الانتقال إلى المحتوى الرئيسي

​
title: “النشر المُدار على مجموعة Kubernetes الخاصة بك” description: “توثيق النشر المُدار لـ AgentEye على مجموعة Kubernetes الخاصة بك.”

AgentEye هي منصة قابلة للاستضافة الذاتية لقابلية الملاحظة والتقييم لوكلاء الذكاء الاصطناعي وأنماط اللغة الكبيرة. تلتقط جلسات الوكيل واستدعاءات الأدوات وطلبات النموذج والأخطاء، وتحولها إلى تحليلات وتقييمات قابلة للبحث، وتعرض النتائج في لوحة معلومات مع مساعد ذكاء اصطناعي اختياري للقراءة فقط. في نموذج النشر المُدار، توفر مجموعة Kubernetes مخصصة ويقوم Exosphere بتشغيل المنصة الكاملة داخلها، ونشر وتكوين وتشغيل وعمل نسخ احتياطية وترقية كل مكون نيابة عنك. يحصل فريقك على قيمة المنصة (رؤية الوكيل والتحليلات والتقييم والمساعد الاختياري) دون الاضطرار إلى تشغيل قواعد البيانات أو الشهادات أو الترقيات. تبقى جميع البيانات ضمن حسابك السحابي.

​
المتطلبات الأساسية

  • GitHub PAT لسحب صور الحاويات وتنزيل الكائنات (انظر enterprise-docs/github-token.md)
  • مجموعة Kubernetes مخصصة (انظر المتطلبات أدناه)
  • دلو التخزين لنسخ احتياطية لقاعدة البيانات
  • الاتصال بالشبكة: المنفذ 443 الوارد إلى موازن الحمل للمجموعة

​
الخطوة 1: توفير مجموعة Kubernetes مخصصة

قم بإنشاء مجموعة Kubernetes مخصصة لـ AgentEye. يجب ألا تكون مشتركة مع أعباء عمل أخرى، بحيث تعمل المنصة الكاملة (خدمات التطبيقات وقواعس البيانات والتحليلات والتخزين المؤقت) بعزلة دون التأثير على البنية الحالية الموجودة لديك.
المتطلبالتفاصيل
التوزيعأي توزيع Kubernetes متوافق: EKS أو GKE أو AKS أو إدارة ذاتية
الإصدار1.27 أو إصدار أحدث
مجموعة العقدالحد الأدنى: 3 عقد، 4 vCPU / 8 GB RAM لكل منها (نماذج الأغراض العامة القياسية)
التخزينStorageClass افتراضي ينشئ وحدات تخزين كتلة (مثل gp3 على AWS أو pd-ssd على GCP)
موازن الحمليجب أن تكون المجموعة قادرة على توفير خدمات LoadBalancer السحابية (افتراضي على EKS و GKE و AKS)
يقوم Exosphere بتثبيت وإدارة كل شيء آخر داخل المجموعة: متحكمات الدخول وشهادات TLS وقواعس البيانات والتخزين المؤقت والمراقبة وجميع نشرات التطبيقات.

​
الخطوة 2: منح الوصول إلى فريق AgentEye

يحتاج Exosphere إلى وصول cluster-admin (أو RBAC عريض مكافئ) لإدارة مساحات الأسماء وتعريفات الموارد المخصصة ومتحكمات الدخول ومجهزي التخزين.
المتطلبالتفاصيل
طريقة الوصولدور IAM (مفضل لـ EKS/GKE) أو kubeconfig أو وصول قائم على SSO
VPN / bastionإذا كان خادم Kubernetes API خاصًا، وفر بيانات اعتماد VPN أو وصول bastion لفريق عمليات Exosphere

​
الخطوة 3: تكوين الاتصال بالشبكة

يحتاج فريق الشبكة لديك إلى السماح بحركة المرور الواردة على المنفذ 443 إلى موازنات حمل المجموعة. يقوم النشر بتشغيل موازني حمل منفصلين: أحدهما لاستقبال الأحداث (محمي بـ mTLS) وواحد للوحة المعلومات:
حركة المرورالمصدرالوجهةالأمان
استقبال الأحداثحاويات Collector في مجموعاتكموازن حمل الاستقبال، المنفذ 443mTLS (شهادة العميل) + مفتاح API
لوحة المعلوماتمتصفحات المطورينموازن حمل لوحة المعلومات، المنفذ 443HTTPS على نطاقك، تسجيل دخول OTP خالي من كلمة المرور عبر البريد الإلكتروني
تتم حماية نقطة الاستقبال بواسطة TLS المتبادل؛ يجب أن يقدم المجمعون شهادة عميل صحيحة و مفتاح API صحيح في كل طلب. تعمل لوحة المعلومات على موازن حمل واسم مضيف منفصل، مع تقييد تسجيل الدخول إلى عناوين البريد الإلكتروني/النطاقات المسموح بها لديك. سجلات DNS (مرة واحدة): يمكنك إنشاء سجلي CNAME ضمن نطاق تتحكم به — أحدهما لنقطة الاستقبال والآخر للوحة المعلومات (مثل agenteye.your-company.example) — يشير إلى أسماء مضيفات موازن الحمل التي يوفرها Exosphere. بعد ذلك، يقوم Exosphere بتوفير شهادات TLS الموثوقة علنًا لكلا اسمي المضيف تلقائيًا، بما في ذلك التجديدات.
ملاحظة المنفذ 80: يتم التحقق من إصدار الشهادة التلقائي والتجديد عبر HTTP على المنفذ 80 لكل موازن حمل. إذا كان وضع الأمان لديك يتطلب تقييد موازن حمل لوحة المعلومات على نطاقات IP الشركة، أخبر Exosphere أولاً — نحن ننتقل إلى طريقة التحقق القائمة على DNS (سجل DNS إضافي واحد من جانبك) بحيث تستمر التجديدات في العمل خلف القيد.
الصادر: تحتاج عقد المجموعة إلى الوصول إلى الإنترنت لسحب صور الحاويات من ghcr.io. إذا كانت شبكتك تقيد حركة المرور الصادرة، أدرج ghcr.io في القائمة البيضاء أو انسخ الصور إلى السجل الداخلي لديك.

​
الخطوة 4: توفير دلو تخزين النسخة الاحتياطية

يتم تخزين النسخ الاحتياطية لقاعدة البيانات في دلو التخزين السحابي الذي تملكه.
المتطلبالتفاصيل
الخدمةS3 (AWS) أو GCS (GCP) أو Azure Blob Storage
الوصولامنح إذن الكتابة إلى عقد المجموعة عبر دور IAM لحسابات الخدمة (IRSA على EKS أو Workload Identity على GKE) أو وفر بيانات الاعتماد
الاحتفاظأنت تتحكم في سياسة دورة حياة دلو التخزين (فترة الاحتفاظ وقواعد الأرشفة). يكتب Exosphere النسخ الاحتياطية؛ أنت تقرر المدة التي تريد الاحتفاظ بها
تقوم نسخة احتياطية واحدة يومية بتفريغ كل من PostgreSQL (الحالة العلائقية) و ClickHouse (الأحداث والتقييمات) في أرشيف مضغوط واحد وتحميله إلى دلو التخزين الخاص بك. تعمل النسخ الاحتياطية أيضًا قبل كل ترقية.

​
الخطوة 5: تحديد جهة اتصال

وفر شخصًا واحدًا أو قناة Slack/Teams من جانبك لمشاكل مستوى المجموعة: صحة العقدة وحدود حسابات السحابة والتغييرات في الشبكة. لا تتطلب عمليات يومية تدخل هذا الاتصال.

​
ما ننشره

بمجرد أن يحصل Exosphere على وصول المجموعة، يتم نشر المكونات التالية وإدارتها لك:
المكونالدور
خادم AgentEyeواجهة برمجية HTTP تستقبل الأحداث من المجمعين وتشغل التحليلات وتقدم البيانات لوحة المعلومات
لوحة المعلوماتواجهة ويب لعرض جلسات الوكيل واستدعاءات الأدوات وطلبات النموذج والأخطاء؛ تستضيف مساعد الذكاء الاصطناعي الاختياري للقراءة فقط
ClickHouseمخزن قانوني مطلوب للأحداث والتحليلات والتقييمات المستقبلة
PostgreSQLمخزن العلائقي للمنظمات ومفاتيح API والمستخدمين ولوحات المعلومات والاستعلامات المحفوظة
Redisذاكرة تخزين مؤقت مشتركة اختيارية وخلفية حد معدل؛ تتدهور المنصة بأناقة إذا كانت غير متاحة
مساعد الذكاء الاصطناعي (اختياري)حاوية مساعد داخلية للقراءة فقط؛ تبقى معطلة حتى يتم تكوين نقطة نهاية LLM
متحكمات الدخولموازنا حمل منفصلين (أحدهما لاستقبال محمي بـ mTLS والآخر للوحة المعلومات) يكملان TLS بشهادات موثوقة علنًا وقابلة للتجديد التلقائي وتطبق mTLS على نقطة الاستقبال
cert-managerيؤتمت توفير شهادات TLS وإصدار شهادات عميل mTLS
مراقبة الشهادةتتحقق وظيفة مجدولة من انتهاء صحة الشهادة وترسل تنبيهات (مثل إلى Slack) عندما تقترب الشهادات من التجديد
تعمل الخدمة المُدارة أيضًا على خط أنابيب التقييم الخاص بالمنصة، والذي يسجل نشاط الوكيل مقابل معايير التقييم الخاصة بك. انظر enterprise-docs/assistant.md و enterprise-docs/evaluation-suite.md لتعرف على ما توفره هذه الإمكانيات.

​
ما نوفره لك

بعد انتهاء النشر، تتلقى:
البندالتفاصيل
عنوان URL لوحة المعلوماتاسم مضيف ضمن نطاقك (مثل https://agenteye.your-company.example)، مقدم مع شهادة TLS موثوقة علنًا وقابلة للتجديد التلقائي. يمكنك إنشاء CNAME واحد لاسم مضيف موازن الحمل الذي نوفره؛ تسجيل الدخول هو بريد إلكتروني OTP خالي من كلمة المرور
نقطة نهاية Collectorمسار /events لاسم مضيف الاستقبال (مثل https://ingest.your-company.example/events)، محمي بـ mTLS
حزمة شهادة العميللكل مجموعة: شهادة عميل ومفتاح خاص وشهادة CA يتم تسليمها كبيان Secret في Kubernetes. طبقها مرة واحدة لكل مجموعة
GitHub PATلتنزيل ملفات Collector الثنائية وحزم Python SDK
مفاتيح API Collectorمفاتيح محدودة النطاق بإذن events:add، واحد لكل نشر Collector
أدلة التثبيتمستندات خطوة بخطوة لـ Collector و Python SDK

​
ما تفعله بعد الإعداد

العمل الوحيد المستمر لديك هو على آلات الوكيل الخاصة بك، وليس على مجموعة AgentEye:
  1. ثبت Collector في كل مجموعة Kubernetes التي تقوم بتشغيل وكلاء الذكاء الاصطناعي: ركب شهادة العميل وكوّن عنوان نقطة النهاية ومفتاح API. انظر enterprise-docs/collector-installation.md.
  2. دمج Python SDK في كود الوكيل الخاص بك. انظر enterprise-docs/python-sdk.md.
  3. افتح لوحة المعلومات في المتصفح الخاص بك لعرض نشاط الوكيل.
لا توجد عمليات مجموعة ولا إدارة قاعدة بيانات ولا تجديدات شهادات ولا ترقيات.

​
الأمان

  • البيانات تبقى في حسابك السحابي. المجموعة والتخزين وقواعس البيانات كلها تعمل في بيئتك. لا تترك أي بيانات حدودك.
  • أنت تتحكم في الوصول. المجموعة في حسابك. يمكنك تدقيق أو مراقبة أو إلغاء وصول Exosphere في أي وقت. تمر جميع العمليات عبر سجل المراجعة السحابي (CloudTrail و GCP Audit Logs وما إلى ذلك).
  • mTLS على استقبال الأحداث. يتطلب كل طلب Collector شهادة عميل صحيحة و مفتاح API. مفتاح مسرّب بلا فائدة بدون الشهادة؛ شهادة مسروقة بلا فائدة بدون مفتاح صحيح.
  • التحكم في وصول لوحة المعلومات. تعمل لوحة المعلومات على موازن حمل منفصل، منفصلة عن استقبال الأحداث، وتسجيل الدخول هو بريد إلكتروني OTP خالي من كلمة المرور مقيد بعناوين البريد الإلكتروني/النطاقات المسموح بها. قائمة بيضاء بنطاق IP المصدر على موازن الحمل متاحة عند الطلب؛ لأن تجديد الشهادة التلقائي يجب أن يصل إلى موازن الحمل، يقترن Exosphere القيد بالتحقق من الشهادة القائم على DNS بحيث تستمر التجديدات في العمل.
  • شهادات لكل مجموعة. تتلقى كل مجموعة من مجموعاتك شهادة عميل خاصة بها. إذا تم اختراق مجموعة واحدة، يتم إلغاء تلك الشهادة بشكل مستقل دون التأثير على الآخرين.

​
مخطط النشر الزمني

المرحلةالمدةمشاركتك
توفير المجموعة1-2 يوموفر المجموعة ومنح وصول Exosphere
إعداد المنصة1 يومبلا؛ يقوم Exosphere بتثبيت جميع مكونات البنية الأساسية
نشر التطبيق1 يومبلا؛ يقوم Exosphere بنشر الخادم ولوحة المعلومات وإنشاء مفاتيح API
طرح Collector1-3 أيامثبت المجمعات في مجموعاتك (بإرشادات من Exosphere)
فترة الاحتراق الإنتاجية1 أسبوعبلا؛ يراقب Exosphere وينقح
الإجمالي النموذجي: ~أسبوعين من البداية إلى جاهزية الإنتاج.

​
الدعم

للأسئلة أو المشاكل، اتصل بـ Exosphere على support@exosphere.host.

​
الخطوات التالية