MSP et clés API

Ce que fait la page MSP

La page MSP liste tous les MSP de la plateforme. Un MSP est le prestataire qui gère les sauvegardes de ses clients. Chaque client, chaque endpoint et chaque dépôt appartient à un seul MSP.

Cette page sert à créer un MSP, à lire son état et sa taille, à l'ouvrir pour travailler dedans, et à gérer ses clés API.

Une clé API est la clé d'un service, pas celle d'une personne. Elle appelle l'API REST d'un seul MSP, sans personne devant l'écran. Seul un administrateur de la plateforme la crée, la renouvelle et la révoque.

Prérequis

• Le rôle Administrateur plateforme. Voir Écrans de la plateforme.
• Pour créer un MSP : l'email de son premier administrateur.
• Pour créer une clé API : un MSP à l'état Actif.

La page Rôles et droits décrit les portées d'une clé API et ce qu'une clé ne fait jamais.

Ouvrir la page MSP

1. Dans la barre du haut, cliquez sur Plateforme.
2. Dans le menu des pages de la plateforme, cliquez sur MSP.

Lire la liste des MSP

La page donne une ligne par MSP.

Colonne	Ce qu'elle donne
Nom	Le nom du MSP.
État	Actif, Suspendu ou Supprimé.
Clients / endpoints / dépôts	Le nombre de clients, d'endpoints et de dépôts du MSP.
Volume stocké	La taille des données stockées pour ce MSP.
Création	La date de création du MSP.
Actions	Le bouton Ouvrir, et le menu … avec Clés API et Dépôts.

Un MSP à l'état Supprimé n'a plus le bouton Ouvrir ni l'entrée Clés API. Le menu … garde l'entrée Dépôts.

Créer un MSP

1. Ouvrez la page MSP.
2. En haut à droite, cliquez sur Créer un MSP.
3. Dans Nom, saisissez le nom du MSP. Utilisez de 1 à 100 caractères, sur une ligne.
4. Dans Email du premier administrateur, saisissez l'email de la personne qui va gérer ce MSP.
5. Sous Langue du premier administrateur, choisissez la langue de son invitation. Votre langue est proposée par défaut.
6. Cliquez sur Créer.

Le portail nomme le MSP créé et l'email de l'invitation. Le premier administrateur reçoit une invitation par email. Il suit le lien, choisit un mot de passe, puis se connecte. Son rôle est Administrateur dans ce MSP. Voir Utilisateurs et invitations.

Le nom du MSP entre dans l'objet et dans le texte de cet email. Choisissez un nom lisible.

Ouvrir un MSP pour voir ses données

1. Sur la ligne du MSP, cliquez sur Ouvrir.
2. Le portail vous amène au tableau de bord de ce MSP.

Le MSP devient votre MSP actif. Dans ce MSP, vous avez tous les droits du rôle Administrateur. Voir Administrer son MSP.

Ouvrir les clés API d'un MSP

1. Sur la ligne du MSP, cliquez sur le menu ….
2. Cliquez sur Clés API.

Le titre de la page est Clés API de, suivi du nom du MSP. La page donne une ligne par clé.

Colonne	Ce qu'elle donne
Nom	Le nom de la clé, et les premiers caractères de la clé, par exemple bst_msp_ab12….
Statut	Active, Expirée ou Révoquée.
Droits	Les portées de la clé : Lire, Agir, Parcourir, Bare metal.
Expiration	La date de fin de la clé, ou la date de sa révocation.
Dernière utilisation	La date du dernier appel et l'adresse de l'appelant, ou Jamais.
Adresses autorisées	La liste des adresses permises, ou Toutes les adresses.
Créée par	L'email de la personne qui a créé la clé, et la date.
Actions	Les boutons Renouveler et Révoquer, sur une clé active seulement.

Créer une clé API

1. Ouvrez les clés API du MSP.
2. En haut à droite, cliquez sur Créer une clé API.
3. Dans Nom, saisissez le nom de l'intégration, par exemple le produit de l'intégrateur. Le journal d'audit affiche ce nom.
4. Sous Droits, cochez les portées voulues. Lire est toujours donnée et ne se décoche pas. Agir et Parcourir sont cochées par défaut. Bare metal ne l'est jamais.
5. Sous Expiration, choisissez une durée. 1 an est recommandé, et 2 ans est le maximum.
6. Dans Adresses autorisées, saisissez une adresse IP ou un bloc CIDR par ligne. Laissez ce champ vide pour accepter toutes les adresses.
7. Cliquez sur Créer.

La fenêtre affiche la clé une seule fois. Copiez-la tout de suite avec le bouton Copier, puis transmettez-la à l'intégrateur de façon sûre. Quand vous fermez la fenêtre, la clé n'est plus jamais affichée.

L'intégrateur envoie cette clé dans l'en-tête Authorization: Bearer <clé>.

Renouveler une clé API

Renouvelez une clé avant son expiration, ou quand vous pensez qu'elle a fuité.

1. Ouvrez les clés API du MSP.
2. Sur la ligne de la clé, cliquez sur Renouveler.
3. Lisez la fenêtre de confirmation.
4. Cliquez sur Renouveler.

Le portail crée une nouvelle clé, avec le même nom, les mêmes droits et les mêmes adresses. La nouvelle clé est valable 1 an. Le portail l'affiche une seule fois : copiez-la tout de suite.

L'ancienne clé continue de fonctionner jusqu'à sa révocation ou son expiration. Donnez la nouvelle clé à l'intégrateur, vérifiez que ses appels passent, puis révoquez l'ancienne clé.

Révoquer une clé API

1. Ouvrez les clés API du MSP.
2. Sur la ligne de la clé, cliquez sur Révoquer.
3. Lisez la fenêtre de confirmation.
4. Cliquez sur Révoquer.

Les appels faits avec cette clé échouent tout de suite. Vous ne pouvez pas annuler cette action. La ligne de la clé reste dans la liste, avec le statut Révoquée et la date de la révocation.

Si cette clé a réclamé un média de restauration bare metal, et qu'elle ne l'a pas encore approuvé, cet appairage est annulé.

Suspendre et réactiver un MSP

Les écrans de la plateforme ne suspendent pas un MSP. La suspension et la réactivation passent par l'API, avec une clé de provisionnement, et seulement pour un MSP créé avec cette clé. La colonne État de la page MSP donne le résultat.

Un MSP suspendu garde ses données, ses points de restauration et ses clés de dépôt.

• Il ne lance plus de sauvegarde. Les sauvegardes déjà planifiées sont annulées, et le planificateur n'en crée plus.
• Une sauvegarde en cours au moment de la suspension se termine normalement.
• Ses clés API reçoivent un refus sur toutes les routes, sauf la lecture de son propre MSP.
• Ses utilisateurs se connectent encore au portail, et les restaurations restent possibles.

Après la réactivation, les politiques sont planifiées à partir de la réactivation. Les sauvegardes de la période de suspension ne sont pas rattrapées.

Limites et précautions

• Une instance installée chez vous n'accepte qu'un seul MSP. La création d'un deuxième MSP est refusée, avec le message « Cette installation n'accepte qu'un seul MSP. ». Voir Première configuration.
• Un MSP a au plus deux clés vivantes. Une troisième création est refusée, avec le message « Ce MSP a déjà deux clés API actives. Révoquez-en une d'abord. ». Deux clés permettent un renouvellement sans coupure.
• Un renouvellement crée une clé de plus. Avec deux clés vivantes, le renouvellement est refusé avec le même message. Révoquez d'abord une clé.
• Une clé API est un secret. Le portail n'en garde aucune copie lisible. Si la clé est perdue, renouvelez-la : vous ne pouvez pas la retrouver.
• Une clé API n'atteint jamais une route de la plateforme. Elle ne crée ni ne lit une autre clé, elle ne gère pas les utilisateurs, et elle ne touche jamais un autre MSP.
• La portée Bare metal permet à un média de restauration de lire les données d'une machine. Donnez-la seulement quand l'intégrateur en a besoin.
• Limitez chaque clé à la liste des adresses de l'intégrateur. Une clé sans liste accepte toutes les adresses.
• Les écrans de la plateforme ne suppriment pas un MSP.
• La page Clés API d'un MSP qui n'est pas actif affiche le message « Ce MSP n'est pas actif. Ses clés ne fonctionnent pas et vous ne pouvez pas créer de clé. ».

Référence

• API REST : Suspend provisioned msp et Reactivate provisioned msp.