ARDNTECH | Samostalni hosting ARDNTECH · Docker, Kubernetes, air-gap

02 / Motivacije

Zašto samostalno hostirati upravitelja lozinki ?

Četiri različite motivacije navode organizaciju da sama vodi svoj B2B trezor umjesto pretplate na ARDNTECH SaaS Cloud. Sve ostaju kompatibilne s naknadnim prelaskom u slučaju promjene internih ograničenja.

Radikalna kontrola podataka

Air-gap moguć, stroga mrežna izolacija, interni DMZ, potpuna odsutnost izlazne telemetrije. Šifrirani podaci nikada ne napuštaju perimetar koji definirate. Nijedna treća strana ne može zahtijevati pristup vašoj instanci.

Sektorska sukladnost olakšana

Postavljanje kod hosta već kvalificiranog za SecNumCloud, HDS, ili sa zahtjevima NIS2 i OIV. Aplikacijski sloj ostaje identičan, sukladnost hostinga nosi infrastruktura po vašem izboru.

AGPL-3.0 kod provjerljiv

Javni repozitorij pokriva cijeli aplikacijski kod, sve do kriptografskih primitiva. OpenPGP.js v6, Argon2id, AES-256-GCM SEIPDv2, HMAC-SHA-256 : svaki izbor algoritma je čitljiv i provjerljiv.

Nulti trošak softvera

Licenca AGPL-3.0 je besplatna. Plaćate samo infrastrukturu (compute, pohrana, propusnost) i interno vrijeme operacija. Za strukture čiji je ops tim već dimenzioniran, TCO postaje konkurentan već od nekoliko desetaka aktivnih sjedala.

03 / Usporedba

Self-host nasuprot ARDNTECH SaaS Cloud.

Nijedna softverska funkcionalnost nije rezervirana za Cloud način rada. Ono što se razlikuje jest tko vodi infrastrukturu i tko nosi ugovorna jamstva. Donja tablica sažima petnaest dimenzija koje strukturiraju odluku.

Dimenzija	Self-host	ARDNTECH SaaS Cloud
Izvorni kod	AGPL-3.0, potpun pristup, fork dopušten	AGPL-3.0, potpun pristup, fork dopušten
Cijena softvera	0 €	0 € do 7 €/sjedalo/mjesec ovisno o planu
Hosting	Klijent (vlastita infrastruktura, IaaS po izboru, namjenski podatkovni centar)	ARDNTECH (europski suvereni host)
Početno postavljanje	Na teret klijenta (Docker Compose ili Kubernetes)	Uključeno, automatizirano (provisioning u nekoliko minuta)
Održavanje OS-a i runtimea	Na teret klijenta	Uključeno
Sigurnosne kopije	Na teret klijenta (dokumentiran postupak)	Uključeno, dnevni šifrirani snapshotovi
Ažuriranja	Na teret klijenta (tagirana Docker slika, dostavljen plan nadogradnje)	Uključeno, najavljeni prozor održavanja
SLA dostupnost	Nikakav (klijent vodi svoju infrastrukturu)	Best effort (Free), 99,5 % (Business), pregovaran (Enterprise)
Podrška	Zajednica (forum, GitHub issues)	Zajednica + e-mail radni dan +1 (Business) + telefon (Enterprise)
Multi-organizacija	Da (compte-pivot, granularni RBAC)	Da (compte-pivot, granularni RBAC)
DPA	Nije primjenjivo (klijent je voditelj obrade)	Standardizirani DPA (Business) ili pregovaran (Enterprise)
Sukladnost	Na teret klijenta	Kvalificirani host, ciljana SecNumCloud putanja
Tipičan cilj	Uredi za kibernetičku sigurnost sa zrelim operacijama, OIV, organizacije koje već imaju dimenzioniran ops tim	Mikropoduzeća, MSP, srednja poduzeća, uredi bez posvećenog ops tima, organizacije koje radije plaćaju da ne moraju voditi
Ukupan trošak vlasništva	Promjenjiv : 0 € licenca + interno vrijeme + infrastruktura	Predvidiv : pretplata po sjedalu, sve uključeno
Air-gap	Podržano (bez izlazne telemetrije po zadanom)	Nije primjenjivo (instancu vodi ARDNTECH)

Čitanje tablice. Za tim s manje od pedeset aktivnih sjedala bez posvećenog ops tima, SaaS Cloud je često racionalan izbor. Iznad toga, ili ako je infrastrukturna suverenost regulatorni ili ugovorni zahtjev, self-host postaje relevantan. Obje migracije su predviđene i dokumentirane.

04 / Preduvjeti

Tehnički preduvjeti.

Samo tri preduvjeta, svi standardni u modernom poslužiteljskom okruženju. Nijedna obvezna usluga treće strane u izvršavanju, nijedan nestandardni izlazni port, nijedan vlasnički protokol.

Linux poslužitelj i container runtime

Linux poslužitelj x86_64 ili ARM64 s Dockerom 24 ili novijim i Docker Composeom v2. Debian, Ubuntu LTS, Red Hat Enterprise Linux i njihovi derivati kontinuirano se testiraju. Container runtime radi jednako dobro na namjenskom virtualnom stroju kao i na upravljanom Kubernetesu.

Dimenzioniranje

2 vCPU i 4 GB RAM-a dovoljni su za pedeset aktivnih korisnika. Za petsto korisnika, predvidite 8 vCPU i 16 GB RAM-a. Pohrana ovisi o broju tajni : računajte oko 100 MB baze po tisuću tajni, plus zadržavanje revizijskih logova prema vašem planu.

Naziv domene i TLS certifikat

Naziv domene i valjan TLS certifikat. Let's Encrypt je dokumentiran i radi bez posebne konfiguracije. Nikakav nestandardni izlazni port nije potreban. Air-gap postavljanje moguće je bez izmjene aplikacijskog koda : instanca ne konzultira nijednu vanjsku uslugu u runtimeu.

05 / Instalacija

Instalacija u pet minuta.

Tri podržane varijante postavljanja, od POC-a neovisnog ureda do multi-AZ produkcije operatera od vitalnog značaja. Isti kod, tri orkestracije.

Varijanta 1 - Docker Compose

Preporučeno za POC-ove, male timove i razvojna okruženja. Jedan stroj, lokalna postojanost ili mrežni volumen, postavljanje jednom naredbom.

git clone https://github.com/aegirex/aegirex.git
cd aegirex
make install
# generira tajne, builda sliku iz Dockerfilea repozitorija,
# primjenjuje migracije i pokreće sve usluge.
# Instanca je dostupna na http://localhost:8280

Build iz izvora po zadanom. Ono što radi u produkciji točno je ono što se nalazi u git log : bez crne kutije registra, bez ovisnosti o Docker Hub računu treće strane. Datoteke composer.lock i importmap.lock pinniraju verzije i SHA otiske ovisnosti ; kompromitirani Packagist ili CDN slomili bi build umjesto da tiho ubace payload. Za ops timove u žurbi, varijanta make install-from-registry pulla unaprijed izgrađenu sliku potpisanu našim CI-jem.

Varijanta 2 - Kubernetes

Preporučeno u produkciji, na upravljanom ili samostalno upravljanom klasteru. Dostavljeni službeni manifesti i Helm chart. Kompatibilno s Kubernetes klasterima operatera kvalificiranih za SecNumCloud (OVHcloud, Outscale, Cloud Temple, NumSpot).

helm repo add aegirex https://charts.aegirex.eu
helm repo update
helm install aegirex aegirex/aegirex \
  --namespace aegirex --create-namespace \
  --values values.production.yaml
kubectl -n aegirex rollout status deployment/aegirex-app
kubectl -n aegirex exec deploy/aegirex-app -- bin/console doctrine:migrations:migrate

Varijanta 3 - Air-gap

Preporučeno za okruženja radikalne suverenosti : OIV, obrana, klasificirano istraživanje. Bez izlazne veze, ručne sigurnosne kopije, ažuriranja putem internog zrcalnog registra.

# na povezanom uređaju
docker pull ghcr.io/aegirex/aegirex:v1.4.2
docker save ghcr.io/aegirex/aegirex:v1.4.2 -o aegirex-v1.4.2.tar
# fizički prijenos na air-gap mrežu (zapečaćeni USB, mrežna dioda)
# na air-gap instanci
docker load -i aegirex-v1.4.2.tar
docker tag ghcr.io/aegirex/aegirex:v1.4.2 registry.internal/aegirex:v1.4.2
docker compose -f docker-compose.airgap.yml up -d
bin/console doctrine:migrations:migrate

06 / Arhitektura

Tehnička arhitektura stacka.

Moderan PHP stack, bez SPA-a, bez npm-a, bez runtime ovisnosti o usluzi treće strane. Svaki je element dokumentiran i neovisno provjerljiv.

Backend

PHP 8.4, Symfony 7.4, Doctrine ORM 3, MariaDB 11. FPM ili FrankenPHP po izboru. Nijedna vlasnička PHP ekstenzija. Verzionirane Doctrine migracije, testiran rollback.

Frontend

Twig na strani poslužitelja + Stimulus na strani klijenta. AssetMapper za isporuku (bez npm-a, bez bundlera treće strane). Prilagođeni modularni CSS. Bez SPA-a, bez vlasničkog JavaScript frameworka.

Kriptografija na strani klijenta

OpenPGP.js v6 s X25519, Ed25519 i AES-256-GCM SEIPDv2. Derivacija Argon2id glavne lozinke (RFC 9106, 5 prolaza, 256 MiB, paralelizam 4). Privatni ključevi nikada ne napuštaju preglednik.

HMAC-SHA-256 revizijski lanac

Revizijski lanac zapečaćen i kriptografski lančan HMAC-SHA-256. Neovisna provjera javnom CLI naredbom za kontrolu lanca. Otkrivanje svakog pokušaja retroaktivnog krivotvorenja, utuživo pred sucem kao i pred CISO-em.

Autentifikacija

Symfony Security + scheb/2fa-bundle : e-mail, TOTP (RFC 6238), sigurnosni kodovi. SSO SAML 2.0 i OIDC (RFC 6749 i RFC 7519). WebAuthn passkeyji (W3C WebAuthn Level 2) opcionalno.

Pohrana i red čekanja

Sve u MariaDB 11 : relacijska shema, blobovi ograničeni na 1 MB. Bez potrebe za vanjskom objektnom pohranom. Red čekanja putem Symfony Messengera + Doctrine transport, bez ovisnosti o Redisu za V1.

07 / Operacije

Sigurnosne kopije, održavanje, ažuriranja.

Tri industrijalizirana i dokumentirana postupka. Self-host način rada prenosi operativnu odgovornost na klijenta, ne čineći je teretom : naredbe su skriptabilne, idempotentne i testirane u kontinuiranoj integraciji.

Šifrirana sigurnosna kopija

CLI naredba za sigurnosnu kopiju proizvodi izvozljivu datoteku šifriranu u OpenPGP formatu, s automatskom rotacijom. Primatelj sigurnosne kopije je konfigurabilan (organizacijski arhivski ključ). Vraćanje je dokumentirano i testirano pri svakom izdanju.

Blue-green ažuriranja bez downtimea

Docker slika tagirana semantic versioningom na ghcr.io/aegirex/aegirex. Sve Doctrine migracije strukturirane su u tri koraka (ADD nullable, backfill, ALTER NOT NULL) kako bi omogućile blue-green postavljanje bez prekida usluge čak i na velikim bazama. Breaking promjene najavljuju se najmanje jednu manju verziju unaprijed.

Rollback u manje od pet minuta

Kombinacija snapshota baze podataka i prethodne Docker slike omogućuje povratak unatrag u manje od pet minuta. Doctrine migracije pružaju svoju testiranu metodu down(). Nikakva ručna intervencija na SQL shemi nije potrebna.

Otporan asinkroni worker

Izlazni e-mailovi i revizijski webhookovi dispatchaju se asinkrono putem Symfony Messengera. Ako vanjski pružatelj padne (e-mail, primatelj webhooka), HTTP zahtjevi nikada nisu blokirani : poslovi se ponovno pokušavaju s eksponencijalnim backoffom, zatim pohranjuju u postojan red ako kvar potraje. Worker radi kao systemd usluga ili namjenski kontejner, automatsko ponovno pokretanje bez gubitka.

Health endpointovi spremni za LB i Kubernetes

GET /health javno za sonde liveness (load balancer, UptimeRobot, Kubernetes sonde). GET /health/deep zaštićen allowlistom IP adresa, za dubinske provjere iz vašeg internog monitoring stacka (ping baze podataka, cache, red čekanja). Bez izlaganja osjetljivih informacija.

07bis / Suverena promatračnost

Monitoring stack 100 % europski.

Suverenost se ne zaustavlja na aplikacijskom hostu. ARDNTECH emitira svoje logove u strukturiranom JSON formatu i izlaže standardne Prometheus metrike, radi integracije u potpuno europski ili self-hosted stack promatračnosti. Bez obveznog vlasničkog SDK-a, bez izlazne telemetrije po zadanom.

Suvereno praćenje pogrešaka

Kompatibilno s Bugsink (Nizozemska, MIT, samostalno hostiv na vašoj SecNumCloud instanci), GlitchTip (SAD, MIT, samostalno hostiv) ili Sentry self-host. Standardni Sentry SDK Symfonyja kompatibilan je s ova tri backenda bez izmjene koda. Vaše pogreške nikada ne napuštaju vašu infrastrukturu.

Logovi i metrike upravljani u Francuskoj

JSON logovi ingestabilni od strane Loki + Grafana self-hosted, OVHcloud Logs Data Platform (upravljani Graylog, Francuska) ili Scaleway Cockpit (upravljani Loki, Mimir, Tempo, Francuska). Prometheus metrike izlažive na namjenskom endpointu, ograničene allowlistom IP adresa.

Dnevna provjera integriteta

Javna CLI naredba omogućuje provjeru integriteta HMAC-SHA-256 revizijskog lanca. Planiranjem u dnevnom cronu, pokreće upozorenje (PagerDuty, interni webhook, suvereni Slack) ako je lanac oštećen. Svaka retroaktivna izmjena dnevnika otkriva se u O(1), bez ovisnosti o vanjskoj binarnoj datoteci.

Lokalna IP geolokacija (suvereno EU)

E-mailovi "Otkrivena nova prijava" obogaćeni su zemljom i gradom zahvaljujući bazi DB-IP Lite (belgijski izdavač, licenca CC-BY 4.0), razriješenoj lokalno na vašoj instanci : korisnikova IP adresa nikada se ne prenosi trećoj usluzi. Baza se automatski osvježava svaki mjesec cronom.

08 / Sukladnost

Sektorska sukladnost olakšana.

Self-host način rada omogućuje vam podizanje sukladnosti na razinu hosta koji ste odabrali. Četiri uobičajena režima dokumentirana su u nastavku, bez obvezivanja ARDNTECH izvan aplikacijskog koda pod AGPL-3.0.

SecNumCloud

Postavljivo kod OVHcloud Hosted Private Cloud, Outscale 3DS, Cloud Temple ili NumSpot, operatera kvalificiranih od strane ANSSI-ja. SecNumCloud putanja ostaje cilj za ARDNTECH SaaS Cloud ; u self-hostu, stvarna kvalifikacija ovisi o vašem hostu.

HDS · zdravstvo

Postavljivo kod hosta certificiranog za HDS za zdravstvene operatere. Aplikacijski kod uklapa se u HDS lanac od početka do kraja čim je temeljna infrastruktura kvalificirana. Dugotrajni revizijski dnevnik dostupan je izvorno.

OIV i NIS2

Air-gap postavljanje podržano. AGPL-3.0 kod provjerljiv od strane vašeg CISO-a, sve do kriptografskih primitiva. HMAC-SHA-256 revizijski lanac proizvodi sljedivost utuživu pred sektorskim nadzornim tijelima.

GDPR

U self-host načinu rada ostajete jedini voditelj obrade. Nijedan ARDNTECH podizvođač ne sudjeluje u putu podataka. ARDNTECH nikada nije izvršitelj obrade u smislu GDPR-a : odnos se ograničava na stavljanje na raspolaganje izvornog koda AGPL-3.0.

09 / Ciljevi

Tipični slučajevi uporabe.

Tri profila organizacija često biraju self-host način rada. Zajednička točka : već dimenzioniran Linux ops tim sposoban voditi Symfony uslugu s relacijskom bazom u produkciji.

Profil 1

Uredi za kibernetičku sigurnost sa zrelim operacijama

Sigurnosne ESN-ove, uredi za savjetovanje o kibernetičkoj sigurnosti, internalizirani pentest timovi. Već vode otvrdnut IT sustav, imaju seniorski ops tim i žele interno primjenjivati kriterije koje revidiraju kod svojih klijenata. Self-host im omogućuje dokazati dosljednost između govora i alata.

Profil 2

Javni sektor radikalne suverenosti

Jedinice lokalne uprave, agencije, ključni operateri u smislu NIS2, organizacije pod nadzorom. Interna politika odbijanja svakog SaaS-a, čak i francuskog kvalificiranog. Self-host jamči da šifrirani podatak i njegov revizijski lanac ostaju strogo unutar željenog administrativnog perimetra.

Profil 3

ESN integratori i upravljani preprodavači

ESN-ove koje vlastitim klijentima preprodaju ARDNTECH instancu kojom sami upravljaju. Self-host način rada postaje element njihove komercijalne ponude : vode platformu, fakturiraju svojim klijentima i zadržavaju odnos. Licenca AGPL-3.0 izričito dopušta ovu komercijalnu uporabu.

10 / Tehnički FAQ

Česta pitanja ops timova.

Osam ponavljajućih pitanja koja CISO-i i DevOps timovi postavljaju pri procjeni self-host načina rada. Ako vaše nedostaje, pišite nam.

Je li kod stvarno identičan između Self-hosta i Clouda ?

Da. Repozitorij aegirex/aegirex sadrži cijeli aplikacijski kod pod AGPL-3.0. Nijedna funkcionalnost Team, Business ili Enterprise nije rezervirana za Cloud način rada. Jedine razlike tiču se runtime konfiguracije (varijable okruženja, ANSSI-track tajne, postavke hosta) i pripajanja Cloud instance infrastrukturi nadzora i naplate kojom upravlja ARDNTECH. Nijedan vlasnički softverski modul ne dodaje se na Cloud strani.

Kako migrirati svoj self-host na SaaS Cloud (i obrnuto) ?

Migracija počiva na potpunom izvozu trezora putem integriranih alata (JSON izvoz dešifriran na strani korisnika, sukladno člancima GDPR-a 17 i 20) i uvozu u svježu ciljnu organizaciju. Migracija ne čuva povijest revizije u zatečenom stanju : revizijski lanac ponovno počinje od datuma uvoza, izvorni dnevnik čuva se u preuzimljivoj arhivi. Rotacija HMAC ključeva revizije na strani ciljne instance pokreće novi lanac. Budući da je kod identičan, kompatibilnost sheme je zajamčena.

Koji je tipičan ukupan godišnji trošak self-hosta (infrastruktura + ops) ?

Softverska licenca AGPL-3.0 je besplatna. Za ured od trideset osoba s tri interna Linux poslužitelja, računajte tipično 50 do 150 € mjesečno za suvereni hosting za compute i pohranu, plus 500 do 2 000 € mjesečno marginalnog operativnog troška (0,1 do 0,3 FTE za ažuriranja, sigurnosne kopije i nadzor). Self-host postaje ekonomski zanimljiv od veličine pri kojoj marginalni ops trošak postaje zanemariv i gdje je ops tim već dimenzioniran. Ispod pedeset aktivnih sjedala, Cloud je vrlo često racionalan izbor osim u slučaju strogog zahtjeva za infrastrukturnom suverenošću.

Kako integrirati SSO LDAP, Keycloak ili Authentik ?

Bundle Symfony Security izlaže SAML 2.0 i OpenID Connect. Konfiguracija se obavlja putem varijabli okruženja, bez ponovnog prevođenja. OIDC konektor valjan za Keycloak, Authentik ili svakog pružatelja sukladnog RFC-u 6749 i RFC-u 7519. Za LDAP, izravni binding dokumentiran je s mapiranjem grupa na RBAC uloge. SCIM 2.0 (RFC 7644) dostupan je u Businessu za automatizirani provisioning.

Radi li ARDNTECH na upravljanom Kubernetesu (EKS, GKE, AKS, Kapsule) ?

Da, Kubernetes postavljanje dokumentirano je za standardne distribucije. Manifesti uključuju potrebne Deployment, Service, Ingress, PersistentVolumeClaim i ConfigMap. Službeni Helm chart dostavlja se sa zadanim vrijednostima prilagođenima upravljanim klasterima. Za suverenost podataka, preporučuje se korištenje upravljanog Kubernetesa kod operatera kvalificiranog za SecNumCloud (OVHcloud, Outscale, Cloud Temple, NumSpot) ; upravljani izvaneuropski klasteri ostaju tehnički kompatibilni, ali izlaze iz okvira suverenih preporuka.

Koji se monitoring preporučuje (Prometheus, OpenTelemetry, ELK) ?

Instanca izlaže metrike kompatibilne s Prometheusom na namjenskom endpointu i emitira OpenTelemetry tragove na kritičnim zahtjevima. Aplikacijski logovi emitiraju se u strukturiranom JSON formatu, izravno ingestabilni od strane ELK-a, Lokija ili svakog standardnog Syslog kolektora. Revizijski događaji su izvozljivi u formatima CEF, LEEF i OCSF za SIEM-ove Splunk, Elastic, QRadar i Microsoft Sentinel. Nikakva telemetrija ne šalje se prema trećoj usluzi po zadanom.

Koji je plan podrške zajednice nasuprot plaćenoj ?

Podrška zajednice odvija se putem javnog foruma i GitHub issuesa : bez obveze roka, vode je suradnici i ARDNTECH tim. Plaćena podrška dostupna je za organizacije koje žele postavljanje uz reviziju, složenu SSO integraciju, postavljanje klastera visoke dostupnosti ili pregled arhitekture prije puštanja u produkciju. Nikakav SLA nije vezan uz self-host način rada : po konstrukciji, klijent vodi infrastrukturu.

Kako prijeći na air-gap nakon standardne instalacije ?

Air-gap se sastoji od uklanjanja svake izlazne povezivosti ARDNTECH instance. Preduvjeti su : interni zrcalni Docker registar za ažuriranja slika, zrcalni repozitorij paketa za OS ovisnosti, ručni kanal izvoza i uvoza šifriranih sigurnosnih kopija. Budući da se nikakva telemetrija ne emitira po zadanom, sama aplikacija nema nikakvu runtime ovisnost o vanjskoj usluzi. Izlazni webhookovi mogu se onemogućiti konfiguracijom ili usmjeriti na interni relej. Cijeli postupak dokumentiran je u air-gap vodiču repozitorija.

11 / Za dublje upoznavanje

Self-host način rada uklapa se u arhitekturu proizvoda dosljednu s ostalim referentnim stranicama web-mjesta. Donji resursi svaki detaljno opisuju poseban aspekt.

Sigurnost i kriptografija

Detaljan kriptografski whitepaper : OpenPGP.js v6, Argon2id, AES-256-GCM SEIPDv2, HMAC-SHA-256.

Poslovni sektori

Pet prioritetnih B2B vertikala : sigurnosne ESN-ove, odvjetnici, zdravstvo, obrana, energetika i OIV.

Povjerenje i transparentnost

Pravni status ARDNTECH, nadležnost, lanac podizvođača, standardizirani DPA.

Planovi i cijene SaaS-a

Usporedba Free, Team, Business, Enterprise za SaaS Cloud ; podsjetnik na besplatnost softvera u self-hostu.

B2B trezor hostiran u Francuskoj

Detalj izbora hostinga u Parizu za SaaS, alternativa self-hostu za timove bez posvećenog opsa.

Alternativa Cloud Act-u

Zašto izdavač francuskog prava izvan izvaneuropske nadležnosti mijenja CISO analizu.

12 / Započnite

Self-host ARDNTECH,
vaša infrastruktura, vaš perimetar.

Pročitajte cijelu tehničku dokumentaciju na GitHubu ili zatražite podršku uz reviziju za produkcijsko postavljanje. Bez agresivnog komercijalnog nagovaranja : tehnička razmjena o prikladnosti rješenja u vašem kontekstu.

Pročitajte tehničku dokumentaciju Zatražite podršku uz reviziju

AGPL-3.0 kod, potpun pristup, fork dopušten

Docker Compose u manje od pet minuta

Upravljani Kubernetes kod operatera kvalificiranog za SecNumCloud

Air-gap podržan, bez izlazne telemetrije

HMAC-SHA-256 revizijski lanac neovisno provjerljiv

Samostalni hosting Aegirexaslobodan, potpun, dokumentiran.