Enterprise on-premise

Enterprise on-premise — полный продукт на вашей инфраструктуре: ваши машины или ваше облако, автономно от buff.systems. Ставится мастером установки, который раскладывает роли по машинам; обновляется им же из артефактов выпуска.

Что входит

• Несколько организаций, роли и права участников, журнал аудита.
• Единый вход пользователей через ваш IdP (Active Directory, Keycloak, SAML, OIDC) — Authentik как брокер, экраны в нашей дизайн-системе; парольный вход остаётся запасным.
• Флот воркеров на нескольких машинах; учёт расхода по организациям и людям — без кошельков и оплаты.
• Модели — через LiteLLM-шлюз установки с вашим провайдером: в мастере задаётся OpenAI-совместимый адрес (ваш LiteLLM, vLLM, Ollama) и ключ, модель дома — openai/<имя модели у провайдера>; OpenRouter тогда не нужен. Логика «класс работ → модель» как в SaaS.
• Закрытый контур без интернета: пакет релиза переносится носителем, лицензия — файлом.
• Доступ нашего оператора для поддержки (VPN + единый вход операторов) — по договору, опционально; без него поддержка по диагностическому архиву из админки.

Полное сравнение с SaaS и Community — на странице Издания.

Единый вход пользователей

Установка ставит собственного брокера входа (Authentik) и заводит в нём приложение «Кабинет». Брокер подключается к вашему провайдеру — Active Directory/LDAP, Keycloak, любому SAML или OIDC — штатными источниками Authentik; кабинет об этом не знает: на экране входа есть кнопка «Войти через единый вход», и вход подтверждает ваш провайдер.

Кто в какую организацию входит и с какой ролью, говорят группы брокера — их сопоставляют группам вашего каталога в самом Authentik:

Организация — её короткое имя в кабинете. Группы читаются при каждом входе: добавили человека в группу — он в организации, сменили группу — сменилась роль. Владельца организация назначает сама; человек без ни одной такой группы во вход не пропускается. Аккаунт один на человека: совпадение почты с существующей учёткой — та же учётка, без подтверждения паролем, поскольку брокер — ваш. Парольный вход остаётся запасным, в том числе для администратора.

Экраны брокера — вход, выбор приложения, второй фактор, ошибки — оформлены в цветах дизайн-системы Buff штатным механизмом бренда Authentik, без форка: обновление брокера их не ломает. Операторы поддержки (если они у вас есть) входят отдельными группами и приложениями — пользователи и операторы не смешиваются.

Лицензия

Лицензия выпускается сертификатом с ограниченным сроком — помесячно, можно сразу на несколько месяцев. Установки со связью продлевают его автоматически после продления в нашей админке; в закрытый контур сертификат переносится файлом. Просроченный или отозванный сертификат останавливает новые задачи, прогоны, исследования и вопросы; вход и чтение остаются.

Enterprise не публикуется ни в каком виде: образы, дистрибутив мастера, обновления и пакет для закрытого контура доступны только по действующему сертификату.

Закрытый контур

Установка без доступа в интернет получает выпуск носителем. На машине с доступом скрипт buff-enterprise-kit.sh fetch <версия> <id установки> <файл сертификата> скачивает по сертификату образы ролей, деревья выпуска и стоковые образы (PostgreSQL, Gitea, Windmill, Authentik, шлюз моделей и остальное) в один каталог. В контуре тот же скрипт load раскладывает стоковые образы по машинам установки по ssh, а serve поднимает локальный реестр с артефактами выпуска — мастеру указывают его адрес. Сертификат в контуре вводится файлом в админке.

Как получить

Напишите нам через форму на сайте или на почту из раздела «Контакты». После договора вы получаете сертификат, доступ к артефактам и инструкцию по установке мастером. Требования к машинам и раскладка ролей зависят от нагрузки — их согласуем до установки.