Configuration initiale

Pour les comptes externes, consultez la vue d’ensemble des intégrations afin de choisir l’hébergement, Git, SSH ou Cloudflare. Ne configurez que les connexions nécessaires à votre premier processus ; un compte chez un fournisseur n’est pas requis pour l’enrôlement manuel des nœuds.

L’assistant de configuration crée le premier administrateur et établit la posture de sécurité initiale de l’instance Opfield. Terminez-le depuis l’URL HTTPS canonique une fois les services du plan de contrôle sains. N’exécutez pas l’assistant via une adresse IP temporaire pour passer ensuite à un autre nom d’hôte : les cookies du navigateur, les redirections, les liens générés et la configuration du fournisseur d’identité dépendent d’une origine cohérente.

La personne qui effectue la configuration détient temporairement l’opération la plus privilégiée de l’installation. Utilisez un poste d’administration maîtrisé, évitez le partage d’écran et gardez le code de configuration fourni par l’installateur confidentiel jusqu’à ce qu’il ait été utilisé.

Avant d’ouvrir l’assistant

Vérifiez que :

l’URL canonique se charge sans avertissement de certificat ;
l’application Opfield, PostgreSQL, Redis et Relay sont sains ;
le fournisseur d’authentification prévu est joignable à la fois depuis le navigateur et depuis Opfield ;
l’envoi d’e-mails fonctionne avant de choisir les codes à usage unique par e-mail comme méthode de connexion obligatoire ;
l’adresse et l’identité du premier administrateur sont correctes ;
une deuxième personne de confiance ou une procédure d’urgence (break-glass) documentée assurera la couverture de reprise.

Si OIDC doit être la méthode principale, créez le client dans le fournisseur d’identité avec l’URI de redirection exacte indiquée par Opfield. Le schéma, le nom d’hôte, le chemin et le port doivent correspondre. Ne devinez pas l’URL de rappel et ne la normalisez pas via une redirection de proxy supplémentaire.

Terminer la configuration initiale

Ouvrez l’URL canonique d’Opfield et saisissez le code de configuration valide.
Vérifiez l’URL publique et les paramètres réseau détectés. Arrêtez-vous si l’origine externe affichée n’est pas l’adresse qu’ouvriront les utilisateurs.
Choisissez au moins une méthode de connexion : OIDC, mot de passe local ou code à usage unique par e-mail. L’assistant demande ensuite le fournisseur OIDC et, pour le mot de passe ou le code par e-mail, la configuration d’envoi des e-mails.
Créez le premier administrateur et vérifiez l’identifiant du compte avant de valider. Si plusieurs méthodes de connexion sont activées, choisissez aussi la façon dont l’administrateur se connecte.
Choisissez la journalisation structurée : désactivée, ClickHouse local managé ou ClickHouse externe. Les deux options de stockage nécessitent le plan Business ; sans lui, laissez la journalisation désactivée et activez-la plus tard dans Settings.
Consultez Review configuration et appliquez la configuration. L’assistant demande ensuite une clé de licence ou Continue with Community, et propose enfin AI Workspace, que vous pouvez ignorer.
Terminez la configuration et connectez-vous par la page de connexion normale au lieu de continuer à vous appuyer sur l’état d’amorçage.
Stockez le matériel de reprise dans le système de secrets approuvé et invalidez toute copie temporaire.

Une configuration réussie consomme le chemin d’amorçage. Le code de configuration n’est pas un identifiant d’administration permanent et ne doit pas être conservé en remplacement d’un compte de reprise.

Choisir l’authentification en connaissance de cause

OIDC est généralement le choix principal lorsqu’une organisation exploite déjà un fournisseur d’identité. Il centralise le cycle de vie des identités et les politiques, mais Opfield applique toujours ses propres groupes et scopes après l’authentification. Testez la connexion et la déconnexion, le mappage des claims, la correspondance des comptes et le comportement en cas d’indisponibilité du fournisseur avant d’en faire le seul chemin d’administration.

Le mot de passe local est utile pour les installations autonomes et pour un compte d’urgence contrôlé. Appliquez une politique de mot de passe fort et de MFA, limitez le nombre de personnes qui connaissent l’existence du compte et testez-le régulièrement sans l’utiliser pour le travail courant.

Le code à usage unique par e-mail dépend d’un envoi d’e-mails fiable et d’une configuration de livraison correcte. Un test réussi du fournisseur ne suffit pas : vérifiez qu’un vrai code atteint la boîte aux lettres prévue et qu’un échec de livraison ne bloque pas tous les administrateurs.

Les passkeys s’enregistrent une fois le compte principal créé et peuvent servir de facteur fort compatible MFA. Enregistrez plusieurs authentificateurs adaptés lorsque la politique le permet et documentez la récupération du compte en cas de perte d’un appareil.

Opfield ne prend pas encore en charge SCIM. Le provisionnement SCIM est prévu, mais aucune date de sortie n’est garantie. En attendant, gérez les utilisateurs et les groupes dans Opfield, ou automatisez le processus d’administration pris en charge via l’API REST avec un client OAuth limité si votre système d’identité peut appeler des API externes. La connexion OIDC prouve l’identité ; elle ne provisionne pas et ne retire pas, à elle seule, les accès Opfield.

Établir la base d’administration

Immédiatement après la première connexion réussie :

créez ou vérifiez un deuxième chemin de reprise administratif ;
configurez la MFA là où la politique de l’organisation l’exige, dans Settings > Authentication ;
ouvrez Profile > Authorizations, examinez les sessions actives et révoquez les sessions d’amorçage ou de test devenues inutiles ;
configurez des groupes à privilèges minimaux avant d’inviter des utilisateurs ordinaires ;
vérifiez l’état de la licence et les paramètres des fonctionnalités activées ;
configurez des notifications pour les pannes du plan de contrôle et des nœuds ;
créez une sauvegarde chiffrée et confirmez que la clé de chiffrement des secrets fait partie de la procédure de reprise ;
consignez l’URL canonique, la responsabilité du fournisseur d’identité et la procédure d’accès d’urgence dans le runbook des opérateurs.

Ne donnez pas le rôle d’administrateur système à des opérateurs ordinaires simplement pour démarrer. Les accès limités aux ressources peuvent être mis en place avant la première charge de travail de production et sont plus faciles à maîtriser que le retrait ultérieur d’accès étendus.

Vérifier et rétablir en toute sécurité

Utilisez une nouvelle session de navigation privée pour confirmer le chemin de connexion normal. Vérifiez que le premier administrateur peut se connecter, valider la MFA, atteindre Profile et ne voir que les autorisations attendues. Si OIDC est configuré, confirmez aussi la déconnexion et une seconde connexion, afin qu’une session d’amorçage en cache ne masque pas un problème de redirection.

Si l’assistant refuse le code de configuration, vérifiez qu’il n’a pas expiré ou n’a pas déjà été utilisé, et que le navigateur atteint bien l’instance qui l’a généré. Si l’assistant tourne en boucle ou perd la session, examinez l’URL canonique, l’hôte et le schéma transmis (forwarded), la sécurité des cookies et la synchronisation de l’heure. S’il échoue après avoir écrit une partie de la configuration, examinez les journaux de l’application et des migrations avant de réessayer ; ne supprimez pas la base de données et ne générez pas une nouvelle installation simplement pour débloquer la page.

Une fois l’administration normale et la reprise vérifiées, poursuivez avec Ajouter votre premier nœud.