Avant d'installer une instance

Ce que fait une instance installée chez vous

Une instance on-prem fait tourner toute la plateforme BaaStide sur un hôte Docker qui vous appartient : le portail, l'API, le canal des agents, le transport des données de sauvegarde et les versions de l'agent.

Les sauvegardes vont dans votre stockage S3. Les emails partent par votre serveur SMTP. La base de données, le stockage et les clés des dépôts restent chez vous. BaaStide n'y a pas accès. Voir Chiffrement et clés.

Une instance sert un seul MSP.

L'instance n'a pas besoin d'Internet pour sauvegarder et pour restaurer. Elle a besoin d'un accès sortant pour l'installation et pour les mises à jour. Les notifications push, qui sont optionnelles, demandent aussi un accès sortant.

Cette page liste ce qu'il faut préparer. Faites-le avant de commencer Installer l'instance.

Prérequis

• Un accès root sur l'hôte, ou un compte membre du groupe docker.
• Le bundle d'installation et l'accès au registre d'images, que BaaStide vous donne.
• Une licence BaaStide, ou une demande de licence en cours. Voir Comment la licence fonctionne.

Préparer l'hôte

Élément	Valeur
Système	Linux x86_64
Processeur	2 vCPU
Mémoire	4 Go
Disque	40 Go pour la base de données et les journaux, plus 5 Go pour le cache de parcours des points de restauration
Docker	Docker Engine 26 ou plus, avec le greffon Compose 2.30 ou plus
Outils	openssl et tar

Les sauvegardes des clients ne sont pas sur ce disque. Elles sont dans votre stockage S3.

Lancez les commandes de l'installation dans bash. Certaines commandes n'existent pas dans dash ni dans les autres interpréteurs sh simples.

Préparer le réseau

Ouvrez ces flux :

De	Vers	Port
Les agents et les navigateurs du MSP	cet hôte	443 (HTTPS, un seul port pour tout)
Cet hôte	votre point d'accès S3	son port
Cet hôte	votre serveur SMTP	son port (587, 465, …)
Cet hôte	le registre d'images de BaaStide	443, pour l'installation et les mises à jour seulement
Cet hôte	les services de push des navigateurs	443, pour les notifications push seulement (optionnel)

L'instance ne publie que le port HTTPS. La base de données et les services internes de l'instance ne sont jamais publiés sur le réseau.

L'instance bloque une adresse IP source qui échoue plus de 20 fois par minute au contrôle des identifiants d'un agent. Ce contrôle a besoin de l'adresse réelle du client. L'instance obtient cette adresse en IPv4.

IPv6 n'est pas pris en charge dans cette version. En IPv6, tous les clients partagent un même compteur d'échecs : un seul client peut alors bloquer tous les autres.

Préparer les noms DNS

1. Choisissez un nom pour l'instance, par exemple backup.example.com.
2. Créez un enregistrement A de ce nom vers l'adresse IPv4 de l'hôte.
3. Ne créez pas d'enregistrement AAAA pour ce nom.

Les agents et les utilisateurs utilisent toujours ce nom.

Vous pouvez aussi donner un second nom aux données de sauvegarde, par exemple data.backup.example.com. Les agents envoient alors leurs données de sauvegarde à ce second nom. Ce nom doit pointer vers l'hôte et figurer dans le certificat. Ce second nom est optionnel.

Préparer le certificat

Préparez un certificat TLS pour le nom de l'instance. Deux sources sont acceptées :

• votre propre autorité de certification ;
• Let's Encrypt. Le nom doit alors être dans le DNS public, et le port 80 de l'hôte doit être joignable depuis Internet pendant l'émission et à chaque renouvellement.

Préparez aussi le certificat de l'autorité racine de cette chaîne. Les agents épinglent cette autorité racine pour leur canal de contrôle. Chaque machine à protéger doit faire confiance à cette autorité racine. Voir Canal de contrôle et épinglage de la CA.

Préparer le stockage S3

1. Créez un bucket pour les sauvegardes dans votre stockage S3.
2. Créez une clé d'accès. Elle doit pouvoir lister les buckets, et lire, écrire, lister et supprimer les objets de ce bucket.
3. Ne donnez pas à cette clé le droit de créer ni de supprimer des buckets.

Le nom du bucket prend de 3 à 63 caractères : lettres minuscules, chiffres et -, sans point. N'utilisez pas le nom repo : il est réservé, et la plateforme le refuse.

Préparez un second bucket, sur un autre compte ou un autre fournisseur S3, pour la sauvegarde de la plateforme. Ce second bucket se règle après l'installation. Tant qu'il n'est pas réglé, le portail avertit les administrateurs de la plateforme.

Préparer l'envoi des emails

Préparez un serveur SMTP et un compte d'envoi. L'instance envoie les invitations et les alertes avec ce compte. Préparez aussi l'adresse d'expéditeur à afficher, par exemple BaaStide <backup@example.com>.

Préparer les secrets

Pendant l'installation, vous saisissez ces valeurs. Préparez-les avant de commencer.

Secret	Où le trouver
La clé secrète de la clé d'accès S3	votre fournisseur S3
L'URL SMTP avec son mot de passe	votre serveur SMTP
Le certificat de l'instance, ses certificats intermédiaires et sa clé privée	votre autorité de certification, ou Let's Encrypt
Le certificat de l'autorité racine de la chaîne	votre autorité de certification, ou Let's Encrypt
Une seconde clé d'accès S3, pour la racine des buckets	votre fournisseur S3 ; nécessaire seulement avec une licence d'essai

L'installation crée aussi des secrets au hasard, dont la passphrase de la sauvegarde de la plateforme. Préparez un gestionnaire de mots de passe ou un coffre pour garder cette passphrase hors de l'hôte. Chaque sauvegarde de la plateforme est chiffrée avec elle.

Limites et précautions

• Une instance sert un seul MSP. Pour plusieurs MSP, utilisez plusieurs instances, ou le service hébergé par BaaStide.
• Ne publiez pas d'enregistrement AAAA pour le nom de l'instance.
• Sans licence, l'instance démarre, les agents s'enrôlent et les restaurations fonctionnent. Les sauvegardes sont arrêtées. Voir États de la licence et blocages.
• La plateforme garde les clés des dépôts dans sa base de données. Vous êtes responsable de la base, du stockage et des copies des clés. Voir Séquestre des clés.
• Vous êtes responsable du test de vos restaurations. Voir Tester ses restaurations.
• Changez le certificat de l'autorité racine en deux étapes. Un agent reçoit ses empreintes à son enrôlement seulement. Voir Canal de contrôle et épinglage de la CA.