Données et sécurité du Cloud

La connexion Cloud est volontairement restreinte : le compte Opfield peut poser à une installation connectée un ensemble fixe de questions et, avec Allow remote management, exécuter trois actions. Tout le reste reste dans votre installation.

La connexion

• Opfield ouvre un WebSocket sortant via HTTPS vers https://account.opfield.dev et l’authentifie avec les identifiants reçus lors de sa connexion. Aucun port entrant n’est ouvert, et Opfield ne suit pas les redirections sur cette connexion.
• Le compte sonde la connexion toutes les 25 secondes. Opfield remplace une connexion restée silencieuse pendant 70 secondes, et se reconnecte après une coupure avec un délai croissant : à partir d’une seconde, en doublant jusqu’à 60 secondes.
• Dans une installation comptant plusieurs réplicas de l’application, un réplica détient la connexion et les autres en signalent l’état.
• Lors de sa connexion, Opfield envoie l’identifiant de son installation (celui que connaît le service de licences), le nom de l’installation, la version d’Opfield et l’état d’activation de la gestion à distance. Tant qu’une demande de client de connexion émise par un administrateur est en attente, il envoie aussi l’URI de redirection demandée et l’heure de la demande. Il indique également qu’il accepte les demandes de retrait d’accès (voir ci-dessous). Il renvoie ces informations chaque fois que l’une d’elles change.

Ce que le compte peut demander

Demande	Ce que répond Opfield	Nécessite Allow remote management
État	Nom d’hôte, temps de fonctionnement, version d’Opfield, nombre de cœurs et utilisation du CPU, charges moyennes, totaux et utilisation de la mémoire et du disque, ainsi que le nom, l’état, la santé et l’heure de démarrage de chacun des conteneurs propres à Opfield	Non
Services	Les noms des conteneurs propres à Opfield	Non
Journaux	Les dernières lignes de l’un des conteneurs propres à Opfield, éventuellement depuis une heure donnée	Non
État des mises à jour	Version actuelle et dernière version, canal de mise à jour, disponibilité d’une mise à jour et éventuelle mise à jour en cours	Non
Jeton de nœud	Un jeton d’enrôlement de nœud à usage unique, son expiration et la commande d’installation, pour un nouveau nœud qu’Opfield crée comme le fait Nodes > Add Node	Oui
Mise à jour	Lance la mise à jour d’Opfield vers la version disponible, comme le fait Settings > General	Oui
Code de configuration	Un nouveau code de configuration du premier administrateur et son expiration ; refusé une fois la configuration terminée ou dès que l’installation a des utilisateurs	Oui
Client de connexion	Le compte transmet un émetteur, un identifiant client, un secret client et une URI de redirection. Opfield ne les accepte que tant que sa demande issue de Use Opfield account est en attente et pour la même URI de redirection (sinon SSO_CLIENT_NOT_REQUESTED), ajoute le fournisseur « Opfield account » et active la connexion OIDC	Non
Retrait d’accès	Le compte désigne, par leur identifiant de compte Opfield, les personnes qui ont perdu l’accès à l’installation (retirées de l’équipe, accès retiré, installation déplacée vers un autre compte ou compte suspendu). Opfield bloque leurs utilisateurs ; voir Accès retiré dans le compte Opfield. Répond en indiquant quels utilisateurs ont été bloqués et quels identifiants n’ont pas d’utilisateur ici	Non

Une installation managée accepte aussi un client de connexion qu’elle n’a pas demandé, comme le fait son fichier de provisionnement : il remplace le client d’un fournisseur « Opfield account » en cours d’utilisation, et sinon n’est conservé que pour Use Opfield account. Si le passage au compte Opfield ne laissait aucun administrateur capable de se connecter, toute installation se contente de conserver le client.

Le compte peut aussi remplacer le secret du client de connexion qu’il a émis, sur une installation managée et sur toute installation qui a reçu un client de sa part ; Allow remote management n’est pas nécessaire. L’installation n’applique le secret que tant qu’elle se connecte avec le fournisseur « Opfield account » ; après qu’un administrateur a supprimé ce fournisseur ou l’a remplacé par son propre SSO, elle refuse le secret avec OPFIELD_ACCOUNT_PROVIDER_MISSING et ne modifie rien, et le secret précédent reste valide. Voir Se connecter avec le compte Opfield et Connexion sur une installation managée. Une installation sans client provenant du compte refuse la demande.

Accès retiré dans le compte Opfield

Lorsque quelqu’un perd l’accès à l’installation dans le compte Opfield, le compte en informe l’installation. Opfield bloque les utilisateurs qui se sont connectés avec ce compte Opfield, quel que soit le fournisseur OIDC qu’utilise désormais l’installation :

• Leurs sessions de navigateur prennent fin, les consoles ouvertes et les vues en direct se ferment comme lors de tout blocage, et leurs jetons d’API ainsi que leurs accès OAuth et MCP cessent de fonctionner. Les jetons sont conservés, pas supprimés.
• Administration > Users affiche Blocked by the Opfield account au lieu du badge Blocked, et le blockedBy de l’utilisateur vaut opfield_account dans l’API et MCP (admin pour un blocage par un administrateur).
• Lorsque le compte rend l’accès, la prochaine connexion de l’utilisateur avec le compte Opfield le débloque, ce qui est enregistré sous user.opfield_account_unblock. Un blocage par un administrateur n’est jamais levé par une connexion. Unblock user lève l’un ou l’autre blocage, et Block user sur un utilisateur bloqué par le compte Opfield en fait un blocage par un administrateur.
• Le dernier administrateur système actif n’est jamais bloqué de cette façon ; la réponse au compte l’indique comme conservé.

Cela ne nécessite pas Allow remote management, et répéter la demande ne change rien.

Les relevés proviennent des diagnostics propres à Opfield : l’hôte tel qu’Opfield le voit (ou les limites de son conteneur lorsque l’hôte n’est pas visible) et les conteneurs du projet Compose propre à Opfield. Rien de supplémentaire n’est monté pour la connexion. Si Opfield ne s’exécute pas dans Docker avec un accès à son socket Docker, la liste des conteneurs et les journaux ne sont pas disponibles, et la réponse en indique la raison.

Le compte ne peut ni lire ni modifier vos ressources, votre configuration, vos secrets, vos nœuds, vos charges de travail, vos Routes, vos bases de données ou leurs journaux : Opfield ne répond qu’aux demandes ci-dessus et refuse toute autre demande. Le seul paramètre que le compte peut modifier est le client de connexion décrit ci-dessus, et les seuls utilisateurs qu’il peut affecter sont ceux qui se sont connectés avec le compte Opfield, qu’il peut bloquer comme décrit ci-dessus. Opfield répond à au plus huit demandes simultanées et renvoie une erreur lorsqu’une demande dure plus de 14 secondes.

Ce qui est stocké où

Emplacement	Contenu
Base de données d’Opfield	L’identifiant et le secret de la connexion (le secret chiffré avec la clé maîtresse, comme les autres identifiants stockés), l’adresse e-mail et l’URL du compte, et l’heure de connexion ; l’interrupteur Allow remote management avec l’auteur et l’heure de sa modification ; après une déconnexion par le compte, son adresse e-mail, son URL, l’heure et la raison ; le client de connexion émis par le compte, le cas échéant (émetteur, identifiant client, URI de redirection et secret chiffré), conservé à part du fournisseur OIDC pour Use Opfield account ; une demande en attente d’un tel client, avec son URI de redirection et son heure
Journal d’audit d’Opfield	Chaque connexion, déconnexion, modification de l’interrupteur et demande ; voir Journal d’audit
Le compte Opfield	Le code de connexion et le secret de connexion uniquement sous forme d’empreintes SHA-256, l’identifiant, le nom et la version de l’installation, et l’heure à laquelle elle a été vue pour la dernière fois ; le client de connexion émis pour l’installation, le cas échéant

La connexion ne modifie ni la licence ni le plan de l’installation, qui continuent de fonctionner via le service de licences comme décrit dans Plans et droits. Pour les autres connexions sortantes qu’établit Opfield, voir Ce qui quitte une installation auto-hébergée.

Si Opfield ne peut plus déchiffrer le secret stocké, par exemple après un changement de la clé maîtresse, il cesse de se connecter et consigne une erreur. Reconnectez-vous avec un nouveau code.

Journal d’audit

Chaque entrée Cloud a le type de ressource cloud-link, et le journal d’audit nomme sa ressource Opfield account avec l’adresse e-mail du compte :

Action	Enregistrée lorsque
cloud.connect	Opfield s’est connecté, ou n’a pas réussi à se connecter, avec la source (un code collé ou le fichier de provisionnement d’une installation managée)
cloud.disconnect	Un utilisateur Opfield s’est déconnecté, et si le compte l’a confirmé
cloud.disconnected_by_account	Le compte a révoqué la connexion
cloud.remote_management	Allow remote management a été activé ou désactivé
cloud.sso_revoke	Le compte a retiré des accès : la raison et les utilisateurs qu’il a bloqués, trouvés déjà bloqués ou conservés
cloud.request	Le compte a envoyé une demande : son type, le conteneur, la plage de journaux, le nom et le type du nœud ou la version de mise à jour qu’elle désignait, sa réussite et la taille de la réponse
cloud.enroll_file, cloud.managed_sso	Les étapes du premier démarrage d’une installation managée et de la connexion avec le compte Opfield : client de connexion demandé, demande annulée, client reçu ou seulement conservé, secret client remplacé, et client oublié et fournisseur supprimé ou conservé à la fin de la connexion ; jamais avec une clé ou un secret

Les actions et les demandes en échec ont toujours leur propre entrée. Les lectures réussies identiques de même type et du même conteneur dans les 10 minutes qui suivent la première sont comptées au lieu d’être écrites une par une : la première lecture a sa propre entrée, et les répétitions reçoivent une entrée récapitulative avec leur nombre et leurs première et dernière heures lorsque les 10 minutes se terminent, que la connexion s’arrête ou qu’Opfield s’éteint. Un nœud que crée le compte est enregistré avec l’acteur cloud-link. Voir Tâches, événements et audit.

Lorsque le compte est injoignable

Rien dans l’installation ne dépend de la connexion. Opfield continue de fonctionner, de servir le trafic et de gérer les nœuds ; il continue d’essayer de se reconnecter, et l’état affiche reconnecting avec la dernière erreur. Le compte affiche l’installation comme hors ligne après deux minutes sans connexion et ne peut ni la lire ni agir sur elle avant sa reconnexion.

Si vous vous déconnectez alors que le compte est injoignable, Opfield oublie quand même la connexion et vous avertit de déconnecter aussi l’installation dans le compte.

Lorsque la connexion est supprimée

• Déconnexion dans Opfield : Opfield demande au compte de révoquer la connexion, puis oublie l’identifiant de connexion, le secret et l’interrupteur de gestion à distance.
• Déconnexion ou suppression dans le compte : le compte refuse la connexion, et Opfield cesse de se connecter, oublie les identifiants et l’interrupteur, et affiche Disconnected by the account.
• Passage à un autre compte : l’ancienne connexion est remplacée immédiatement, et la gestion à distance repart désactivée.

Dans chaque cas, l’installation, ses ressources et sa licence sont inchangées ; reconnectez-vous avec un nouveau code chaque fois que nécessaire. Après une déconnexion, de l’un ou l’autre côté, Opfield oublie aussi le client de connexion provenant du compte et toute demande en attente d’un tel client. Si l’installation se connectait avec le fournisseur « Opfield account », Opfield le supprime et désactive la connexion OIDC, sauf si aucun administrateur ne pouvait alors se connecter : le fournisseur est conservé, le journal d’audit l’enregistre avec un avertissement, et Settings > Authentication > OIDC provider vous demande de donner à un administrateur une autre méthode de connexion et de le supprimer.

Export et restauration de la configuration

Un export de configuration restauré sur un autre hôte n’est connecté à aucun compte Opfield : la connexion de l’installation exportée est abandonnée, de même que le client de connexion provenant du compte et toute demande en attente d’un tel client. Connectez la copie avec un nouveau code si vous en avez besoin dans votre compte.

L’export d’une installation managée revient sans sa connexion par compte Opfield, qui ne fonctionne qu’à l’adresse du cloud : la connexion OIDC est désactivée, la connexion par mot de passe est activée, et le propriétaire reçoit un lien à usage unique, valable 24 heures, pour définir un mot de passe. L’installateur affiche le lien, et une restauration dans l’assistant de configuration l’affiche sur son dernier écran. Les utilisateurs qui se connectaient avec le compte Opfield ont besoin d’une autre méthode de connexion. La licence reste attachée à l’installation managée : la copie démarre en Community sous un nouvel identifiant d’installation.