Vidik, Izlog i Fioka do vaše baze idu kroz isti program — instalira se jednom, a svaki sledeći proizvod se samo uključi. Najčešće pitanje nije „šta ume" nego „gde su nam podaci". Odgovor nije obećanje nego tri stvari koje možete da proverite sami: nalog koji ne sme da piše, program koji odbija svaki upis, i dnevnik u kom stoji svaki upit koji je izvršen.
Svaka kartica ima objašnjenje za vlasnika i jedan red za vašeg IT čoveka. Ispod je animacija koja sve to pokaže na jednom pitanju.
Jedan fajl koji pokrenete na serveru gde je PANTHEON baza. Ne instalira se ništa uz njega, ne dira se PANTHEON i ne menja se način rada. Može da radi kao Windows servis, pa se sam podigne posle restarta servera.
IT: jedan .exe, Node ugrađen; podešavanja u panelu na localhost
Konektor sam otvori vezu ka našem servisu i drži je otvorenu. Ka vašoj mreži se ne otvara nijedan port, nema VPN-a ni prosleđivanja na ruteru. Ako veza padne, sam se ponovo javi čim se internet vrati.
IT: samo odlazna veza, 443/TLS (WebSocket), ping na 30 s
Konektor vam pokaže ključ, vi ga nalepite u Vidik, Izlog ili Fioku i time ih povežete. Ključ nastaje kod vas, ne kod nas. Lozinka za bazu ostaje na vašem serveru, zaključana tako da na drugom računaru ne vredi ništa.
IT: lozinka u konektor.json, zaštićena Windows DPAPI-jem
Konektor sam pronađe SQL Server i PANTHEON baze na mašini. Vi štiklirate koje firme delite. Za ostale baze naš servis ne zna ni da postoje, pa nema ni kako da ih pita.
IT: spisak dozvoljenih baza proverava konektor, ne servis
Prva brava je nalog u bazi koji sme samo da čita. To sprovodi vaš SQL Server, ne mi. Druga je sam konektor: odbije svako pitanje koje bi da menja podatke, pre nego što stigne do baze. Upis narudžbine iz Izloga i računa iz Fioke radi samo ako ga vi uključite u panelu.
IT: preporuka db_datareader; upisi su imenovane operacije, podrazumevano isključene
Svako pitanje koje je konektor postavio bazi stoji u dnevniku, u panelu na vašem serveru. Kad niko ne gleda, konektor posle deset minuta pusti bazu. Dugme „Prekini pristup" gasi vezu odmah, bez nas.
IT: najviše 4 SQL konekcije po bazi, zatvaraju se posle 10 min mirovanja
Direktor na telefonu pita koliko kupci duguju. Evo šta se dešava za tu sekundu dok broj ne stigne — korak po korak, sa svim proverama usput.
Konektor pokrenete jednom, na svom serveru. On sam pozove naš servis i drži tu vezu otvorenu — kao telefonski razgovor u kom slušalicu niko ne spušta. Vi zovete nas; mi vas ne možemo pozvati.
Otvorite Vidik na telefonu, iz kancelarije ili iz automobila. Pitanje „ko nam duguje" ode na naš servis, isto kao kad otvorite bilo koju veb stranicu.
Naš servis ne može sam da uđe u vašu firmu — nema kroz šta. Pitanje vrati nazad kroz onu istu vezu koju je konektor otvorio u prvom koraku.
Pre nego što išta pita bazu, konektor proveri da pitanje samo čita i zapiše ga u dnevnik. Taj dnevnik vidite vi, na svom serveru, a ne mi.
Baza odgovori kao da je pitao bilo koji program u firmi. PANTHEON za to vreme radi normalno — niko ništa nije zaključao ni promenio.
Odgovor se vrati istim putem i pojavi na telefonu. Kroz naš servis je samo prošao: kod nas ne ostaje ni kopija, ni red, ni izveštaj.
Ka vašoj mreži nije otvoren nijedan ulaz, pa neko spolja nema ni na šta da pokuca. A pitanje koje bi da menja podatke konektor odbije pre nego što stigne do baze.
Konektor je kao zaposleni koji ujutru sam pozove naš broj i ostane na vezi. Mi mu kroz tu vezu postavljamo pitanja, a on odgovara samo na ona koja smeju da se pitaju — i svako zapiše u svesku.
Nas niko ne pušta u zgradu, jer nam za to i ne treba ključ: vrata ostaju zaključana, a razgovor ide preko telefona koji je on podigao.
Ne tražimo da nam verujete. Zato je konektor napravljen tako da i u najgorem slučaju ostane malo toga što bi neko mogao da uradi. Evo pitanja koja bismo i mi postavili na vašem mestu.
Naš servis do vaše baze ne ide sam: može samo da pita konektor, a konektor odgovara samo na pitanja koja čitaju, samo za baze koje ste vi štiklirali, i svako zapiše u dnevnik na vašem serveru. Lozinku vaše baze servis nema, pa ne može da se poveže mimo konektora. Vi prekinete vezu jednim klikom, bez nas.
Granice postavljaju vaš SQL Server (db_datareader) i konektor kod vas — ne naš kod.
Konektor ne sluša spolja. On sam zove nas, kao kad otvorite veb stranicu, i kroz tu vezu prima samo pitanja za bazu. Na ruteru se ništa ne otvara i ništa ne prosleđuje. Za firewall je to isti saobraćaj kao kad neko u firmi čita mejl.
Samo odlazna veza na 443, šifrovana (TLS). Dolaznih portova: 0.
Prva brava je nalog u bazi koji sme samo da čita. To sprovodi Microsoftov SQL Server, pa važi čak i kad bi naš program pogrešio. Druga brava je konektor: pitanje koje bi da menja podatke odbije pre nego što ga pošalje bazi.
Jedini upisi koji postoje su narudžbina iz Izloga i ulazni račun iz Fioke. To nisu pitanja koja stižu spolja, nego tačno opisane radnje ugrađene u konektor, i rade tek kad ih vi uključite. Sa nalogom koji samo čita ne rade uopšte.
Kad promenite lozinku, sve prijave na svim uređajima padaju odmah. Nalog uz to radi na najviše tri uređaja; četvrta prijava izbaci najstariju. Telefon sam ne čuva podatke, samo prijavu.
Prijave se kod nas čuvaju kao otisak (SHA-256); u pregledaču je samo slučajan niz.
Ključ samo povezuje vaš konektor sa vašim nalogom. Sam po sebi ne daje pristup bazi, jer lozinka baze i dalje stoji na vašem serveru. Ako se isti ključ pojavi na drugom mestu, servis zatvori jednu od veza, a vi u panelu napravite nov ključ.
Red koji vidite na telefonu prođe kroz naš servis — drugačije se sa telefona ne može videti ništa. Ali kod nas ne ostaje: nema kopije baze, nema arhive ekrana, nema sačuvanih izveštaja. Svako pitanje koje je ikad postavljeno vašoj bazi stoji u dnevniku kod vas, pa možete da proverite šta je pitano i kada.
Nema migracije, nema promene u načinu rada, nema dodatnog unosa. Sva tri proizvoda rade nad onim što vaši ljudi ionako unose svakog dana.
.exe — nema instalacije Node-a, baze ni serveraProgram nije potpisan sertifikatom, pa će Windows prvi put pitati „Ipak pokreni". Kažemo to unapred da ne bude iznenađenje na serveru.
Ne. Nijedan ekran, kontrola ni ispis ne piše po vašoj bazi — Vidik je
čist čitač. Zato i preporučujemo nalog db_datareader: da to ne
bude naše obećanje nego pravilo koje sprovodi vaš SQL Server.
Uz to, i sam konektor odbija svaki upit koji pokušava da piše, pre nego što ga uopšte pošalje bazi. Dve brave, nezavisne jedna od druge.
Dva izuzetka, i oba su vaša odluka: online
prodavnica ume da upiše narudžbinu kupca, a Fioka
ulazni račun troška (i novog dobavljača, sa podacima iz APR-a). Ti upisi nisu
SQL koji stiže spolja nego operacije zapisane u samom konektoru, i rade tek
kad ih u panelu uključite („Primaj narudžbine sa sajta", „Primaj račune iz
Fioke") — podrazumevano su isključeni. Za njih nalog mora da sme da
piše, pa uz db_datareader ostaju isključeni sami od sebe.
Da, i red je da to kažemo otvoreno: kad otvorite ekran, red koji vidite putuje iz vaše baze kroz naš servis do vašeg pregledača. Drugačije se sa telefona ne može videti ništa.
Ono što se ne dešava: ništa od toga se ne čuva. Nema kopije vaše baze kod nas, nema noćnog prepisivanja, nema skladišta izveštaja. Kad zatvorite ekran, kod nas ne ostaje ni jedan red.
Vidik je veb aplikacija i bez veze ne radi — isto kao mejl ili e-faktura. To je svesna odluka: poenta je da direktor vidi brojke sa telefona, iz automobila, bez ulaska u firmu.
Ako veza padne, ne gubi se ništa: konektor se sam javi čim se vrati, a u međuvremenu vaš ERP radi kao i pre. Vidik ništa ne drži i ništa ne zaključava.
Svako ko ima nalog u vašoj firmi vidi sve ekrane. Naplata je po firmi, ne po korisniku, pa nema razloga da ljudi dele lozinke — a baš to deljenje kvari svaku podelu prava.
Ako vam treba da komercijalista vidi samo svoje kupce, recite nam — to je odluka koju donosimo prema tome koliko firmi je traži, a ne unapred.
Upiti idu nad indeksiranim kolonama, a konektor drži najviše četiri konekcije po bazi i zatvara ih posle deset minuta mirovanja. U praksi je opterećenje manje nego kad jedan korisnik otvori veći ispis u samom ERP-u.
Ako želite, konektor se pusti na repliku umesto na produkciju.
Tačno, i to nećemo da zaobilazimo. PANTHEON prepoznaje svaku spoljnu vezu i traži Konektor licencu. Prikrivanje te veze bi vas stavilo u prekršaj ugovora sa DataLab-om — a to bi se videlo prvog dana kad partner dođe na održavanje.
Ono što radimo umesto toga jeste da veza bude jedna: PANTHEON broji programe povezane na bazu, a konektor je jedan program — bez obzira koliko ljudi gleda Vidik sa telefona i koliko proizvoda koristite. Kad niko ne gleda, konektor posle deset minuta pusti bazu i PANTHEON ga tada ni ne vidi. Trošak licence ulazi u ponudu otvoreno i dogovara se sa vašim PANTHEON partnerom.
Konektor se deinstalira i nema više ničega. Ništa nije promenjeno u bazi, pa nema šta da se vraća. Ugovor je mesečni — bez odustanice i bez obaveze na godinu.
Volimo ta pitanja — arhitektura je i pravljena tako da na njih postoji kratak odgovor.