Де налаштовуються дозволи
Політику Agent задає адміністратор комп’ютера у локальному вікні налаштувань. У Windows відкрийте Пуск → UBC Data Bridge Agent → Налаштування агента; у macOS — Програми → UBC Data Bridge Agent. Для змін потрібен адміністративний доступ. Використовуйте інтерфейс: він перевіряє значення й показує поле з помилкою. У Linux відкрийте налаштування способом, указаним в інструкції до пакета Agent.
Data Bridge бачить ці налаштування, але не змінює їх. У Налаштування → Доступ → Агенти кнопка Отримати з агента оновлює відомості про комп’ютер, мережу й дозволені ресурси. Паролі та приватні ключі не передаються. Дозволяйте лише ресурси, які потрібні конкретним потокам.
Бази даних: адреса й порт
- На вкладці Ресурси додайте тип Адреса й порт. Задайте зрозумілу назву та ідентифікатор малими латинськими літерами, цифрами, дефісом або підкресленням.
- Укажіть точне DNS-ім’я або IP сервера й потрібний порт. Наприклад,
db.localі5432— ілюстрація для PostgreSQL, а не готові реквізити вашої мережі. - Збережіть ресурс і перевірте з’єднання. Потім налаштуйте відповідний конектор у Data Bridge та його облікові дані.
Такий маршрут застосовується до PostgreSQL, MySQL, SQL Server, Azure SQL, Oracle, Db2, Redis і SMTP. Можна задавати список портів або CIDR-мережу, але точні адреси спрощують контроль. Для DNS-імені, дозволеного через CIDR, усі отримані IP мають входити в дозволену мережу.
SQL Server через Agent потребує явного порту: залиште ім’я екземпляра порожнім і задайте порт сервера. Дозвіл TCP не надає прав читати чи змінювати таблиці — це окремі права користувача бази. ODBC через Agent не використовується; виберіть спеціалізований конектор.
API: базовий URL і методи
Додайте ресурс API з базовою адресою, наприклад https://erp.local/api/. Це приклад внутрішньої адреси; замініть його фактичною. Дозволені лише цей URL і шляхи під ним. Не додавайте логін, параметри запиту або .. до базової адреси.
Почніть із GET та HEAD. Додайте POST, PUT, PATCH або DELETE тільки для потрібних операцій; окремі API використовують POST також для запитів читання. Для внутрішнього сертифіката задайте довірений PEM-файл центру сертифікації або перевірений SHA-256-відбиток. Тайм-аут запиту за замовчуванням становить 300 секунд і налаштовується в межах 1–3600 секунд.
Для IBM Planning Analytics задайте корінь REST API вашого сервера та методи, потрібні потоку. Через Agent підтримуються HTTP Basic, CAM namespace і Bearer. Корпоративний вхід Cognos Gateway або підключення з сеансу користувача використовують прямий маршрут.
Папки: межі та операції
Додайте ресурс Папка з абсолютним локальним або доступним службі мережевим шляхом. Читання дозволяється базово; create створює нові файли й папки, write перезаписує наявні, rename перейменовує та переміщує всередині ресурсу, delete видаляє. Не вмикайте всі права, якщо потрібне лише читання звітів.
Обмежте імена масками, наприклад *.xlsx і *.csv, та задайте максимальний розмір файлу. Нуль у ліміті ресурсу означає загальний ліміт Agent. Корені ресурсів не повинні бути вкладені один в одного. Вихід за межі через .., символічні посилання чи NTFS junction блокується.
Окремо надайте службі права ОС. Інструкції для Windows і macOS пояснюють UNC, системні томи та захищені папки. FTP/FTPS через Agent не використовується; для такого сценарію організуйте доступ до погодженої папки. Запис завершується після перевірки розміру та SHA-256; змінений після читання файл не перезаписується. Для Linux налаштуйте права службового облікового запису й постійне підключення мережевих папок за окремою інструкцією.
Мережа до Data Bridge
Дозвольте вихідний TCP 443 до HTTPS-адреси вашої установки Data Bridge та необхідні порти від Agent до локальних ресурсів. DNS має визначати потрібні імена; у мережі з проксі зовнішнє ім’я може визначати сам проксі. Вхідні правила для маршруту Agent не потрібні.
На вкладці Підключення почніть з автоматичного режиму. Він пробує доступні системні маршрути, WebSocket і HTTPS-запити. Для ручного режиму виберіть WSS або HTTPS та спосіб проксі: системний, без проксі чи заданий вручну. Проксі має дозволяти довгі з’єднання; тайм-аут простою — щонайменше 60 секунд. Для WSS потрібна підтримка Upgrade: websocket.
Проксі та довірені сертифікати
URL проксі задавайте без облікових даних і шляху; логін, домен та пароль — окремими полями. Windows підтримує системну авторизацію Negotiate/NTLM, зокрема від облікового запису комп’ютера; пароль зберігається окремо із захистом DPAPI. На macOS доступний NTLMv2 з логіном і паролем, але не Negotiate/Kerberos. Файл секретів доступний лише адміністратору та службі. У Linux погодьте спосіб авторизації проксі для вашого пакета з адміністратором; див. підготовку Linux.
Якщо корпоративне обладнання перевіряє TLS, додайте погоджений PEM кореневого сертифіката як Додатковий центр сертифікації; служба повинна читати файл. Не вимикайте перевірку TLS. Зовнішній мінімум — TLS 1.2 за замовчуванням або 1.3 за налаштуванням; внутрішній канал завжди використовує TLS 1.3.
Перевірка перед робочим потоком
Запустіть Діагностика → Запустити діагностику, потім перевірку кожного ресурсу й Тест підключення Data Bridge. Перевірки ресурсів не змінюють дані; пробний запис у папку потребує окремого підтвердження. Переконайтеся, що дозволена операція проходить, а непотрібні методи або папки залишаються недоступними.
Стандартні ліміти — 16 одночасних операцій, 1200 операцій за хвилину та файл до 4096 МБ. Це обмеження конфігурації, а не гарантія швидкості. Узгоджуйте їх із ресурсами комп’ютера й цільової системи. Залишайте аудит увімкненим; причини відмов розбирайте за інструкцією діагностики.