Installer Opfield

L’installateur public prépare l’hôte, installe Docker si nécessaire, démarre la pile Opfield complète et confie la configuration au navigateur. Une première installation normale ne vous demande ni de créer un fichier Compose ni d’installer Docker manuellement.

Choisir une méthode d’installation

Méthode	Idéale pour	Ce que vous examinez et exécutez
Installateur public — recommandé	Le chemin pris en charge le plus court et les mises à jour normales en production	Vous pouvez inspecter l’installateur ou le lancer à blanc ; il installe Docker si nécessaire, vérifie les métadonnées de version signées et crée la pile complète
Installation manuelle	Les revues de sécurité qui n’autorisent pas l’exécution d’un script téléchargé envoyé directement dans un shell	Vous installez Docker, choisissez la version, examinez la base Compose, générez les secrets et démarrez chaque service vous-même ; la vérification des empreintes est facultative

Les deux méthodes déploient la même base Opfield. Choisissez l’installation manuelle sans le script d’installation si votre politique exige que chaque artefact téléchargé et chaque commande soient examinés séparément.

Ce dont vous avez besoin avant de commencer

Choisissez un hôte Linux ou une VM dédiés qui répondent aux exigences de capacité. La configuration automatique de Docker prend en charge les familles Debian, Ubuntu, Fedora, CentOS et RHEL. Il vous faut aussi :

un compte avec un accès root ou un sudo fonctionnel ;
un accès Internet sortant vers le service de mise à jour d’Opfield, le service de licences (license.opfield.dev), les registres de conteneurs et les dépôts de paquets Docker ; Opfield s’enregistre auprès du service de licences après son premier démarrage, et une installation qui détient ou a détenu un plan payant y fait autoriser chaque mise à jour ;
curl et OpenSSL ;
une idée arrêtée de l’URL finale d’Opfield et de l’enregistrement DNS ;
un accès entrant à l’écouteur web et au chemin Relay décrits dans Ports et chemins réseau.

Vous n’avez pas besoin de Docker Engine ni de Docker Compose préinstallés. Si une installation Docker fonctionnelle est présente, l’installateur la réutilise. Sinon, il configure le dépôt de paquets officiel de Docker, installe Docker Engine et le plugin Compose v2, puis démarre le service Docker. Sur les hôtes où des paquets de la distribution ou de compatibilité Podman entrent en conflit, l’étape d’installation de Docker peut remplacer ces paquets ; utilisez donc un hôte dédié à Opfield plutôt qu’une machine portant des charges de travail sans rapport.

Installer Opfield

Connectez-vous à l’hôte choisi et exécutez :

curl -fsSL https://get.opfield.dev | bash

Lors d’une nouvelle installation interactive, choisissez comment Opfield doit écouter sur le port 3000 :

HTTPS interne est l’option par défaut. Opfield utilise un certificat émis par sa propre System CA.
HTTP convient lorsqu’un reverse proxy de confiance termine TLS et que le saut interne est délibérément en clair.

Pour une installation non interactive, HTTPS est sélectionné automatiquement. Vous pouvez rendre ce choix explicite :

# Internal HTTPS, also the default
curl -fsSL https://get.opfield.dev | bash -s -- --https

# HTTP behind a trusted TLS-terminating proxy
curl -fsSL https://get.opfield.dev | bash -s -- --http

Pour inspecter la version signée sélectionnée et les actions prévues sans modifier l’hôte, lancez une exécution à blanc :

curl -fsSL https://get.opfield.dev | bash -s -- --dry-run

Pour servir la console sur un nom public dès le départ, ajoutez ensemble --domain et --acme-email :

curl -fsSL https://get.opfield.dev | bash -s -- --domain console.example.com --acme-email [email protected]

Opfield sert alors la console à l’adresse https://console.example.com sur le port 443, avec un certificat Let’s Encrypt qu’il obtient via HTTP-01 sur le port 80 et qu’il renouvelle lui-même. Le port 80 redirige sinon vers HTTPS, et le port 3000 continue de fonctionner. Tant que le nom ne pointe pas vers cet hôte, la console sur le port 443 utilise le certificat de la System CA. L’URL publique devient https://<domain>.

Pour déplacer une installation existante, --restore <file> installe, dans un nouveau répertoire, la version d’Opfield qui a produit un export de configuration et y restaure cet export ; --public-url et --grpc-target définissent les adresses du nouvel hôte sans invite.

Ce que l’installateur modifie

Le répertoire d’installation par défaut est /opt/opfield, et le projet Compose s’appelle opfield. L’installateur vérifie la version sélectionnée, écrit l’environnement et la base Compose, récupère des images immuables de l’application et de Relay, crée le stockage persistant et démarre Opfield, PostgreSQL, Redis, le membre Relay local et le registre interne privé requis par les processus de build pris en charge. PostgreSQL, Redis et le registre sont épinglés par empreinte et récupérés en priorité depuis le miroir d’images Opfield sur ghcr.io, avec Docker Hub en secours.

Considérez cet hôte comme faisant partie de la base de confiance d’Opfield. L’application reçoit intentionnellement le contrôle de l’hôte Docker pour les mises à jour signées, la reprise, les tâches de maintenance et les services managés facultatifs. Isolez Opfield dans sa propre VM ou sur un hôte de confiance dédié ; n’y placez pas de charges de travail ni d’identifiants sans rapport.

Terminer dans le navigateur

Lorsque la pile devient saine, le terminal affiche :

l’URL à ouvrir ;
l’empreinte de la System CA d’Opfield ;
un code de configuration à usage unique valable 24 heures ;
une commande de réinitialisation qui émet un code de remplacement si la configuration expire.

Le code de configuration en clair n’est affiché qu’une fois et n’est stocké ni dans .env ni dans la base de données. Saisissez-le uniquement dans la page de configuration d’Opfield ; ne le collez pas dans une discussion, un ticket, des journaux ou des captures d’écran. L’assistant du navigateur configure l’URL canonique, les points de terminaison du réseau des nœuds, l’authentification, le premier administrateur, la journalisation structurée et, en option, AI Workspace. La configuration ne nécessite pas de licence payante ; la journalisation structurée reste désactivée tant que la licence ne l’inclut pas (Business et Enterprise).

Poursuivez avec la configuration initiale une fois l’installateur terminé.

Vérifier l’installation

L’installation est terminée lorsque la page de configuration s’ouvre dans le navigateur et que la pile signale des services sains. Pour une vérification au niveau opérateur :

cd /opt/opfield
sudo docker compose ps

Chaque service requis doit être en cours d’exécution. Vous pouvez aussi vérifier le point de terminaison de santé local selon le transport choisi :

curl -kfsS https://127.0.0.1:3000/health
# or, for an HTTP installation:
curl -fsS http://127.0.0.1:3000/health

N’ajoutez pas de nœuds de production tant que l’assistant n’est pas terminé, que l’URL canonique n’est pas correcte et qu’une connexion normale n’a pas réussi.

Si l’installation échoue

Lisez /tmp/opfield-install.log et le dernier message de l’installateur avant de réessayer. Une nouvelle tentative est sûre après avoir corrigé un problème de réseau, de paquets, de disque ou de registre ; l’installateur détecte un déploiement existant géré par lui et préserve la configuration Opfield persistée lors des mises à jour. Une nouvelle installation arrêtée avant d’afficher le code de configuration est reprise par l’exécution suivante au lieu d’être traitée comme un déploiement existant.

Si des services ont été créés mais qu’Opfield n’est pas devenu sain, examinez l’état Compose et des journaux limités depuis /opt/opfield plutôt que de supprimer des volumes ou de régénérer des identifiants. Préservez .env, PostgreSQL, l’identité et l’état de Relay, le volume app_data et la clé de chiffrement maîtresse. Supprimer ces éléments transforme un problème d’installation récupérable en perte de données ou d’identité.