Tunnel de l’ordinateur

Connectez votre machine via le tunnel d’agent Beeuni avec autorisation.

Un ordinateur est votre propre machine — ordinateur portable, ordinateur de bureau ou serveur — connectée à Beeuni par un tunnel inverse avec autorisation. Un ordinateur n’est pas un bac à sable. Un bac à sable est une machine cloud éphémère que Beeuni crée pour une session. Un ordinateur est une machine que vous possédez déjà et qui reste connectée d’une session à l’autre.

Un ordinateur connecté est un compte du connecteur computer, tout comme une boîte Gmail personnelle est un compte du connecteur Gmail. Chaque projet intègre le connecteur computer ; vous ne l’ajoutez ni ne le supprimez jamais. Chaque membre connecte son propre ordinateur, qui le suit : c’est un compte dans chaque projet auquel il appartient, dans chaque espace de travail, sans rien configurer pour chaque projet.

Ajoutez Computer Tunnel depuis le catalogue de connecteurs du projet.
Exécutez la commande d’association affichée dans le profil, par exemple npx --yes @beeuni/agent-tunnel@latest connect --api-url <url>.
Approuvez la connexion dans votre navigateur.
Sélectionnez la machine associée pour le profil.

Une carte Connecter votre ordinateur reste dans la barre latérale du projet jusqu’à ce que vous ayez connecté un ordinateur. Fermez-la avec × si vous n’en avez pas besoin ; elle restera masquée dans ce navigateur. La carte ne s’affiche pas dans un déploiement où les ordinateurs sont désactivés.

Vous accordez l’accès par capacité : système de fichiers, shell ou bureau. Vous pouvez limiter chaque capacité aux chemins, commandes ou fonctionnalités de bureau autorisés. Une autorisation de capacité est un paramètre propre à une ressource sur une machine, et non un rôle Beeuni. Elle n’accorde aucun droit refusé par la décision du rôle — voir Comptes et accès. L’agent ne reçoit que ce que vous lui accordez. Un appel à une capacité non autorisée crée une demande d’autorisation. Ouvrez la machine dans son profil Computer Tunnel pour approuver ou refuser la demande.

Dans un navigateur. Cliquez sur Connecter votre ordinateur dans la carte. La boîte de dialogue propose Télécharger Beeuni pour ordinateur, qui connecte ensuite l’ordinateur en un clic. Pour vous connecter sans l’application, choisissez Utiliser plutôt l’interface CLI et exécutez sur l’ordinateur la commande affichée :

Comment l’agent accède à un ordinateur

L’association ajoute une machine à votre parc de comptes. Elle ne crée aucune affectation et n’accorde donc aucun accès à un projet. Ajoutez Computer Tunnel depuis le catalogue de connecteurs du projet, puis sélectionnez une ou plusieurs machines associées pour ce profil.

Un profil peut contenir une machine ou un ensemble de machines. Un ensemble de machines n’est pas un groupe de comptes — un groupe de comptes est un principal du modèle de rôles, alors qu’ici il s’agit de machines. Vous pouvez créer plusieurs profils avec des ensembles de machines différents ou qui se chevauchent. Chaque profil a ses propres autorisations d’agent et règles d’outils.

L’outil list_computers ne renvoie que les machines affectées au profil actif. Les autres outils acceptent un nom ou un identifiant computer facultatif parmi les résultats. Le sélecteur est facultatif lorsqu’une seule machine affectée est en ligne.

beeuni connectors call studio-computers.list_computers '{}'

beeuni connectors call studio-computers.fs.read \
  '{"computer":"MacBook-Pro-9.local","path":"/etc/hosts"}'

La commande affiche un code et ouvre la page d’approbation. Sur cette page :

Vérifiez que le code correspond à celui affiché sur l’ordinateur.
Nommez l’ordinateur. Ce nom devient le libellé du compte.
Choisissez Qui peut utiliser cet ordinateur : Vous uniquement (option par défaut : tous les projets, vos sessions privées) ou Partager également avec le projet indiqué dans la commande. Le partage nécessite l’autorisation de gérer les connexions de ce projet.
Sélectionnez ce que les agents peuvent faire : Système de fichiers, Shell, Utilisation de l’ordinateur.

L’ordinateur apparaît ensuite sous Personnaliser → Connecteurs → Computer → Comptes dans chaque projet auquel vous appartenez. Sa ligne ressemble à celle de tout autre compte de connecteur et fonctionne comme elle ; si l’ordinateur n’est pas connecté, Hors ligne s’affiche sous son nom.

Beeuni identifie chaque ordinateur au moyen d’un hachage de son identifiant matériel (IOPlatformUUID sous macOS, /etc/machine-id sous Linux, MachineGuid sous Windows). Si vous reconnectez le même ordinateur après une réinstallation, un changement de nom ou de réseau, son entrée existante est mise à jour au lieu d’en créer une seconde. Son nom, ses paramètres de partage et ses associations de session sont conservés.

Votre ordinateur (application de bureau)

Ouvrez le menu de l’espace de travail (le nom du projet en haut de la barre latérale), puis choisissez Votre ordinateur. Le point à côté indique l’état de l’ordinateur. La boîte de dialogue affiche le nom de l’ordinateur et l’un des états suivants : En ligne, Connexion en cours, Hors ligne, En pause ou Reconnexion requise (l’ordinateur a été déconnecté ailleurs ; Connecter cet ordinateur l’associe à nouveau). Vous pouvez alors :

Mettre en pause la connexion / Reprendre la connexion : arrêter ou redémarrer le service en arrière-plan. Un ordinateur en pause est hors ligne pour les agents (computer_offline) et reste en pause après un redémarrage.
Accès : déterminer si les agents peuvent utiliser l’ordinateur lorsqu’il est connecté. Voir Accès sur l’ordinateur.
Garder cet ordinateur éveillé lorsqu’il est branché (macOS et Linux) : l’ordinateur ne se met pas en veille lorsqu’il est alimenté, ce qui permet aux agents de le joindre. Désactivé par défaut. Sous Windows, la ligne indique que cette fonctionnalité n’est pas encore disponible.
Partage : ouvrez l’onglet Comptes du connecteur de l’ordinateur, puis choisissez Partager sur la ligne de l’ordinateur.
Afficher les journaux : ouvrez le fichier journal de l’agent.
Déconnecter : retirer l’ordinateur de Beeuni et de tous les projets, puis arrêter le service en arrière-plan.

Accès sur l’ordinateur

L’ordinateur lui-même détermine si un agent peut l’utiliser, quels que soient les paramètres du projet. Vous réglez cela dans Votre ordinateur → Accès ou depuis l’icône de la barre de menus :

Demander à chaque fois (option par défaut pour un ordinateur connecté dans l’application de bureau) : au premier appel d’un agent, une invite s’affiche sur l’ordinateur : Autoriser pendant 24 heures, Autoriser pendant 1 heure (bouton par défaut) ou Refuser. Une approbation couvre les fichiers, le shell, l’écran et le clavier pour tous les agents pouvant joindre l’ordinateur, jusqu’à son expiration. Pendant une approbation, la boîte de dialogue affiche Autorisé jusqu’à 14 et Révoquer maintenant. Après Refuser, les appels échouent immédiatement pendant 10 minutes, sans nouvelle invite. Changer de mode met fin à l’approbation ou au refus en cours.
Toujours autorisé : aucune invite. C’est l’option par défaut pour un ordinateur connecté uniquement avec l’interface CLI, car rien sur cet ordinateur ne peut afficher d’invite. Les ordinateurs connectés avant l’ajout de ce paramètre fonctionnent également ainsi jusqu’à ce que vous le changiez.
Désactivé : tous les appels sont refusés.

Vous seul pouvez élargir l’accès, depuis l’ordinateur. Lorsque la page Beeuni demande Toujours autorisé ou une nouvelle approbation, l’application de bureau affiche d’abord une boîte de dialogue native et n’applique le changement que si vous cliquez sur Autoriser. Chaque nouvelle association rétablit les paramètres par défaut, et Déconnecter supprime ce paramètre.

Le paramètre est enregistré sur l’ordinateur (~/.agent-tunnel/access.json). La ligne du compte et l’outil status le signalent afin qu’un agent puisse vous indiquer qu’il attend votre approbation.

Qui peut utiliser un ordinateur

Un ordinateur suit les mêmes règles que tout autre compte de connecteur :

Un ordinateur privé (option par défaut, Vous uniquement) ne fonctionne que dans les sessions privées de son propriétaire, dans tous les projets auxquels celui-ci appartient. Les autres membres ne peuvent ni le voir ni l’utiliser.
Partager sur la ligne de l’ordinateur ouvre la même boîte de dialogue que pour un compte Gmail : choisissez des personnes, des groupes ou tous les membres du projet. Rien ne change tant que vous n’avez pas choisi Enregistrer, et vous restez parmi les personnes autorisées tant que vous ne vous retirez pas. Le partage nécessite l’autorisation de gérer les connexions du projet. L’ordinateur reste un seul compte dans ce projet ; la ligne indique alors qui peut l’utiliser.
Un ordinateur partagé avec tout le monde fonctionne pour tous les membres du projet, y compris lors d’exécutions sans surveillance : déclencheurs, planifications et messages Slack sans utilisateur associé. Une exécution sans surveillance ne peut accéder qu’aux ordinateurs partagés.
Votre propre ligne vous suit ; elle ne peut donc pas être supprimée d’un seul projet. Déconnecter la supprime de Beeuni et de tous les projets. Pour le garder connecté sans qu’il soit utilisé, désactivez son accès sur l’ordinateur en choisissant Désactivé.

Pour soumettre les appels à risque à l’approbation d’une personne, définissez une règle de connecteur dans l’onglet Outils du connecteur de l’ordinateur (par exemple, Demander pour shell.exec). La demande apparaît alors dans les approbations du projet.

Ce que l’ordinateur autorise

Vous choisissez les capacités une fois, lors de l’approbation de l’ordinateur. Pour autoriser une capacité ultérieurement, reconnectez l’ordinateur et sélectionnez-la.

La configuration de l’agent local constitue la limite maximale de chaque appel, quels que soient les droits accordés par Beeuni. Elle se trouve dans ~/.agent-tunnel/config.json sur l’ordinateur :

Champ	Valeur par défaut	Effet
`enabledCapabilities`	les capacités que vous avez approuvées	Capacités que la machine accepte.
`allowedPaths`	votre répertoire personnel	Chemins auxquels les appels au système de fichiers peuvent accéder.
`blockedPaths`	`/etc/shadow`, `/etc/ssh`, `/proc`, …	Chemins auxquels aucun appel ne peut accéder.
`allowedCommands`	vide (toutes les commandes)	Si défini, seuls les exécutables que `shell.exec` peut exécuter.
`blockedCommands`	vide	Exécutables que `shell.exec` n’exécute jamais.

Un shell sans restriction peut exécuter tout exécutable accessible à votre utilisateur. Limitez allowedPaths et allowedCommands aux besoins du travail.

L’utilisation de l’ordinateur nécessite l’installation locale distincte de cua-driver. L’agent ne télécharge, n’installe ni ne met à jour cet exécutable.

Configurez les profils Computer Tunnel depuis le tableau de bord, et non depuis beeuni.yaml. Utilisez l’onglet Comptes du profil pour associer, sélectionner, inspecter, renommer et supprimer des machines. Utilisez son onglet Outils pour configurer la règle du connecteur.

Transférer des fichiers binaires en toute sécurité

Pour les feuilles de calcul, les PDF, les images et autres fichiers binaires, transférez directement les octets depuis un fichier source. Ne demandez jamais à l’agent de copier une chaîne base64 issue du résultat d’un outil. Cela peut modifier les octets sans changer la taille du fichier.

Sur la machine ou le bac à sable qui contient la source, configurez TUNNEL_API_URL, TUNNEL_TOKEN et TUNNEL_ID, puis exécutez :

agent-tunnel-cli fs_upload '{"source":"/tmp/report.xlsx","path":"/Users/me/Desktop/report.xlsx"}'

La commande prend en charge les fichiers jusqu’à 3 Mio et nécessite la capacité du système de fichiers. Elle calcule le hachage SHA-256 de la source et vérifie le hachage renvoyé par la destination. Mettez à jour l’agent connecté si sa réponse ne contient pas de champ sha256.

Pour les fichiers plus volumineux, générez l’artefact sur la destination. Vérifiez le format de la source avant la livraison. Un hachage correspondant prouve que les octets sont arrivés sans modification ; la taille du fichier et son extension ne prouvent pas qu’Excel peut ouvrir un classeur.