Despliegue Administrado en tu Clúster de Kubernetes

AgentEye es una plataforma de observabilidad y evaluación autoalojada para agentes de IA y LLM. Captura sesiones de agentes, llamadas a herramientas, solicitudes al modelo y errores; los convierte en analíticas y evaluaciones con capacidad de búsqueda, y presenta los resultados en un panel con un asistente de IA opcional de solo lectura. En el modelo de despliegue administrado, tú provees un clúster de Kubernetes dedicado y Exosphere ejecuta toda la plataforma dentro de él: despliega, configura, opera, hace copias de seguridad y actualiza cada componente en tu nombre. Tu equipo obtiene el valor de la plataforma (visibilidad de agentes, analíticas, evaluación y el asistente opcional) sin necesidad de gestionar bases de datos, certificados ni actualizaciones. Todos los datos permanecen dentro de tu cuenta en la nube.

---

​

Requisitos previos

• Un PAT de GitHub para descargar imágenes de contenedores y artefactos (consulta enterprise-docs/github-token.md)
• Un clúster de Kubernetes dedicado (consulta los requisitos a continuación)
• Un bucket de almacenamiento para copias de seguridad de bases de datos
• Conectividad de red: puerto 443 de entrada al balanceador de carga del clúster

---

​

Paso 1: Aprovisionar un Clúster de Kubernetes Dedicado

Crea un clúster de Kubernetes dedicado exclusivamente a AgentEye. No debe compartirse con otras cargas de trabajo, de modo que la plataforma completa (servicios de aplicación, bases de datos, analíticas y caché) se ejecute en aislamiento sin afectar tu infraestructura existente.

Exosphere instala y gestiona todo lo demás dentro del clúster: controladores de ingress, certificados TLS, bases de datos, caché, monitoreo y todos los despliegues de aplicaciones.

---

​

Paso 2: Otorgar Acceso al Equipo de AgentEye

Exosphere necesita acceso cluster-admin (o RBAC amplio equivalente) para gestionar namespaces, definiciones de recursos personalizados, controladores de ingress y aprovisionadores de almacenamiento.

---

​

Paso 3: Configurar la Conectividad de Red

Tu equipo de red debe permitir tráfico de entrada en el puerto 443 hacia los balanceadores de carga del clúster. El despliegue utiliza dos balanceadores de carga separados: uno para la ingesta de eventos (protegido con mTLS) y otro para el panel: El endpoint de ingesta está protegido por TLS mutuo; los colectores deben presentar un certificado de cliente válido y una clave de API válida en cada solicitud. El panel se ejecuta en su propio balanceador de carga y hostname, con el inicio de sesión restringido a las direcciones de correo electrónico o dominios que incluyas en tu lista de permitidos. Registros DNS (única vez): creas dos registros CNAME bajo un dominio que controlas — uno para el endpoint de ingesta y otro para el panel (p. ej. agenteye.tu-empresa.ejemplo) — apuntando a los hostnames del balanceador de carga que Exosphere proporciona. Exosphere luego aprovisiona certificados TLS de confianza pública para ambos hostnames de forma automática, incluyendo las renovaciones.

Nota sobre el puerto 80: la emisión y renovación automática de certificados valida mediante HTTP en el puerto 80 de cada balanceador de carga. Si tu postura de seguridad requiere restringir el balanceador de carga del panel a rangos de IP corporativos, comunícaselo a Exosphere primero — cambiamos la validación de certificados a un método basado en DNS (un registro DNS adicional de tu parte) para que las renovaciones sigan funcionando detrás de la restricción.

Saliente: los nodos del clúster necesitan acceso a Internet para descargar imágenes de contenedores desde ghcr.io. Si tu red restringe el tráfico saliente, agrega ghcr.io a la lista de permitidos o replica las imágenes en tu registro interno.

---

​

Paso 4: Proporcionar un Bucket de Almacenamiento para Copias de Seguridad

Las copias de seguridad de las bases de datos se almacenan en un bucket de almacenamiento en la nube de tu propiedad. Una copia de seguridad diaria vuelca tanto PostgreSQL (estado relacional) como ClickHouse (eventos y evaluaciones) en un único archivo comprimido y lo sube a tu bucket. Las copias de seguridad también se ejecutan antes de cada actualización.

---

​

Paso 5: Designar un Punto de Contacto

Proporciona una persona o canal de Slack/Teams de tu lado para problemas a nivel de clúster: salud de nodos, límites de cuenta en la nube, cambios de red. Las operaciones del día a día no requieren involucrar a este contacto.

---

​

Qué Desplegamos

Una vez que Exosphere tiene acceso al clúster, los siguientes componentes se despliegan y gestionan en tu nombre: La oferta administrada también opera el pipeline de evaluación de la plataforma, que puntúa la actividad de los agentes según tus criterios de evaluación. Consulta enterprise-docs/assistant.md y enterprise-docs/evaluation-suite.md para conocer lo que estas capacidades ofrecen.

---

​

Qué te Proporcionamos

Una vez completado el despliegue, recibes:

---

​

Qué Haces Después de la Configuración

Tu único trabajo continuo es en tus propias máquinas de agentes, no en el clúster de AgentEye:

1. Instala el colector en cada clúster de Kubernetes que ejecute agentes de IA: monta el certificado de cliente y configura la URL del endpoint y la clave de API. Consulta enterprise-docs/collector-installation.md.
2. Integra el SDK de Python en el código de tu agente. Consulta enterprise-docs/python-sdk.md.
3. Abre el panel en tu navegador para ver la actividad de los agentes.

Sin operaciones de clúster, sin gestión de bases de datos, sin renovaciones de certificados, sin actualizaciones.

---

​

Seguridad

• Los datos permanecen en tu cuenta en la nube. El clúster, el almacenamiento y las bases de datos se ejecutan en tu entorno. Ningún dato sale de tu perímetro.
• Tú controlas el acceso. El clúster está en tu cuenta. Puedes auditar, monitorear o revocar el acceso de Exosphere en cualquier momento. Todas las operaciones quedan registradas en el log de auditoría de tu nube (CloudTrail, GCP Audit Logs, etc.).
• mTLS en la ingesta de eventos. Cada solicitud del colector requiere tanto un certificado de cliente válido como una clave de API. Una clave filtrada es inútil sin el certificado; un certificado robado es inútil sin una clave válida.
• Control de acceso al panel. El panel se ejecuta en su propio balanceador de carga, separado de la ingesta de eventos, y el inicio de sesión es OTP por correo electrónico sin contraseña, restringido a las direcciones de correo electrónico o dominios que incluyas en tu lista de permitidos. Una lista de rangos de IP de origen permitidos en el balanceador de carga está disponible bajo solicitud; dado que la renovación automática de certificados debe llegar al balanceador de carga, Exosphere combina la restricción con validación de certificados basada en DNS para que las renovaciones sigan funcionando.
• Certificados por clúster. Cada uno de tus clústeres recibe su propio certificado de cliente. Si un clúster se ve comprometido, ese certificado se revoca de forma independiente sin afectar a los demás.

---

​

Cronograma de Despliegue

Total típico: ~2 semanas desde el inicio hasta producción lista.

---

​

Soporte

Para preguntas o problemas, contacta a Exosphere en support@exosphere.host.

---

​

Próximos Pasos

• Primeros pasos: recorrido completo de extremo a extremo
• Instalación del colector: instalar y configurar el colector
• SDK de Python: instrumentar el código de tu agente
• Claves de API: gestionar accesos y permisos
• Solución de problemas: problemas comunes y soluciones