Enterprise on-premise
Весь Buff — внутри вашего периметра
Полный продукт на ваших машинах или в вашем облаке, автономно от buff.systems: та же автономная разработка, «Спросить», исследования и база знаний — на вашей модели, под вашим единым входом, с журналом аудита у вас. Ниже — по пунктам для службы ИБ, CTO и администратора закрытой сети: что остаётся внутри, кто это проверяет и как это живёт дальше.
Возражение 01
«Код и документы не должны покидать наш контур — ни к вам, ни к провайдеру моделей.»
Первое условие любой закрытой сети. В облаке его закрывает тариф; здесь — сама установка.
Всё — у вас: машины, данные, модель
Enterprise on-premise ставится мастером установки на ваши машины или в ваше облако и работает автономно от buff.systems. Содержимое репозиториев, задач и документов не покидает установку; модели — через шлюз установки с вашим провайдером или локальными моделями.
Ваша модель, ваш ключ
В мастере установки задаётся OpenAI-совместимый адрес — ваш LiteLLM, vLLM, Ollama — и ключ; OpenRouter не нужен. Логика «класс работ → модель» та же, что в облаке, но с вашими провайдерами и локальными моделями.
Что уходит на buff.systems
Только суточная проверка лицензии — четыре поля: идентификатор установки, версия, число пользователей и число раннеров; на нашей стороне фиксируется адрес, с которого пришла проверка. Содержимое не запрашивается и не передаётся.
Код один и тот же
Издания отличаются составом возможностей, местом установки и условиями — не кодом. Автономная разработка, «Спросить», исследования, база знаний, Buff Code и телефон работают с вашей установкой.
То, чего нет в Community
Несколько организаций в одной установке, роли и права участников, коды по почте как второй фактор, регистрация по приглашению или через единый вход.
Возражение 02
«В контуре нет интернета. Как это вообще поставить — и потом обновлять?»
Закрытая сеть обычно означает «перенос вручную и своими силами». Здесь перенос — часть комплекта.
Закрытый контур — штатный режим, а не исключение
Выпуск приходит носителем, лицензия — файлом, и той же дорогой идут обновления. Комплект buff-enterprise-kit.sh делает три шага:
fetch — на машине с доступом
Скрипт по сертификату скачивает образы ролей, деревья выпуска и стоковые образы — PostgreSQL, Gitea, Windmill, Authentik, шлюз моделей и остальное — в один каталог.
load — внутри контура
Тот же скрипт раскладывает стоковые образы по машинам установки по ssh.
serve — локальный реестр
Поднимает реестр с артефактами выпуска; мастеру установки указывают его адрес. Сертификат вводится файлом в админке.
Возражение 03
«Вход — только через наш каталог. Уволенный не должен открыть ни одну сессию.»
Отдельные пароли в ещё одной системе — то, что ИБ запрещает первым делом.
Единый вход через ваш IdP: группы каталога решают, кто где и с какой ролью
Установка ставит собственного брокера входа — Authentik — и заводит в нём приложение «Кабинет». Брокер подключается к вашему провайдеру штатными источниками: Active Directory/LDAP, Keycloak, любой SAML или OIDC. На экране входа — кнопка «Войти через единый вход», и вход подтверждает ваш провайдер.
Группы каталога — это роли
Группа «buff: org <организация>» — участие в организации, «… maintainer» — роль мейнтейнера. Группы читаются при каждом входе: добавили человека — он в организации, сменили группу — сменилась роль; без ни одной такой группы во вход не пропускается.
Один аккаунт на человека
Совпадение почты с существующей учёткой — та же учётка, без подтверждения паролем: брокер ваш. Парольный вход остаётся запасным, в том числе для администратора.
Экраны — в дизайн-системе Buff
Вход, выбор приложения, второй фактор, ошибки оформлены штатным механизмом бренда Authentik, без форка — обновление брокера их не ломает.
Операторы отдельно
Операторы поддержки, если они у вас есть, входят отдельными группами и приложениями — пользователи и операторы не смешиваются.
Возражение 04
«Служба безопасности должна видеть, кто, когда и что сделал, — и не со слов системы.»
Журнал, который можно отредактировать, — не журнал. Этот связан хэшами и проверяется вашим скриптом.
Журнал аудита — у вас, целиком, с проверкой целостности
Кто вошёл и откуда, кто изменил права, отправил задачу или одобрил публикацию, что сделал пайплайн — и каждый отказ: неверный пароль, действие без права. Записи не редактируются и не удаляются, хранятся всё время существования организации — без окна в 90 дней.
Цепочка хэшей
Хэш каждой записи считается от предыдущей и содержимого (SHA-256): вставить, изменить или убрать запись задним числом нельзя незаметно. Проверка — кнопкой в приложении или вашим скриптом по выгрузке.
CSV и JSON Lines — для SIEM
Выгружается всё, что подходит под фильтр, без ограничения объёма; выгрузка — тоже событие журнала. Секреты в журнал не попадают.
Отдельное право для офицера безопасности
Читать и выгружать журнал может владелец организации или участник с отдельным правом — оно не входит ни в одну роль по умолчанию, даже в Maintainer.
У каждой организации — свой
Раздел есть у каждой организации установки отдельно. Действия пайплайна записываются как события системы, отказы — с причиной в той формулировке, которую увидел человек.
Возражение 05
«Телефоны сотрудников в корпоративном контуре — отдельный риск.»
Поэтому решает не сотрудник, а администратор установки — и видит все подключённые телефоны.
Мобильный доступ — под политикой администратора
В админке установки — раздел «Мобильное приложение». Телефон действует от имени сотрудника и не может больше, чем он сам в кабинете; политика решает, можно ли его вообще подключить.
Главный переключатель
«Мобильный доступ включён» — выключен, и приложение к установке не подключается, а подключённые телефоны отключаются. Изменения вступают в силу в течение полуминуты.
Кто может подключать
«Все сотрудники», «Только роли» — выбранные роли — или «Запрещено сотрудникам». Владелец установки может подключить свой телефон всегда.
Push — через buff.systems или выключены
Выключены — уведомления на телефоны не уходят вовсе; то, что ждёт сотрудника, видно в приложении.
Телефоны, машины Buff Code и журнал
Все подключённые телефоны с кнопкой «Отключить», машины сотрудников с Buff Code, на которые действует та же политика, и журнал: кто, когда и что поменял. Отключённый телефон стирает у себя данные установки.
Шлюз содержимого не видит
Телефон и установка встречаются на шлюзе buff.systems и шифруют всё сквозным шифрованием. Установке не нужно открывать порты наружу — только исходящий доступ к buff.systems.
Возражение 06
«Кто это поддерживает и обновляет — и нужен ли вам доступ внутрь?»
Вопрос администратора, которому с установкой жить. Ответ: мастер, флот и договор; доступ оператора — по вашему выбору.
Мастер установки, флот воркеров и поддержка по договору
Мастер раскладывает роли по машинам и обновляет установку из артефактов выпуска. Флот воркеров — на нескольких машинах; требования к машинам и раскладка ролей зависят от нагрузки, их согласуем до установки.
Доступ оператора — по вашему выбору
Доступ нашего оператора для поддержки — VPN и единый вход операторов — по договору, опционально. Без него поддержка идёт по диагностическому архиву из админки.
Учёт расхода без денег
Расход считается по организациям и людям — без кошельков, тарифов и оплаты: модель и её ключ ваши.
Документация — на этом сайте
Те же разделы, что для облака: разработка, «Спросить», исследования, коннектор, Buff Code, телефон.
Артефакты — только по сертификату
Enterprise не публикуется ни в каком виде: образы, дистрибутив мастера, обновления и пакет для закрытого контура доступны только по действующему сертификату.
Возражение 07
«Что будет с установкой, если сертификат истечёт или связь с вами пропадёт?»
Честный ответ здесь важнее слова «бессрочно».
Сертификат на срок — и прямо о том, что он останавливает
Лицензия выпускается сертификатом с ограниченным сроком — помесячно, можно сразу на несколько месяцев. Установки со связью продлевают его автоматически после продления в нашей админке; в закрытый контур сертификат переносится файлом.
Просрочен или отозван
Останавливаются только новые задачи, прогоны, исследования и вопросы. Вход и чтение остаются — данные не блокируются.
Цена и заявка
250 000 ₽ в месяц, лицензия на организацию; токены не считаются — модель и её ключ ваши. Заявка открывает разговор: отвечаем на почту, обсуждаем условия, и только потом — договор.
Два издания на своей стороне
Community или Enterprise
Код один и тот же. Хватает трёх человек и одной организации — берите Community. Нужны несколько организаций, права, единый вход, аудит, больше людей и раннеров, поддержка или закрытый контур — Enterprise.
Что добавляет Enterprise
Строка за строкой — из таблицы изданий в документации.
| Community Edition | Enterprise on-premise | |
|---|---|---|
| Где работает | на вашей машине | на вашей инфраструктуре: роли разложены по машинам |
| Организаций | 1 | несколько |
| Пользователей и одновременных разработок | 3 пользователя, до 15 разработок | без ограничений — лимит один: лицензия на организацию |
| Модели | один OpenAI-совместимый эндпоинт на установку | LiteLLM-шлюз установки с вашими провайдерами и локальными моделями |
| Роли и права участников | нет — всем видно всё | да |
| Единый вход (SSO) | нет | да, через Authentik к вашему IdP |
| Журнал аудита | нет | да |
| Учёт расхода | нет | по организациям и людям, без денег |
| Регистрация | пользователей заводит администратор | по приглашению или через единый вход |
| Коды по почте (второй фактор) | нет | да |
| Закрытый контур | вручную: образы и файл лицензии | комплект переноса: выпуск носителем, лицензия файлом |
| Поддержка | не предоставляется — вопросы в репозитории | по договору; доступ оператора — опционально |
| Лицензия | бессрочная, с условиями | срочный сертификат, помесячно |
| Цена | бесплатно | 250 000 ₽ в месяц, лицензия на организацию |
| Как получить | с GitHub, одной командой | по договору — заявка ниже |
Вопросы про установку у себя
Что спрашивают дальше
Чем Enterprise отличается от Community?
Код один и тот же, отличаются состав и условия: несколько организаций вместо одной, роли и права, единый вход через ваш IdP, журнал аудита, учёт расхода, второй фактор, флот воркеров на нескольких машинах, закрытый контур комплектом и поддержка по договору. Community — одна организация, три пользователя, до 15 одновременных разработок, одна модель на установку, без поддержки.
Нужен ли доступ к OpenRouter или другим внешним моделям?
Нет. Модели идут через LiteLLM-шлюз установки с вашим провайдером: в мастере задаётся OpenAI-совместимый адрес — ваш LiteLLM, vLLM, Ollama — и ключ; модель дома — openai/<имя модели у провайдера>. Логика «класс работ → модель» та же, что в облаке.
Что установка передаёт на buff.systems?
При суточной проверке лицензии — ровно четыре поля: идентификатор установки, версия, число пользователей и число раннеров; на нашей стороне фиксируется адрес, с которого пришла проверка. Содержимое репозиториев, задач и документов не покидает вашу установку. В закрытом контуре сертификат переносится файлом.
Вам нужен доступ внутрь нашей сети?
Нет, если вы этого не хотите. Доступ нашего оператора для поддержки — VPN плюс единый вход операторов — предусмотрен договором как опция. Без него поддержка идёт по диагностическому архиву, который выгружается из админки.
Работают ли с установкой мобильное приложение и Buff Code?
Да. Телефон подключается из кабинета установки; телефон и установка встречаются на шлюзе buff.systems и шифруют всё сквозным шифрованием — шлюзу содержимое не видно, установке нужен только исходящий доступ. Кто может подключать телефоны и идут ли push-уведомления, задаёт администратор; машины сотрудников с Buff Code, вошедшие в установку, подчиняются той же политике.
Как получить Enterprise?
Оставьте заявку на этой странице или напишите на почту из раздела «Контакты». После договора вы получаете сертификат, доступ к артефактам и инструкцию по установке мастером. Требования к машинам и раскладка ролей зависят от нагрузки — их согласуем до установки.
Enterprise on-premise
Обсудим вашу установку
Заявка открывает разговор: отвечаем на почту, обсуждаем нагрузку, раскладку ролей по машинам и условия — и только потом договор. После него — сертификат, доступ к артефактам и инструкция по установке мастером.
Анкету вашей службы ИБ принимаем на info@buff.systems — ответим по пунктам, со ссылками на документацию