Agent : ressources, autorisations et réseau

Où configurer les autorisations

L’administrateur de l’ordinateur configure la politique de l’Agent dans la fenêtre locale de paramètres. Sous Windows, ouvrez Démarrer → UBC Data Bridge Agent → Paramètres de l’Agent; sous macOS, ouvrez Applications → UBC Data Bridge Agent. Les modifications nécessitent des droits d’administration. Utilisez l’interface : elle valide les valeurs et signale tout champ contenant une erreur. Sous Linux, suivez la procédure d’administration approuvée pour votre installation. Sous Linux, ouvrez les paramètres comme indiqué dans les instructions du paquet Agent.

Data Bridge peut consulter ces paramètres, mais ne peut pas les modifier. Dans Paramètres → Accès → Agents, Récupérer depuis l’Agent actualise les informations sur l’ordinateur, le réseau et les ressources. Les mots de passe et les clés privées ne sont pas transférés. N’autorisez que les ressources nécessaires aux flux concernés.

Bases de données : hôte et port

1. Dans Ressources, ajoutez Hôte et port. Donnez-lui un nom explicite et un identifiant composé de lettres latines minuscules, de chiffres, de tirets ou de traits de soulignement.
2. Saisissez le nom d’hôte ou l’adresse IP exacte du serveur et le port requis. Par exemple, db.local avec 5432 illustre PostgreSQL ; il ne s’agit pas des paramètres réels de votre réseau.
3. Enregistrez et testez la ressource. Configurez ensuite le connecteur et les identifiants correspondants dans Data Bridge.

Cette connexion s’applique à PostgreSQL, MySQL, SQL Server, Azure SQL, Oracle, Db2, Redis et SMTP. Les listes de ports et les réseaux CIDR sont pris en charge, mais les adresses exactes sont plus faciles à contrôler. Lorsqu’une règle CIDR autorise un nom d’hôte, toutes les adresses IP obtenues par résolution doivent appartenir à ce réseau.

Avec l’Agent, SQL Server nécessite un port explicite : laissez le nom d’instance vide et indiquez le port du serveur. L’autorisation TCP ne donne pas de droits de lecture ou d’écriture dans la base ; ces droits appartiennent à l’utilisateur de la base de données. ODBC n’utilise pas la connexion par l’Agent ; choisissez un connecteur dédié à la base.

API : URL de base et méthodes

Ajoutez une ressource API avec une adresse de base telle que https://erp.local/api/. Remplacez cette adresse interne illustrative par l’adresse réelle. Seuls cette URL et les chemins situés en dessous sont autorisés. N’incluez ni identifiants, ni paramètres de requête, ni .. dans l’adresse de base.

Commencez par GET et HEAD. Ajoutez POST, PUT, PATCH ou DELETE uniquement pour les opérations nécessaires ; certaines API utilisent aussi POST pour les requêtes de lecture. Pour un certificat interne, configurez un fichier PEM d’autorité de certification de confiance ou une empreinte SHA-256 vérifiée. Le délai d’expiration des requêtes est de 300 secondes par défaut, réglable entre 1 et 3 600 secondes.

Pour IBM Planning Analytics, indiquez la racine de l’API REST de votre serveur et les méthodes nécessaires au flux. Les authentifications HTTP Basic, par espace de noms CAM et Bearer peuvent utiliser l’Agent. La connexion d’entreprise via Cognos Gateway et les connexions de session utilisateur utilisent la connexion directe.

Dossiers : périmètre et opérations

Ajoutez une ressource Dossier avec un chemin local absolu ou un chemin réseau accessible au service. La lecture est incluse ; create autorise les nouveaux fichiers et dossiers, write écrase les fichiers existants, rename renomme ou déplace des éléments dans la ressource, et delete supprime des éléments. N’activez pas toutes les autorisations si le flux se limite à lire des rapports.

Limitez les noms de fichiers à l’aide de masques tels que *.xlsx et *.csv, et définissez une taille maximale de fichier. Zéro correspond à la limite globale de l’Agent. Les racines des ressources ne doivent pas être imbriquées. L’accès par .., liens symboliques ou jonctions NTFS à des emplacements extérieurs au dossier autorisé est bloqué.

Accordez séparément les autorisations du système d’exploitation. Les guides Windows et macOS présentent les chemins UNC, les montages système et les dossiers protégés. FTP/FTPS n’utilise pas l’Agent ; organisez l’accès au moyen d’un dossier approuvé. L’écriture d’un fichier se termine après vérification de la taille et de SHA-256 ; un fichier modifié depuis sa lecture n’est pas écrasé. Sous Linux, configurez les droits du compte de service et les montages réseau permanents selon le guide des ressources Linux.

La connexion réseau à Data Bridge

Autorisez les connexions TCP sortantes sur le port 443 vers l’adresse HTTPS de votre installation Data Bridge, ainsi que les ports nécessaires entre l’Agent et les ressources locales. Le DNS doit résoudre les noms requis ; sur un réseau avec proxy, le proxy peut résoudre le nom d’hôte externe. La connexion par l’Agent ne nécessite aucune règle de pare-feu entrante.

Commencez par le mode automatique dans Connexion. Il essaie les connexions système disponibles, WebSocket et les requêtes HTTPS. En mode manuel, sélectionnez WSS ou HTTPS et une connexion via le proxy système, une connexion directe ou un proxy configuré manuellement. Les proxys doivent accepter les connexions longues avec un délai d’inactivité d’au moins 60 secondes. WSS nécessite la prise en charge de Upgrade: websocket .

Authentification du proxy et certificats de confiance

Saisissez l’URL du proxy sans identifiants ni chemin. Indiquez le nom d’utilisateur, le domaine et le mot de passe dans des champs distincts. Windows prend en charge l’authentification système Negotiate/NTLM, y compris le compte de l’ordinateur ; les mots de passe enregistrés sont protégés séparément avec DPAPI. macOS prend en charge NTLMv2 avec un nom d’utilisateur et un mot de passe, mais pas Negotiate/Kerberos. Son fichier de secrets n’est accessible qu’aux administrateurs et au service. Sous Linux, confirmez avec l’administrateur le mode d’authentification du proxy pris en charge par votre paquet ; voir la préparation de Linux.

Si un équipement d’entreprise inspecte TLS, ajoutez son certificat racine PEM approuvé comme Autorité de certification supplémentaire; le service doit pouvoir lire le fichier. Ne désactivez pas la vérification TLS. Le transport externe utilise TLS 1.2 au minimum par défaut, réglable sur 1.3 ; le canal interne utilise toujours TLS 1.3.

Valider avant d’exécuter les flux de production

Exécution Diagnostic → Lancer le diagnostic, testez chaque ressource, puis sélectionnez Test sur la connexion Data Bridge. Les vérifications des ressources ne modifient pas les données ; un test d’écriture dans un dossier nécessite une confirmation distincte. Vérifiez que les opérations requises réussissent et que les méthodes et dossiers inutiles restent inaccessibles.

Les limites par défaut sont de 16 opérations simultanées, 1 200 opérations par minute et 4 096 Mo par fichier. Il s’agit de limites de configuration, pas de garanties de débit. Adaptez-les aux capacités de l’ordinateur et du système cible. Gardez l’audit activé et analysez les échecs à l’aide du guide de dépannage.