Staqflow on-premise: автоматизация в собственном контуре
Для банков, промышленности, медицины и других компаний с закрытой инфраструктурой важно контролировать размещение данных и подключение к внутренним системам. Staqflow поддерживает on-premise: платформа автоматизации и интеграций работает на серверах заказчика. Вариант установки выбирают по нагрузке и требованиям к отказоустойчивости.
Размещение внутри компании сохраняет контроль над данными
Документы, результаты запусков и данные процессов хранятся в базах и хранилище заказчика. Ключи интеграций шифруются с использованием настроек его инфраструктуры. Workflow могут обращаться к внутренним API и сервисам, не опубликованным в интернете, если такой доступ разрешён администратором.
Сеть, TLS, секреты и обновления согласуются с регламентами компании. По данным Staqflow, продукт включён в реестр российского ПО, запись № 18374, и применяется в закупках по 44-ФЗ и 223-ФЗ. Для проекта состав поставки и требования к размещению нужно учитывать вместе с условиями закупки.
Docker Compose подходит для пилота на одном сервере
Для установки нужны Docker и Compose v2. В конфигурации задаются домен, SMTP и секреты. PostgreSQL, Kafka и MinIO описаны как контейнеры вместе с платформой. HTTPS завершается на внешнем reverse proxy компании, например nginx.
Этот вариант удобен для пилота, отдельного подразделения и небольшой нагрузки. Обновление выполняют через docker compose pull и up -d. Один сервер нужно учитывать как отдельное ограничение по отказоустойчивости.
k3s и Helm рассчитаны на кластерное размещение
Helm-чарт работает в k3s и обычном Kubernetes. PostgreSQL через CloudNativePG использует основной сервер и реплику на разных узлах. Kafka через Strimzi включает три брокера с репликацией событий. Входные сервисы размещаются в нескольких репликах, с защитой от их одновременной остановки при обслуживании.
Ingress Traefik поддерживает TLS и опционально mTLS. Образы можно хранить во внутреннем registry и подключать через imagePullSecret. Секреты генерируются чартом и сохраняются между обновлениями либо поступают из Vault или External Secrets. Для файлов используется MinIO или существующее S3-совместимое хранилище.
Сервисы платформы разделяют функции
Gateway отвечает за вход, авторизацию и маршрутизацию. Platform управляет пользователями, пространствами и ролями. Workflow-definition, workflow-runner и workflow-trigger обеспечивают хранение схем, исполнение, вебхуки и расписания. Дополнительно работают MCP-сервер, WebSocket, поддержка и frontend.
Внешние компоненты — PostgreSQL, Kafka и S3-совместимое хранилище — предусмотрены в обоих вариантах поставки. Выбор собственной инфраструктуры хранения не меняет логику работы workflow.
Доступ к сети и моделям определяет администратор
Учётные данные хранятся зашифрованными. Без заданного ключа шифрования runner и триггеры не стартуют в рабочем режиме. Контейнер исполнения пользовательского кода работает без привилегий и с ограниченными capabilities. Исходящий трафик интеграций может проходить через корпоративный прокси.
По умолчанию HTTP- и LLM-узлы не обращаются к внутренним хостам. В собственном контуре администратор может разрешить это для нужных API и моделей. Вход сотрудников идёт по одноразовому коду через корпоративный SMTP; можно включить подтверждение регистраций и назначить первого администратора.
Для локальных ИИ доступны Ollama, vLLM, LM Studio, LiteLLM и другие OpenAI-совместимые решения. Выбор внешнего провайдера остаётся отдельным решением: само on-premise-размещение не делает внешний вызов локальным.
MCP-сервер работает по адресу https://ваш-домен/api/v1/mcp. ИИ-клиенту сотрудника нужен доступ из внутренней сети или по VPN. Так создание и изменение схем можно использовать в том же инфраструктурном контуре.
Обновления и учёт ресурсов входят в эксплуатацию
Миграции баз применяются при старте сервисов. Кластер обновляется через helm upgrade с автоматическим откатом, если новая версия не поднялась. Проверки здоровья предусмотрены и в Compose, и в Kubernetes.
В собственном контуре отключаются касса и списания облачной тарификации, но учёт потребления остаётся для аналитики. Можно снять ограничения времени выполнения процессов. Обслуживание серверов, резервирование и контроль доступов необходимо включить в план эксплуатации компании.
Частые вопросы
Как выбрать между Compose и k3s?
Compose подходит для быстрого пилота на одном сервере. Кластер k3s или Kubernetes — для рабочей установки с требованиями к отказоустойчивости.
Можно ли использовать собственные ИИ-модели?
Да, через совместимый API и разрешённый доступ к внутренней сети.
Когда выбрать облако?
Если нужен быстрый старт без обслуживания своей инфраструктуры. On-premise нужен, когда данные, подключения или модели должны находиться в контуре заказчика.
Связанные материалы
- Пространства Staqflow: автоматизация для команд и клиентов
- Экспорт и импорт workflow в Staqflow: перенос без пересборки
- STAQ.WorkflowAI: визуальный конструктор и ИИ для процессов
Подробнее о возможностях автоматизации — на сайте Staqflow.