Architecture
Architecture et isolation : ce qui tourne chez vous, et ce qui parle à quoi
La plateforme s’installe en conteneurs sur votre infrastructure. Voici ses composants, leur rôle, et les seuls échanges qu’ils ont entre eux et avec votre NetBox.
Sommaire
Une plateforme qui lit des photos de vos salles et compare ce qu’elle voit à votre inventaire touche à deux choses sensibles : l’image physique de votre infrastructure et votre référentiel. Notre choix de départ est simple : tout s’exécute chez vous. Cette page décrit comment la plateforme est découpée, ce que fait chaque composant et quels échanges existent entre eux.
Une installation en conteneurs, sur vos serveurs
La plateforme est livrée sous forme de conteneurs que vous installez sur vos propres serveurs, dans votre salle ou dans votre environnement d’hébergement habituel. Il n’existe pas de version hébergée par nos soins à laquelle vos équipes se connecteraient : l’adresse de la plateforme est une adresse de votre réseau.
Ce mode d’installation a une conséquence directe : les photos de baies, les relevés, les comparaisons et les journaux sont stockés sur votre infrastructure. Le moteur d’analyse tourne lui aussi sur place. Aucun service en ligne n’est requis pour analyser une photo.
Le choix du système d’exploitation, du dimensionnement et de l’emplacement des serveurs relève de votre infrastructure ; les prérequis précis sont remis dans le cadre du projet.
Les composants et leur rôle
Chaque composant a une responsabilité limitée. Cette séparation rend l’ensemble plus lisible pour vos équipes d’exploitation et de sécurité.
| Composant | Rôle |
|---|---|
| Interface | Pages web utilisées au bureau et sur le terrain ; authentification et comptes. |
| Moteur d’analyse | Repère les équipements sur la photo : famille, position U, niveau de confiance. |
| Comparaison | Reconnaît la baie et confronte la photo à l’inventaire, U par U. |
| Connecteur NetBox | Seul point de lecture et d’écriture vers votre NetBox, avec un jeton dédié. |
| Licence | Vérifiée par chaque composant ; sans licence valide, rien ne démarre. |
Le moteur d’analyse ne connaît pas votre NetBox : il reçoit une photo et renvoie des détections. C’est la comparaison qui rapproche ces détections de l’inventaire, et c’est le connecteur qui, seul, dialogue avec NetBox.
Ce qui parle à quoi
Les échanges suivent un chemin court et prévisible :
Le navigateur parle à l’interface
Un utilisateur connecté envoie une photo depuis son poste ou son téléphone. Il ne joint aucun autre composant directement.
L’interface confie la photo au moteur
Le moteur d’analyse renvoie les équipements repérés. L’échange reste interne à votre installation.
La comparaison lit l’inventaire par le connecteur
Le connecteur interroge votre NetBox avec son jeton dédié, puis la comparaison produit le relevé : conformes, différents, absents de NetBox, non vus.
L’écriture dans NetBox attend une validation humaine
Aucune modification n’est envoyée à NetBox sans validation. Quand la validation à deux niveaux est activée, une personne propose et une autre valide.
La page Système de la plateforme affiche les services réellement joints et leur état. Vos équipes peuvent ainsi vérifier, depuis l’interface, que la liste correspond à ce qui est attendu.
Isolation réseau : ce que nous recommandons
Le découpage en composants permet de restreindre les flux au strict nécessaire. La configuration réseau relève de votre infrastructure, mais voici les principes que nous proposons d’appliquer :
- Exposer uniquement l’interface aux postes des utilisateurs ; garder le moteur d’analyse et la comparaison sur un réseau interne aux conteneurs.
- N’ouvrir, en sortie, que le flux du connecteur vers votre NetBox.
- Garder au jeton NetBox les droits nécessaires, et rien de plus : l’installation crée un compte NetBox dédié, non administrateur, qui lit l’inventaire et n’écrit que sur les objets que la plateforme met à jour. Si vous ne souhaitez pas écrire depuis la plateforme, ses droits d’écriture peuvent être retirés après l’installation : la comparaison fonctionne toujours, et NetBox refuse alors les écritures.
- Placer l’installation derrière vos équipements de filtrage et de supervision habituels.
Une surface d’exposition réduite
Plusieurs choix de conception limitent ce qui peut être atteint depuis l’extérieur de l’installation :
- Les comptes sont créés par un administrateur : il n’y a pas d’inscription libre.
- Les tentatives de connexion sont limitées et les sessions ont une durée limitée.
- Les pages sont servies avec des en-têtes de sécurité stricts.
- La plateforme est livrée compilée et chaque version est signée ; la signature est vérifiée à l’installation, puis à chaque démarrage lancé par le script d’installation.
Le détail des comptes et des rôles est décrit sur la page Comptes, rôles et droits ; celui des versions sur la page Mises à jour signées et licence.
Ce que nous vous remettons
Dans le cadre d’un projet, nous remettons à vos équipes la description de l’architecture, la liste des flux, les prérequis d’installation et la procédure d’installation. Ces documents servent de base à votre propre analyse de risques et aux échanges avec votre RSSI. Pour les obtenir ou poser une question, écrivez-nous.