ARDNTECH | Självhosting ARDNTECH · Docker, Kubernetes, luftgap

02 / Motiveringar

Varför självhosta en lösenordshanterare ?

Fyra olika motiveringar leder en organisation till att själv driva sitt B2B-valv i stället för att teckna abonnemang på ARDNTECH Cloud SaaS. Alla förblir kompatibla med ett senare byte om de interna kraven förändras.

Radikal datakontroll

Air-gap möjligt, strikt nätverksisolering, intern DMZ, total avsaknad av utgående telemetri. Den krypterade datan lämnar aldrig den perimeter du definierar. Ingen tredje part kan begära åtkomst till din instans.

Förenklad branschefterlevnad

Utrullning hos en värd som redan är kvalificerad för SecNumCloud, HDS, eller uppfyller NIS2- och OIV-kraven. Applikationslagret förblir identiskt, hostingens efterlevnad bärs av den infrastruktur du väljer.

Verifierbar AGPL-3.0-kod

Det offentliga repot täcker hela applikationskoden, ända ned till de kryptografiska primitiverna. OpenPGP.js v6, Argon2id, AES-256-GCM SEIPDv2, HMAC-SHA-256 : varje algoritmval är läsbart och granskningsbart.

Noll mjukvarukostnad

Licensen AGPL-3.0 är gratis. Du betalar endast för infrastrukturen (compute, lagring, bandbredd) och den interna drifttiden. För strukturer vars ops-team redan är dimensionerat blir TCO konkurrenskraftig redan vid några tiotal aktiva platser.

03 / Jämförelse

Self-host vs Cloud ARDNTECH SaaS.

Ingen programfunktion är reserverad för Cloud-läge. Det som skiljer är vem som driver infrastrukturen och vem som bär avtalsgarantierna. Tabellen nedan sammanfattar de femton dimensioner som strukturerar beslutet.

Dimension	Self-host	Cloud ARDNTECH SaaS
Källkod	AGPL-3.0, full åtkomst, gaffel tillåten	AGPL-3.0, full åtkomst, gaffel tillåten
Programvara pris	0 €	0 € till 7 €/plats/månad beroende på plan
Hosting	Klient (egen infra, IaaS-val, dedikerat datacenter)	ARDNTECH (suverän europeisk hosting)
Inledande installation	Klientens ansvar (Docker Compose eller Kubernetes)	Inkluderad, automatiserad (provisionering på minuter)
OS och körtidunderhål	Klientens ansvar	Inkluderad
Säkerhetskopior	Klientens ansvar (dokumenterad procedur)	Inkluderad, dagliga krypterade ögonblicksbilder
Uppdateringar	Klientens ansvar (taggad Docker-bild, uppgraderingsplan tillhandahållen)	Inkluderad, tillkännagivet underhållsfönster
Tillgänglig SLA	Ingen (klient driver egen infra)	Bästa ansträngning (Free), 99,5% (Business), förhandlad (Enterprise)
Stöd	Gemenskapskommunitet (forum, GitHub-problem)	Gemenskapskommunitet + e-post nästa arbetsdag (Business) + telefon (Enterprise)
Multiorgan	Ja (pivot-konto, granulär RBAC)	Ja (pivot-konto, granulär RBAC)
DPA	Ej tillämplig (klient är datahandläggaren)	Standard DPA (Business) eller förhandlad (Enterprise)
Överensstämmelse	Klientens ansvar	Kvalificerad hosting, SecNumCloud-trajektoria riktad
Typiska målgrupp	Cybersäkerhetsfirma med mogen ops, OIV, organisationer med ett storlekt ops-team	SMEs, mid-market, företag utan ett dedikerat ops-team, organisationer som föredrar att betala snarare än att driva
Total kostnader för ägandet	Variabel: 0 €-licens + intern tid + infra	Förutsägbar: per-seat-prenumeration, allt-inklusive
Luftgap	Stöd (ingen utgående telemetri som standard)	Ej tillämplig (instans verkad av ARDNTECH)

Läsa tabellen. För ett team på färre än femtio aktiva platser utan ett dedikerat ops-team är Cloud SaaS ofta det rationella valet. Bortom det, eller om infrastruktursuveränitet är ett lagstadgat eller avtalsrättsligt krav, blir självhosting relevant. Båda migrationer är planerade och dokumenterade.

04 / Förutsättningar

Teknisk förutsättningar.

Bara tre förutsättningar, alla standard i en modern servermiljö. Ingen tredjeparts tjänst krävs vid körning, inga icke-standard utgående portar, inget proprietärt protokoll.

Linux-server och behållar körnings miljö

En Linux x86_64 eller ARM64-server med Docker 24 eller högre och Docker Compose v2. Debian, Ubuntu LTS, Red Hat Enterprise Linux och deras derivat testas kontinuerligt. Behållarkörningsmiljön fungerar lika bra på en dedikerad virtuell maskin eller på hanterad Kubernetes.

Storlek

2 vCPU och 4 GB RAM räcker för femtio aktiva användare. För femhundra användare, tillhandahålla 8 vCPU och 16 GB RAM. Lagring beror på antalet hemligheter: tillåt ungefär 100 MB bas per tusen hemligheter, plus granskningsloggbevaration enligt din plan.

Domännamn och TLS-certifikat

Ett domännamn och ett giltigt TLS-certifikat. Låt's Encrypt är dokumenterad och fungerar utan specifik konfiguration. Ingen icke-standard utgående port krävs. Luftgapsdistribution är möjlig utan att ändra programkoden: instansen konsulterar ingen extern tjänst vid körning.

05 / Installation

Installation på fem minuter.

Tre stödda distribuerade varianter, från ett oberoende företags POC till multi-AZ-produktion för en kritisk infrastrukturoperatör. Samma kod, tre orkestreringar.

Variant 1 · Docker Compose

Rekommenderas för POCs, små team och utvecklingsmiljöer. En enda maskin, lokal persistens eller nätverksvolym, distribution i ett enda kommando.

git clone https://github.com/aegirex/aegirex.git
cd aegirex
make install
# genererar hemligheterna, bygger imagen från repots Dockerfile,
# tillämpar migreringarna och startar alla tjänster.
# Instansen är tillgänglig på http://localhost:8280

Bygga från källa som standard. Det som körs i produktion är exakt vad som ligger i git log: ingen svart låda register, inget beroende på ett tredjeparts Docker Hub-konto. Filerna composer.lock och importmap.lock fixar versionerna och SHA-fingeravtrycken för beroende; ett komprometterad Packagist eller CDN skulle bryta bygget snarare än att tyst introducera en nyttolast. För ops i bråttom, en make install-from-registry-variant hämtar den förbyggda bilden signerad av vår CI.

Variant 2 · Kubernetes

Rekommenderas i produktion, på hanterad eller självstyrd kluster. Officiella manifest och Helm-diagram tillhandahålls. Kompatibel med Kubernetes-kluster från SecNumCloud-kvalificerade operatörer (OVHcloud, Outscale, Cloud Temple, NumSpot).

helm repo add aegirex https://charts.aegirex.eu
helm repo update
helm install aegirex aegirex/aegirex \
  --namespace aegirex --create-namespace \
  --values values.production.yaml
kubectl -n aegirex rollout status deployment/aegirex-app
kubectl -n aegirex exec deploy/aegirex-app -- bin/console doctrine:migrations:migrate

Variant 3 · Luftgap

Rekommenderas för miljöer med radikala suveränitetskrav: OIV, försvar, klassificerad forskning. Ingen utgående anslutning, manuella säkerhetskopior, uppdateringar via internt spegeldatabasregister.

# på ansluten arbetsstation
docker pull ghcr.io/aegirex/aegirex:v1.4.2
docker save ghcr.io/aegirex/aegirex:v1.4.2 -o aegirex-v1.4.2.tar
# fysisk överföring till air-gap-nätet (förseglat USB, nätverksdiod)
# på air-gap-instans
docker load -i aegirex-v1.4.2.tar
docker tag ghcr.io/aegirex/aegirex:v1.4.2 registry.internal/aegirex:v1.4.2
docker compose -f docker-compose.airgap.yml up -d
bin/console doctrine:migrations:migrate

06 / Arkitektur

Stackens tekniska arkitektur.

En modern PHP-stack, utan SPA, utan npm, utan runtime-beroende till en tredjepartstjänst. Varje byggsten är dokumenterad och granskningsbar oberoende.

Serverdel

PHP 8.4, Symfony 7.4, Doctrine ORM 3, MariaDB 11. FPM eller FrankenPHP efter önskemål. Inga proprietära PHP-tillägg. Versionerade Doctrine-migreringern, testad återställning.

Gränssnitt

Twig serverdel + Stimulus klientsida. AssetMapper för leverans (ingen npm, ingen tredjeparts bundler). Modulär anpassad CSS. Ingen SPA, ingen proprietär JavaScript-ramverk.

Klientskryptografi

OpenPGP.js v6 med X25519, Ed25519 och AES-256-GCM SEIPDv2. Argon2id härleddning av huvudlösenordet (RFC 9106, 5 pass, 256 MiB, parallellism 4). Privata nycklar lämnar aldrig webbläsaren.

HMAC-SHA-256 audit chain

Granskningskedja försegla och kryptografisk kedjad av HMAC-SHA-256. Oberoende verifiering av ett offentligt CLI-kommando för kedjakontroll. Upptäckt av någon retroaktiv tampningsförsök, motsatts till en domare eller CISO.

Autentisering

Symfony Security + scheb/2fa-bundle: e-post, TOTP (RFC 6238), återställningskoder. SAML 2.0 och OIDC SSO (RFC 6749 och RFC 7519). WebAuthn Passkeys (W3C WebAuthn Level 2) valfritt.

Lagring och kö

Allt i MariaDB 11 : relationsschema, blobbar begränsade till 1 MB. Ingen extern objektlagring krävs. Kö via Symfony Messenger + Doctrine-transport, utan Redis-beroende för V1.

07 / Verksamhet

Säkerhetskopior, underhål, uppdateringar.

Tre industrialiserade och dokumenterade procedurer. Själv värdläge överför operativ ansvar till klienten, utan att göra det till en börda: kommandon är scriptbara, idempotenta och testade i kontinuerlig integration.

Krypterad säkerhetskopia

Ett CLI-säkerhetskopieringskommando producerar en exporterbar fil krypterad i OpenPGP-format, med automatisk rotation. Säkerhetskopieringsmottagaren kan konfigureras (organisatorisk arkiveringsnyckel). Återställningen är dokumenterad och testad vid varje utgåva.

Blå-grön uppdateringar med noll stillestånd

Docker-bild märkta med semantisk version på ghcr.io/aegirex/aegirex. Alla Doctrine-migreringar är strukturerade i tre steg (lägg till nullbar, backfill, ALTER INTE NULL) för att möjliggöra blå-grön distribution utan tjänsteav stängning även på stora databaser. Bryta ändringar tillkännages minst en mindre version i förväg.

Återställning på under fem minuter

Kombinationen av en databasögonblicksbild plus den tidigare Docker-bilden möjliggör en återställning på under fem minuter. Doctrine-migreringsprä Tillhandahåller sin testade down()-metod. Ingen manuell SQL-schemat intervention krävs.

Motståndskraftig async-arbetar

Utgående e-postmeddelanden och granskningswebhooks dispatched asynkront via Symfony Messenger. Om en extern leverantör slutar (e-post, webhook-mottagare), blockeras HTTP-begäranden aldrig: jobb provas igen med exponentiell backoff, sedan lagras i en beständig kö om misslyckandet kvarstår. Arbetaren körs som en systemd-tjänst eller dedikerad behållare, automatisk omstart utan dataförlust.

Hälsoslutpunkter redo för LB och Kubernetes

GET /health offentlig för liveliness-sonder (belastningsbalanserare, UptimeRobot, Kubernetes-sonder). GET /health/deep skyddad av en IP-tillåtelselista, för djupgripande kontroller från din interna övervakningstack (databaskryppling, cache, meddelandekö). Ingen känslig information exponerad.

07bis / Suverän observerbarhet

En övervakningstack 100% europeisk.

Suveränitet stannar inte vid programvärdträget. ARDNTECH avger sina loggar i strukturerat JSON-format och exponerar standard Prometheus-mätare, för integrering med en helt europeisk eller själv värdad observerbarhetsstack. Ingen obligatorisk proprietär SDK, ingen utgående telemetri som standard.

Suverän felspårning

Kompatibel med Bugsink (Nederländerna, MIT, själv värdbar på din SecNumCloud-instans), GlitchTip (US, MIT, själv värdbar) eller Sentry själv-värd. Standard Symfony Sentry SDK är kompatibel med alla tre backends utan kodändringar. Dina fel lämnar aldrig din infrastruktur.

Loggar och mätare som hanteras i Frankrike

JSON-loggar intagbara av själv värdad Loki + Grafana, OVHcloud Logs Data Platform (hanterad Graylog, Frankrike) eller Scaleway Cockpit (hanterad Loki, Mimir, Tempo, Frankrike). Prometheus-mätare exponerbara på en dedikerad slutpunkt, begränsade av IP-tillåtelselista.

Daglig integritetskontroll

Ett offentligt CLI-kommando verifierar integriteten för HMAC-SHA-256-granskningskedjan. Schemaläggningsbar som en daglig cron utlöser det en avisering (PagerDuty, internt webhook, suverän Slack) om kedjan är korrupted. Någon retroaktiv journaltampring detekteras i O(1), utan att förlita sig på en extern binär.

Lokal IP-geoplacering (EU-suverän)

"Ny anslutning detekterad" e-postmeddelanden är berikat med land och stad med hjälp av databasen DB-IP Lite (belgisk utgiver, CC-BY 4.0-licens), löst lokalt på din instans: användarens IP-adress övergretlämnas aldrig till en tredjepartsservice. Databasen uppdateras automatiskt varje månad med cron.

08 / Överensstämmelse

Sektoriell överensstämmelse gjord lätt.

Self-host-läge låter dig bära överensstämmelse på nivån för värdleverantören du har valt. Fyra vanliga regimer är dokumenterade nedan, utan att engagera ARDNTECH bortom AGPL-3.0-programkoden.

SecNumCloud

Distributionsbar hos OVHcloud Hosted Private Cloud, Outscale 3DS, Cloud Temple eller NumSpot, operatörer kvalificerade av ANSSI. SecNumCloud-trajektorien förblir ett målgrupp mål för Cloud ARDNTECH SaaS; i självhosting är effektiv kvalificering beroende av din värdleverantör.

HDS · sjukvård

Distributionsbar hos en HDS-certifierad värd för sjukvården. Programkoden passar in i end-to-end HDS-kedjan så länge den underliggande infrastrukturen är kvalificerad. Långvarig granskningslogg är inbyggt tillgänglig.

OIV och NIS2

Luftgapsdistribution stödd. AGPL-3.0-kod gransknin gbar av din CISO, ner till kryptografiska primitiver. HMAC-SHA-256-granskningskedjan producerar spårbarhet opposbar för sektoriella regelkontrollanter.

GDPR

I självhosting-läge är du den enda datahandläggaren. Ingen ARDNTECH-underprocessor är involverad i datasökvägen. ARDNTECH är aldrig en underprocessor under GDPR: relationen är begränsad till att göra AGPL-3.0-källkoden tillgänglig.

09 / Målgrupper

Typiska användningsfall.

Tre organisationsprofiler väljer ofta self-host-läget. Den gemensamma nämnaren : ett Linux-ops-team som redan är dimensionerat och kapabelt att driva en Symfony-tjänst med relationsdatabas i produktion.

Profil 1

Cybersäkerhetsbyråer med mogna operationer

ESN-säkerhet, konsultbyråer inom cybersäkerhet, interna pentest-team. De driver redan ett härdat IT-system, har ett senior ops-team och vill internt tillämpa de kriterier de granskar hos sina kunder. Self-host gör det möjligt för dem att bevisa samstämmigheten mellan budskap och verktyg.

Profil 2

Offentlig sektor med radikal suveränitet

Kommuner, myndigheter, samhällsviktiga operatörer i NIS2-mening, organisationer under tillsyn. Intern policy att avvisa all SaaS, även fransk kvalificerad. Self-host garanterar att den krypterade datan och dess revisionskedja förblir strikt inom den önskade administrativa perimetern.

Profil 3

ESN-integratörer och managed-återförsäljare

ESN som säljer vidare en ARDNTECH-instans som de själva driftar till sina egna kunder. Self-host-läget blir en byggsten i deras kommersiella erbjudande : de driver plattformen, fakturerar sina kunder och behåller relationen. Licensen AGPL-3.0 tillåter uttryckligen denna kommersiella användning.

10 / Teknisk FAQ

Ofta ställda frågor från ops-team.

Åtta återkommande frågor som ställs av CISOs och DevOps-team när de utvärderar självhöstningsläge. Om din är saknas, skriv till oss.

Är koden verkligen identisk mellan Self-host och Cloud?

Ja. Databasen aegirex/aegirex innehåller hela programkodbindningen under AGPL-3.0. Ingen Team, Business eller Enterprise-funktion är reserverad för Cloud-läge. De enda skillnaderna väl relaterar till körningskonfiguration (miljövariabler, ANSSI-spårhemligheter, värdläggar) och Cloud-instansen är knuten till övervakningen och faktureringen infrastruktur verkad av ARDNTECH. Ingen proprietär programvara modul läggs till på Cloud-sidan.

Hur migrerar jag min självhost till Cloud SaaS (och tillbaka)?

Migrationen förlitar sig på en fullständig vaultexport via de inbyggda verktyget (användarens dekrypterad JSON-export, i enlighet med GDPR artiklar 17 och 20) och import till en ny målorganisation. Migrationen bevarar inte granskningshistoriken sådan: granskningskedjan startar om vid importdatum, källloggen hålls som ett nedladdningsbart arkiv. HMAC-nyckelrotationen på målinstansen startar en ny kedja. Eftersom koden är identisk är schemakompatibilitet garanterad.

Vad är den typiska totala årskostnaden för självhosting (infra + ops)?

AGPL-3.0-programvarulicensen är gratis. För ett trettioperatört företag med tre interna Linux-servrar, förvänta dig typiskt 50 till 150 € per månad i suverän värd för beräkning och lagring, plus 500 till 2 000 € per månad i marginell driftskostnad (0,1 till 0,3 FTE för uppdateringar, säkerhetskopior och övervakning). Self-hosting blir ekonomiskt attraktivt när personligheten gör marginalkostnaden för ops försumbar och ops-teamet redan är klart. Under femtio aktiva platser är Cloud mycket ofta det rationella valet om det inte finns ett strikta infrastruktursuveränitskrav.

Hur integrerar jag LDAP SSO, Keycloak eller Authentik?

Symfony Security-paketet exponerar SAML 2.0 och OpenID Connect. Konfigurationen görs via miljövariabler, utan omövervakning. En giltig OIDC-anslutare för Keycloak, Authentik eller någon RFC 6749 och RFC 7519 kompatibel leverantör. För LDAP är direkt bindning dokumenterad med group-to-RBAC-rollmapping. SCIM 2.0 (RFC 7644) är tillgänglig i Business för automatiserad provisionering.

Körs ARDNTECH på hanterad Kubernetes (EKS, GKE, AKS, Kapsule)?

Ja, Kubernetes-distributionen är dokumenterad för standarddistribution. Manifester inkluderar den nödvändiga Deployment, Service, Ingress, PersistentVolumeClaim och ConfigMap. Ett officiellt Helm-diagram tillhandahålls med standardvärden lämpliga för hanterade kluster. För datasuveränitet rekommenderas att använda hanterad Kubernetes hos en SecNumCloud-kvalificerad operatör (OVHcloud, Outscale, Cloud Temple, NumSpot); extra-europeiska hanterade kluster förblir tekniskt kompatibla men hamnar utanför de suveräna rekommendationerna.

Vilken övervakning rekommenderas (Prometheus, OpenTelemetry, ELK)?

Instansen exponerar Prometheus-kompatibla mått på en dedikerad slutpunkt och avger OpenTelemetry-spår på kritiska begäranden. Programloggar avges i strukturerat JSON-format, direkt intagbar av ELK, Loki eller någon standardsyslog-samlare. Granskningshändelser är exporterbara i CEF-, LEEF- och OCSF-format för Splunk, Elastic, QRadar och Microsoft Sentinel SIEMs. Ingen telemetri skickas till en tredjepartsservice som standard.

Vad är gemenskapsplanen kontra betald supportplan?

Gemenskapsstödet går genom det offentliga forumet och GitHub-problem: ingen SLA, underhållen av bidragsgivare och ARDNTECH-teamet. Betald support är tillgänglig för organisationer som vill ha en reviderad distribution, komplicerad SSO-integration, högtillgänglighetklusters installation eller en arkitekturkonsultation före produktion. Ingen SLA är kopplad till självhöstningsläge: enligt design driver klienten infrastrukturen.

Hur byter jag till luftgap efter en standardinstallation?

Luftgap betyder att ta bort all utgående anslutning från ARDNTECH-instansen. Förutsättningarna är: ett internt Docker-spegeldatabasregister för bilduppdateringar, ett spegelpaketsomdeteket för OS-beroende, en manuell kanal för krypterad säkerhetskopiexport och import. Eftersom ingen telemetri avges som standard har programmet ingen körtidsberoende på en extern tjänst. Utgående webhooks kan inaktiveras via konfiguration eller dirigeras till ett internt relä. Det fullständiga förfarandet är dokumenterat i databasförrådet luftgapguide.

11 / Gå vidare

Själv värdläge är en del av en produktarkitektur i överensstämmelse med de andra referenssidorna på webbplatsen. Resurserna nedan beskriver varje aspekt i detalj.

Säkerhet och kryptografi

Det detaljerade kryptografiska vitboken: OpenPGP.js v6, Argon2id, AES-256-GCM SEIPDv2, HMAC-SHA-256.

Branschvertikaler

De fem prioritets B2B-vertikalerna: säkerhet IT-firmer, advokater, sjukvård, försvar, energi och OIV.

Förtroende och transparens

Juridisk status för ARDNTECH, jurisdiktion, underbearbetningskedja, standard DPA.

SaaS-planer och prissättning

Gratis, Team, Business, Enterprise-jämförelse för Cloud SaaS; påminnelse om noll programvara kostnad i själv värd.

Valv värdhoteller i Frankrike

Detaljer om Paris-värdträget för SaaS, alternativ till self-hosting för team utan en dedikerad ops-funktion.

Alternativ till CLOUD Act

Varför en fransk-lag-utgiver utanför extra-europeisk jurisdiktion ändrar CISOs analys rutnät.

12 / Kom igång

Self-host ARDNTECH,
din infrastruktur, din perimeter.

Läs den fullständiga tekniska dokumentationen på GitHub eller begär en reviderad distribution. Ingen aggressiv uppföljning av försäljningen: ett tekniskt utbyte om lösningens relevans i din sammanhang.

Läs den tekniska dokumentationen Begär en reviderad distribution

AGPL-3.0-kod, full åtkomst, gaffel tillåten

Docker Compose på under fem minuter

Hanterad Kubernetes hos en SecNumCloud-kvalificerad operatör

Luftgap stödd, ingen utgående telemetri

HMAC-SHA-256-granskningskedja oberoende verifierbar

Self-hosting ARDNTECHgratis, fullständig, dokumenterad.