Opfield Cloud

Opfield Cloud relie une installation Opfield à votre compte Opfield à l’adresse https://account.opfield.dev. Une installation connectée maintient une connexion sortante vers le compte. Par cette connexion, le compte lit la santé de l’installation et, si vous l’autorisez, exécute quelques actions de maintenance. L’installation continue de s’exécuter sur vos serveurs comme avant : vos ressources, nœuds, secrets et données restent là où ils sont.

La connexion est facultative : chaque fonctionnalité d’Opfield fonctionne sans elle. Vous connectez une installation dans Settings > General, dans le bloc Cloud. Cela fonctionne avec tous les plans, y compris Community, et vous pouvez vous déconnecter à tout moment. Voir Connecter une installation.

Ce qu’apporte une installation connectée

Dans le compte Opfield	Nécessite Allow remote management
L’état de l’installation : nom d’hôte, temps de fonctionnement, version d’Opfield, utilisation du CPU, de la charge, de la mémoire et du disque, et l’état de chacun des conteneurs propres à Opfield	Non
Les derniers journaux des conteneurs propres à Opfield	Non
Si une mise à jour d’Opfield est disponible, et sur quel canal	Non
Un jeton d’enrôlement de nœud à usage unique avec sa commande d’installation, tel que le produit Nodes > Add Node, pour tout type de nœud proposé par Add Node	Oui
Le lancement de la mise à jour d’Opfield que propose Settings > General	Oui
Un code de configuration du premier administrateur, uniquement avant la configuration initiale, tant que l’installation n’a aucun utilisateur	Oui
Un client de connexion, afin que les utilisateurs se connectent à l’installation avec Sign in with Opfield account ; uniquement après qu’un administrateur l’a demandé avec Use Opfield account	Non

Allow remote management est désactivé par défaut ; un administrateur l’active dans le bloc Cloud. Tant qu’il est désactivé, le compte ne peut que lire, et répondre à une demande de client de connexion émise par un administrateur. Le compte ne peut ni ouvrir de console, ni modifier des ressources, ni lire des secrets, ni voir vos charges de travail, vos Routes ou vos bases de données : la connexion ne répond qu’aux demandes ci-dessus. Voir Données et sécurité du Cloud.

Qui peut se connecter

Le bloc Cloud apparaît dans Settings > General pour les utilisateurs disposant du scope license:manage. Le même scope permet de connecter, de déconnecter et d’activer ou de désactiver la gestion à distance. La lecture de l’état de la connexion via l’API REST ou MCP nécessite license:view. L’assistant d’IA et les clients MCP utilisent les mêmes scopes via get_cloud_status et manage_cloud ; voir Connecter une installation et la Référence des scopes.

Installations managées

Le cloud managé est une option des plans Personal et Business, vendue avec la clé de licence dans votre compte Opfield. Une installation managée s’exécute sur une VM qu’Opfield Cloud crée pour vous. Elle se connecte d’elle-même à son compte au premier démarrage et active sa clé de licence. Lorsque son provisionnement nomme le propriétaire du compte, elle démarre aussi déjà configurée, sans l’assistant de configuration :

l’URL publique est définie (ainsi que la cible gRPC publique, lorsqu’elle n’est pas encore définie) ;
un fournisseur OIDC nommé « Opfield account » est ajouté ;
le propriétaire du compte devient le premier administrateur système et se connecte avec Sign in with Opfield account ;
la configuration est marquée comme terminée.

Ces étapes réussissent toutes ensemble ou pas du tout ; si l’une échoue, l’installation reste sur le processus habituel du code de configuration.

Une installation managée reste liée au cloud qui l’exécute :

Le bloc Cloud affiche Managed by Opfield Cloud. Il n’y a ni Switch account ni Disconnect, et la gestion à distance affiche Managed by the cloud au lieu d’un interrupteur : elle est toujours activée.
La licence est gérée par le compte Opfield : Update license et Deactivate ne sont pas disponibles.
L’URL publique, les adresses gRPC auprès desquelles les nœuds s’enrôlent, le HTTPS interne, les paramètres de confiance réseau (source de l’IP client, proxys de confiance, en-têtes Cloudflare) et l’URL d’upstream de la page de statut ne peuvent pas être modifiés. La connexion des utilisateurs n’est pas liée au cloud. Elle fonctionne comme sur une installation auto-hébergée ; voir la section suivante.

Connexion sur une installation managée

Le fournisseur « Opfield account » est un fournisseur OIDC ordinaire, et c’est vous qui décidez comment les personnes se connectent :

Dans Settings > Authentication > OIDC provider, vous pouvez renommer ou modifier le fournisseur « Opfield account », le supprimer avec Remove ou le remplacer par votre propre SSO ; voir Connecter votre fournisseur SSO. L’installation n’a qu’un seul fournisseur OIDC ; votre propre SSO remplace donc le compte Opfield.
Dans Sign-in methods, vous pouvez désactiver la connexion OIDC et utiliser Email and password ou Email sign-in code (ils nécessitent un SMTP vérifié).
Dans Administration > Users > Configure User, vous pouvez faire passer le propriétaire à une autre méthode de connexion.

Ajoutez d’autres utilisateurs depuis Administration > Users avec un mot de passe, un code par e-mail ou OIDC via le fournisseur utilisé. Les utilisateurs qui se sont connectés avec le compte Opfield, y compris le propriétaire, y restent liés : après être passé à votre propre SSO, définissez leur Sign-in method sur une autre méthode puis de nouveau sur OIDC afin qu’ils soient liés au nouveau fournisseur lors de leur prochaine connexion.

La règle de toute installation s’applique ici aussi : Opfield refuse un changement après lequel aucun administrateur ne pourrait se connecter (LAST_ADMIN_SIGN_IN). Si le propriétaire est le seul administrateur, donnez d’abord au propriétaire, ou à un autre administrateur, une méthode qui reste active, par exemple e-mail et mot de passe, et connectez-vous avec elle.

Use Opfield account, dans le panneau OIDC provider, rétablit à tout moment la connexion avec le compte Opfield. Il remet en place le fournisseur « Opfield account » avec le client qu’Opfield Cloud a créé pour l’installation, à la place de votre propre fournisseur, et active la connexion OIDC. Opfield conserve ce client à part du fournisseur ; il survit donc à la modification ou à la suppression du fournisseur. Le bouton est affiché tant que l’installation utilise un autre fournisseur ou aucun. API : PUT /api/admin/auth-settings avec oidcProviderAction: "opfield_account" ; MCP et assistant : update_opfield_settings avec le même champ. Les paramètres indiquent l’état dans opfieldAccountSignIn.

Le fournisseur reste « Opfield account » tant qu’il conserve l’émetteur et l’identifiant client du cloud ; un autre émetteur ou identifiant client en fait votre propre fournisseur. Le compte Opfield peut remplacer le secret client via la connexion :

Tant que l’installation se connecte avec le fournisseur « Opfield account », le nouveau secret remplace celui du fournisseur ainsi que la copie conservée ; Opfield le stocke chiffré.
Après que vous avez supprimé le fournisseur ou l’avez remplacé par le vôtre, l’installation refuse le nouveau secret (OPFIELD_ACCOUNT_PROVIDER_MISSING) et ne modifie rien. Votre connexion n’est pas touchée, le secret précédent reste valide dans le compte, et Use Opfield account continue de fonctionner.

Une réinstallation qui apporte un nouveau client depuis le cloud conserve votre choix : si vous avez supprimé le fournisseur ou utilisez le vôtre, cela reste ainsi, et le nouveau client n’est conservé que pour Use Opfield account.

Une installation auto-hébergée connectée à Opfield Cloud peut aussi se connecter avec le compte Opfield : Use Opfield account demande au compte un client de connexion. Voir Se connecter avec le compte Opfield.

Pages associées

Connecter une installation : le code, le bloc Cloud, la gestion à distance, le changement de compte et la déconnexion.
Données et sécurité du Cloud : ce qui transite par la connexion, ce qui est stocké où, le journal d’audit et ce qui se passe lorsque le compte est injoignable.
Plans et droits : les plans et le service de licences, qui fonctionnent indépendamment de la connexion Cloud.