Utiliser un assistant IA

Ce que fait un assistant IA relié à BaaStide

Un assistant IA peut utiliser BaaStide par MCP (Model Context Protocol). Il lit l'état des sauvegardes de votre MSP, et il répond à une question en français, par exemple « quelles machines du client Dupont ont échoué cette semaine ».

Avec votre accord, l'assistant agit aussi : il lance une sauvegarde, il restaure des fichiers, et il enrôle une machine.

Vous autorisez l'assistant pour votre propre compte. Votre rôle dans le MSP s'applique toujours à chaque action de l'assistant. L'assistant n'a jamais accès au contenu des sauvegardes.

Prérequis

• Un compte actif dans le MSP.
• Un administrateur du MSP a activé l'accès MCP. Voir Accès MCP.
• L'adresse du serveur MCP. Un administrateur du MSP la copie depuis la page Accès MCP.
• Un assistant qui parle MCP sur HTTP, par exemple Claude Code, claude.ai ou Claude Desktop.

Connecter l'assistant en ligne de commande

Cette procédure vaut pour Claude Code.

1. Ouvrez un terminal.

2. Lancez la commande, avec l'adresse de votre serveur MCP.

   claude mcp add --transport http baastide https://<portail>/mcp

3. Dans Claude Code, tapez /mcp.

4. Choisissez le serveur baastide.

5. Choisissez Authenticate. Votre navigateur s'ouvre sur BaaStide.

6. Donnez votre consentement, comme la section plus bas le décrit.

Connecter l'assistant dans une application

Cette procédure vaut pour claude.ai et pour Claude Desktop.

1. Ouvrez les Paramètres de l'application.
2. Ouvrez Connecteurs.
3. Choisissez Ajouter un connecteur personnalisé.
4. Collez l'adresse de votre serveur MCP, par exemple https://<portail>/mcp.
5. Validez. L'application ouvre BaaStide dans le navigateur.
6. Donnez votre consentement, comme la section plus bas le décrit.

Donner son consentement

BaaStide affiche la page Autoriser une application à utiliser BaaStide ?.

1. Connectez-vous au portail, si la page le demande.
2. Lisez le champ Application. Vérifiez le nom.
3. Lisez le champ Retour vers. Vérifiez l'adresse de retour. Si vous ne la connaissez pas, refusez l'accès.
4. Sous le titre MSP, choisissez le MSP que l'application peut utiliser.
5. Sous le titre Ce que l'application peut faire, lisez les portées. La portée Consulter l'état des sauvegardes est toujours donnée, et vous ne pouvez pas la retirer.
6. Cochez une portée de plus seulement si l'assistant doit agir ou enrôler des machines.
7. Cliquez sur Autoriser l'accès.

Le navigateur revient vers l'application. Elle est connectée.

Pour refuser, cliquez sur Refuser. Le navigateur revient aussi vers l'application, sans accès.

Quand la page affiche un avertissement

Message	Cause	Quoi faire
L'accès MCP est désactivé	Aucun de vos MSP n'a activé l'accès MCP.	Demandez l'activation à un administrateur du MSP, puis cliquez sur Réessayer.
L'accès MCP est désactivé pour ce MSP (sur un MSP de la liste)	Ce MSP n'a pas activé l'accès MCP. Vous ne pouvez pas le choisir.	Choisissez un autre MSP, ou demandez l'activation.
Votre compte n'est lié à aucun MSP	Votre compte n'appartient à aucun MSP.	Seul un utilisateur d'un MSP donne un accès à une application.
Cette demande d'accès n'est pas valide	Le lien est incomplet, ou l'application a envoyé une demande que BaaStide n'accepte pas.	Revenez à l'application et connectez-vous de nouveau.

Ce que l'assistant peut faire

L'assistant ne voit que les outils des portées que vous avez cochées.

Portée	Nom dans le portail	Ce que l'assistant fait
read	Consulter	Lit la santé des sauvegardes, les clients, les endpoints, l'arbre du parc, les tags, les tâches, les points de restauration, les restaurations, les politiques, les actions différées, la consommation de stockage, les règles d'alerte, l'état d'un tenant Microsoft 365, l'état de la licence et le journal d'audit. Avec le droit d'opération du rôle, liste et cherche aussi les noms, chemins, tailles et dates des fichiers d'un point de restauration.
operate	Agir	Lance et annule une sauvegarde. Modifie une politique de fichiers, d'image complète, de SQL Server ou de VM. Renomme un endpoint et pose ses tags. Annule une action différée. Restaure des fichiers vers une machine du même client. Restaure des bases SQL Server sous de nouveaux noms. Restaure OneDrive et SharePoint dans un nouveau dossier de restauration. Restaure une VM ou un conteneur en nouvelle VM. Lance un export PST.
enroll	Enrôler des machines	Crée un client. Crée et révoque un jeton d'enrôlement, et donne les commandes d'installation.

L'assistant demande votre confirmation avant une restauration. Il vous donne d'abord la source, le point de restauration, les chemins et la cible. Pour une restauration Microsoft 365 ou SQL Server, il vous donne d'abord le résultat d'un aperçu.

Par défaut, une restauration de fichiers va dans un dossier daté de la machine cible, et elle n'écrase aucun fichier. L'assistant restaure sur l'emplacement d'origine, ou remplace un fichier modifié, seulement si vous le lui demandez. Voir Restaurer des fichiers.

Quand une recherche trouve plusieurs clients, plusieurs machines ou plusieurs chemins, l'assistant vous demande lequel choisir.

Ce que l'assistant ne peut pas faire

• Ouvrir, lire ou télécharger un fichier d'une sauvegarde. Il ne rend jamais le contenu d'une sauvegarde, ni un lien de téléchargement.
• Lire les lignes de journal d'une tâche, ni le texte libre de son erreur.
• Parcourir une machine en direct, ni mesurer la taille d'une sélection.
• Parcourir ou chercher le contenu d'un tenant Microsoft 365.
• Télécharger un export. Une personne le télécharge dans le portail, après connexion.
• Restaurer vers la machine d'un autre client.
• Remplacer une base SQL Server, restaurer Microsoft 365 en place ou en écrasement, ou remplacer une VM qui existe déjà. Ces trois actions se font dans le portail, par une personne.
• Restaurer une base système SQL Server, ni lire ou changer le compte de connexion SQL Server.
• Restaurer une VM Proxmox qui porte un TPM.
• Préparer un média de restauration ni lancer une restauration bare metal.
• Restaurer sur un partage réseau.
• Supprimer un client ou un endpoint.
• Gérer les utilisateurs, les invitations, les rôles ou la vérification en deux étapes.
• Changer les réglages de l'accès MCP, ni les clés de tag, ni les scripts avant et après une sauvegarde.
• Importer une licence ni exporter une demande de licence hors ligne.
• Raccourcir ou approuver le délai de 72 heures. Il peut seulement annuler une action différée. Voir Délai de 72 heures.
• Poser des tags sur plusieurs endpoints en une fois.

Enrôler une machine avec l'assistant

1. Demandez à l'assistant d'ajouter une machine chez un client.
2. Confirmez le nom exact du client à l'assistant.
3. Lisez les commandes d'installation que l'assistant donne.
4. Lancez la commande sur la machine.

Un jeton d'enrôlement créé par un assistant expire au bout d'une heure, et il sert une seule fois. Voir Jeton d'enrôlement.

Chaque administrateur du MSP qui reçoit les alertes reçoit un email à l'enrôlement. L'email nomme la machine, le client, vous et l'application.

Les sauvegardes de la machine démarrent tout de suite. Par contre, aucun accès MCP ne peut restaurer vers cette machine pendant 24 heures. Pour lever ce délai :

1. Ouvrez la page de l'endpoint dans le portail.
2. Lisez l'avertissement À approuver.
3. Cliquez sur Approuver cette machine.

Ce bouton demande le droit d'opération. Le portail peut toujours restaurer vers la machine, pendant ce délai comme après.

Arrêter l'assistant

1. Retirez le connecteur BaaStide dans votre assistant. L'assistant ne l'appelle plus. Selon l'assistant, cette action peut aussi rendre son accès à BaaStide.
2. Pour être sûr que l'accès est fermé, demandez à un administrateur du MSP de le retirer sur la page Accès MCP. L'assistant s'arrête tout de suite. Voir Accès MCP.

Limites et précautions

• Un accès vaut pour un seul MSP. Pour un autre MSP, donnez un second consentement.
• Votre rôle limite toujours les portées. Un rôle Lecture seule ne donne que la portée Consulter, et il ne parcourt pas un point de restauration.
• Un changement de votre rôle s'applique tout de suite aux actions de l'assistant.
• La portée Enrôler des machines n'est proposée que si un administrateur du MSP a ouvert cette option. Un accès déjà donné ne gagne jamais une portée : refaites un consentement.
• Un jeton d'enrôlement créé par MCP passe par le fournisseur d'IA de l'assistant. Toute personne qui obtient ce jeton peut ajouter une machine au client, jusqu'à l'expiration du jeton.
• Un assistant lit des noms de clients, de machines et de fichiers. Ces noms sortent de BaaStide vers le fournisseur d'IA. Choisissez vos portées en conséquence.
• Chaque appel de l'assistant entre dans le journal d'audit du MSP, sous le nom Appel de l'API via MCP. L'auteur est votre compte. Voir Journal d'audit.
• Un changement de politique qui réduit la protection attend 72 heures, aussi quand l'assistant le demande.
• Une sauvegarde ou une restauration demandée sur un agent trop ancien est refusée. Mettez l'agent à jour. Voir Agent trop ancien.
• Votre accès s'arrête quand un administrateur le retire, quand il désactive l'accès MCP du MSP, quand il vous retire du MSP, et quand il réinitialise votre vérification en deux étapes.
• Un accès dure 30 jours sans renouvellement. Un assistant qui ne sert pas pendant 30 jours doit être reconnecté.

Référence

• Outils MCP, par portée : Outils MCP.
• Outils de lecture : read.
• Outils d'action : operate.
• Outils d'enrôlement : enroll.
• Protocole du serveur MCP : Serveur MCP.