Где настраиваются права
Администратор компьютера настраивает политику Agent в локальном окне настроек. В Windows откройте Пуск → UBC Data Bridge Agent → Настройки Agent; в macOS откройте Приложения → UBC Data Bridge Agent. Изменения требуют прав администратора. Используйте интерфейс: он проверяет значения и указывает поле с ошибкой. В Linux откройте настройки способом, указанным в инструкции к пакету Agent.
Data Bridge может просматривать эти настройки, но не изменять их. В разделе Настройки → Доступ → Агенты, Получить от Agent обновляет сведения о компьютере, сети и ресурсах. Пароли и закрытые ключи не передаются. Разрешайте только ресурсы, необходимые соответствующим потокам.
Базы данных: сервер и порт
- В поле Ресурсыдобавьте Сервер и порт. Задайте понятное имя и идентификатор из строчных латинских букв, цифр, дефисов или подчёркиваний.
- Введите точное имя сервера или IP-адрес и нужный порт. Например,
db.localс портом5432показывает подключение PostgreSQL; это не реальные реквизиты вашей сети. - Сохраните и проверьте ресурс. Затем настройте соответствующий коннектор и учётные данные в Data Bridge.
Этот маршрут применяется к PostgreSQL, MySQL, SQL Server, Azure SQL, Oracle, Db2, Redis и SMTP. Поддерживаются списки портов и сети CIDR, но точные адреса легче контролировать. Если имя сервера разрешено правилом CIDR, все IP-адреса, в которые оно разрешается, должны входить в эту сеть.
Для SQL Server через Agent нужно явно указать порт: оставьте имя экземпляра пустым и задайте порт сервера. Разрешение TCP не даёт прав чтения или записи в базу данных; они принадлежат пользователю базы. ODBC не использует маршрут Agent; выбирайте специализированный коннектор базы данных.
API: базовый URL и методы
Добавьте ресурс API с базовым адресом, например https://erp.local/api/. Замените этот пример внутреннего адреса фактическим. Разрешены только этот URL и пути под ним. Не включайте учётные данные, параметры запроса или .. в базовый адрес.
Начните с GET и HEAD. Добавляйте POST, PUT, PATCH или DELETE только для нужных операций; некоторые API также используют POST для чтения. Для внутреннего сертификата настройте PEM-файл доверенного центра сертификации или проверенный отпечаток SHA-256. Стандартный тайм-аут запроса — 300 секунд, доступный диапазон — от 1 до 3600 секунд.
Для IBM Planning Analytics укажите корень REST API вашего сервера и методы, нужные потоку. HTTP Basic, пространство имён CAM и Bearer-аутентификация могут использовать Agent. Корпоративный вход Cognos Gateway и подключения пользовательской сессии используют прямой маршрут.
Папки: границы и операции
Добавьте ресурс Папка с абсолютным локальным путём или сетевым путём, видимым службе. Чтение включено; create разрешает новые файлы и папки, write перезаписывает существующие файлы, rename переименовывает или перемещает внутри ресурса, а delete удаляет объекты. Не включайте все разрешения, если поток только читает отчёты.
Ограничьте имена файлов масками, например *.xlsx и *.csv, и задайте максимальный размер файла. Ноль означает глобальное ограничение Agent. Корневые папки ресурсов не должны быть вложенными. Выход за пределы разрешённой папки через .., символические ссылки или соединения NTFS блокируется.
Отдельно предоставьте права операционной системы. Руководства для Windows и macOS описывают пути UNC, системные подключения и защищённые папки. FTP/FTPS не использует Agent; организуйте доступ через разрешённую папку. Запись файлов завершается после проверки размера и SHA-256; файлы, изменившиеся после чтения, не перезаписываются. Для Linux настройте права служебной учётной записи и постоянное подключение сетевых папок по отдельной инструкции.
Сетевой маршрут к Data Bridge
Разрешите исходящие соединения TCP 443 с HTTPS-адресом вашей установки Data Bridge и необходимые порты от Agent к локальным ресурсам. DNS должен разрешать нужные имена; в сети с прокси внешний адрес может разрешать прокси. Маршрут Agent не требует входящих правил межсетевого экрана.
Начните с автоматического режима в разделе Подключение. Он пробует доступные системные маршруты, WebSocket и HTTPS-запросы. В ручном режиме выберите WSS или HTTPS и системный, прямой или вручную настроенный маршрут через прокси. Прокси должен поддерживать длительные соединения с тайм-аутом бездействия не менее 60 секунд. Для WSS нужна поддержка Upgrade: websocket .
Аутентификация прокси и доверенные сертификаты
Введите URL прокси без учётных данных и пути. Укажите имя пользователя, домен и пароль в отдельных полях. Windows поддерживает системную аутентификацию Negotiate/NTLM, включая учётную запись компьютера; сохранённые пароли отдельно защищаются DPAPI. macOS поддерживает NTLMv2 с именем пользователя и паролем, но не Negotiate/Kerberos. Файл секретов доступен только администраторам и службе. В Linux согласуйте поддерживаемый пакетом способ авторизации прокси с администратором; см. подготовку Linux.
Если корпоративное оборудование проверяет TLS-трафик, добавьте его согласованный корневой PEM-сертификат как Дополнительный центр сертификации; служба должна иметь право чтения файла. Не отключайте проверку TLS. По умолчанию внешний транспорт требует минимум TLS 1.2, можно настроить 1.3; внутренний канал всегда использует TLS 1.3.
Проверьте перед запуском рабочих потоков
Запуск Диагностика → Запустить диагностикупроверьте каждый ресурс, затем выберите Проверить в подключении Data Bridge. Проверки ресурсов не изменяют данные; проверка записи в папку требует отдельного подтверждения. Убедитесь, что нужные операции успешны, а ненужные методы и папки остаются недоступными.
Стандартные ограничения: 16 одновременных операций, 1200 операций в минуту и максимальный размер файла 4096 МБ. Это настройки ограничений, а не гарантии производительности. Согласуйте их с возможностями компьютера и целевой системы. Сохраняйте аудит включённым и разбирайте ошибки с помощью руководство по устранению неполадок.