Opfield Cloud

Opfield Cloud подключает установку Opfield к вашему аккаунту Opfield по адресу https://account.opfield.dev. Подключённая установка держит одно исходящее соединение с аккаунтом. Через него аккаунт читает сведения о работе установки, а если вы разрешите — выполняет несколько действий по обслуживанию. Установка по-прежнему работает на ваших серверах: ресурсы, ноды, секреты и данные остаются на своих местах.

Подключение необязательно: все функции Opfield работают без него. Установка подключается в Settings > General, в блоке Cloud. Подключение доступно на всех тарифах, включая Community, и его можно разорвать в любой момент. См. Подключение установки.

Что даёт подключение

Что видно и доступно в аккаунте Opfield	Нужно Allow remote management
Состояние установки: имя хоста, время работы, версия Opfield, загрузка процессора, средняя нагрузка, использование памяти и диска, а также состояние каждого собственного контейнера Opfield	Нет
Последние строки журналов собственных контейнеров Opfield	Нет
Доступно ли обновление Opfield и на каком канале	Нет
Одноразовый токен подключения ноды вместе с командой установки — такой же, какой выдаёт Nodes > Add Node, для любого типа ноды, который там предлагается	Да
Запуск обновления Opfield, которое предлагает Settings > General	Да
Код первичной настройки — только до первичной настройки, пока в установке нет пользователей	Да
Клиент входа, чтобы пользователи входили в установку кнопкой Sign in with Opfield account; только после того как администратор запросил его кнопкой Use Opfield account	Нет

Переключатель Allow remote management по умолчанию выключен; администратор включает его в блоке Cloud. Пока он выключен, аккаунт может только читать и ответить на запрос клиента входа, который сделал администратор. Аккаунт не может открыть консоль, изменить ресурсы, прочитать секреты или увидеть ваши рабочие нагрузки, маршруты и базы данных: соединение отвечает только на перечисленные выше запросы. См. Данные и безопасность Cloud.

Кто может подключать

Блок Cloud появляется в Settings > General у пользователей со скоупом license:manage. Этот же скоуп нужен, чтобы подключить и отключить установку и включить или выключить удалённое управление. Для чтения состояния подключения через REST API или MCP достаточно license:view. AI-ассистент и MCP-клиенты работают с теми же скоупами через get_cloud_status и manage_cloud; см. Подключение установки и Справочник скоупов.

Управляемые установки

Управляемое облако — аддон к тарифам Personal и Business, который продаётся вместе с лицензионным ключом в аккаунте Opfield. Управляемая установка работает на виртуальной машине, которую для вас создаёт Opfield Cloud. При первом запуске она сама подключается к своему аккаунту и активирует свой лицензионный ключ. Если при её создании указан владелец аккаунта, она также запускается уже настроенной, без мастера настройки:

задаётся публичный адрес (и публичный адрес gRPC, если он ещё не задан);
добавляется OIDC-провайдер «Opfield account»;
владелец аккаунта становится первым системным администратором и входит кнопкой Sign in with Opfield account;
первичная настройка отмечается завершённой.

Эти шаги выполняются вместе или не выполняются вовсе; если один из них не удался, установка остаётся на обычном входе по коду настройки.

Управляемая установка остаётся привязанной к облаку, в котором работает:

Блок Cloud показывает Managed by Opfield Cloud. Кнопок Switch account и Disconnect нет, а вместо переключателя удалённого управления показано Managed by the cloud: оно всегда включено.
Лицензией управляет аккаунт Opfield: Update license и Deactivate недоступны.
Нельзя изменить публичный адрес, адреса gRPC, по которым подключаются ноды, внутренний HTTPS, настройки доверия сети (источник IP-адреса клиента, доверенные прокси, заголовки Cloudflare) и адрес, на который проксируется страница статуса. Вход к облаку не привязан: он работает так же, как в самостоятельно размещённой установке; см. следующий раздел.

Вход в управляемую установку

Провайдер «Opfield account» — обычный OIDC-провайдер, и способ входа выбираете вы:

В Settings > Authentication > OIDC provider провайдер «Opfield account» можно переименовать, изменить, удалить кнопкой Remove или заменить своим SSO; см. Подключите свой SSO. OIDC-провайдер в установке один, поэтому свой SSO встаёт на место аккаунта Opfield.
В Sign-in methods можно выключить вход через OIDC и пользоваться Email and password или Email sign-in code (для них нужен подтверждённый SMTP).
В Administration > Users > Configure User можно перевести владельца на другой способ входа.

Других пользователей добавляйте в Administration > Users — с паролем, кодом по почте или через OIDC у текущего провайдера. Пользователи, входившие через аккаунт Opfield, включая владельца, остаются привязаны к нему: после перехода на свой SSO смените им Sign-in method на другой способ и обратно на OIDC, и при следующем входе они привяжутся к новому провайдеру.

Здесь действует то же правило, что и в любой установке: Opfield отклоняет изменение, после которого ни один администратор не сможет войти (LAST_ADMIN_SIGN_IN). Если владелец — единственный администратор, сначала дайте ему или другому администратору способ, который останется включённым, например вход по почте и паролю, и войдите им.

Кнопка Use Opfield account на панели OIDC provider в любой момент возвращает вход через аккаунт Opfield. Она восстанавливает провайдер «Opfield account» с клиентом, который Opfield Cloud создал для установки, — вместо вашего провайдера — и включает вход через OIDC. Opfield хранит этого клиента отдельно от провайдера, поэтому он сохраняется, даже если провайдер изменили или удалили. Кнопка видна, пока установка использует другой провайдер или не использует никакого. API: PUT /api/admin/auth-settings с полем oidcProviderAction: "opfield_account"; MCP и ассистент: update_opfield_settings с тем же полем. Состояние возвращается в настройках, в поле opfieldAccountSignIn.

Провайдер остаётся «Opfield account», пока у него издатель и идентификатор клиента от облака; с другим издателем или идентификатором клиента он становится вашим собственным. Аккаунт Opfield может заменить секрет клиента через соединение:

Пока установка входит через провайдер «Opfield account», новый секрет заменяет секрет провайдера и сохранённую копию клиента; Opfield хранит его в зашифрованном виде.
Если вы удалили провайдер или заменили его своим, установка отклоняет новый секрет (OPFIELD_ACCOUNT_PROVIDER_MISSING) и ничего не меняет. Ваш вход не затрагивается, прежний секрет в аккаунте остаётся действительным, и Use Opfield account продолжает работать.

Переустановка с новым клиентом от облака сохраняет ваш выбор: если провайдер удалён или вы используете свой, так и остаётся, а новый клиент только сохраняется для Use Opfield account.

Самостоятельно размещённая установка, подключённая к Opfield Cloud, тоже может входить через аккаунт Opfield: Use Opfield account запрашивает у аккаунта клиента входа. См. Вход через аккаунт Opfield.

Связанные страницы

Подключение установки: код, блок Cloud, удалённое управление, смена аккаунта и отключение.
Данные и безопасность Cloud: что передаётся через соединение, что где хранится, журнал аудита и что происходит, когда аккаунт недоступен.
Планы и права по тарифу: тарифы и служба лицензирования, которые работают отдельно от подключения к Cloud.