT /api/admin/auth-settings con oidcProviderAction: "opfield_account"; MCP y asistente: update_opfield_settings con el mismo campo. Los ajustes informan del estado en opfieldAccountSignIn.

El proveedor sigue siendo “Opfield account” mientras conserva el emisor y el ID de cliente de la nube; otro emisor u otro ID de cliente lo convierten en tu propio proveedor. La cuenta de Opfield puede sustituir el secreto del cliente a través de la conexión:

Mientras la instalación inicia sesión con el proveedor “Opfield account”, el nuevo secreto sustituye al secreto del proveedor y a la copia guardada; Opfield lo guarda cifrado.
Si eliminaste el proveedor o lo sustituiste por el tuyo, la instalación rechaza el nuevo secreto (OPFIELD_ACCOUNT_PROVIDER_MISSING) y no cambia nada. Tu inicio de sesión no se toca, el secreto anterior sigue siendo válido en la cuenta y Use Opfield account sigue funcionando.

Una reinstalación que trae un cliente nuevo desde la nube respeta tu elección: si eliminaste el proveedor o usas el tuyo, se mantiene así, y el nuevo cliente solo se guarda para Use Opfield account.

Una instalación autoalojada conectada a Opfield Cloud también puede iniciar sesión con la cuenta de Opfield: Use Opfield account pide a la cuenta un cliente de inicio de sesión. Consulta Inicia sesión con la cuenta de Opfield.

Páginas relacionadas

Conecta una instalación: el código, el bloque Cloud, la gestión remota, el cambio de cuenta y la desconexión.
Datos y seguridad de Cloud: qué viaja por la conexión, qué se guarda y dónde, el registro de auditoría y qué ocurre cuando no se puede llegar a la cuenta.
Planes y derechos: los planes y el servicio de licencias, que funcionan de forma independiente de la conexión con Cloud.