Azure - ABBYY Documentation

Azure est le fournisseur validé pour Vantage 3.0 auto-hébergé : Azure Kubernetes Service (AKS) avec Azure Key Vault. Cette page couvre de bout en bout l’installation sur Azure : prérequis, configuration de l’identité, commandes d’installation Helm et notes opérationnelles. Les différents composants proposent des alternatives natives Kubernetes lorsque la CRD les prend en charge, comme le provider Kubernetes Secrets et le stockage personnalisé.

Prérequis

Avant de suivre cette page, vérifiez que les prérequis de la plateforme sont bien en place : Kubernetes, ArgoCD, Helm, ainsi que les services sous-jacents SQL / Redis / SMTP / registre OCI / stockage d’objets. Les éléments spécifiques à Azure ci-dessous viennent s’y ajouter.

Composant	Version testée	Remarques
Azure Kubernetes Service (AKS)	1.33.6	Le CRD et le chart de l’operator sont installés dans le cluster.
Azure SQL	12.0.2000.8 (niveau de compatibilité 170, General Purpose Serverless Gen 5)	Héberge les bases de données Vantage, à raison d’une par alias de chaîne de connexion (23 à ce jour). Voir Database connection strings.
Azure Managed Redis	7.4 (EnterpriseCluster)	Utilisé pour le cache, les verrous et le cache client.
Azure Container Registry	n/a	Registre de destination pour la migration OCI ; vos charges de travail y récupèrent les images Vantage. Authentification de migration : sans authentification, authentification de base ou Workload Identity + Azure RBAC. Pour l’extraction des images, voir Image pull access.
Azure StorageV2	general purpose v2	Héberge les cinq chaînes de connexion du compte de stockage (archive, temporary (old), temporary, permanent, standard). Voir Storage account connection strings.
Azure Key Vault	n/a	Contient tous les secrets Vantage (y compris les éléments TLS encodés au format PEM) lors de l’utilisation du provider de secrets Azure. L’identité sélectionnée par `identityMode` doit disposer d’un accès en lecture.
AKS Istio Add-on	`asm-1-28`	Une passerelle d’ingress externe doit être déployée.
Azure Key Vault Provider for Secrets Store CSI Driver	1.7.2 (Helm chart 1.7.2)	Plugin provider CSI qui récupère les secrets au démarrage du pod.
Azure Workload Identity	n/a	Fédérez le ServiceAccount de chaque chart Vantage à une identité managée affectée par l’utilisateur, avec un accès en lecture aux alias Key Vault de ce chart. L’operator ne crée pas et n’annote pas les ServiceAccounts. Également utilisé par la tâche de migration OCI (authentification Workload Identity + Azure RBAC) et par Prometheus dans le mesh (Azure Monitor). Voir Secrets and Key Vault.
AKS KEDA Add-on (optional, recommended)	`2.17.3-5`	Obligatoire pour la prise en charge de l’autoscaling KEDA.

Deux autres tâches de configuration doivent être effectuées avant l’installation. Elles sont toutes deux décrites ci-dessous, après les variables d’installation auxquelles elles font référence : Connect ArgoCD to your OCI registry et Image pull access.

Secrets d’Azure Key Vault

Le Vantage operator référence les secrets par alias. La configuration la plus simple sur Azure consiste à créer des secrets Key Vault dont le nom correspond à chaque alias ; si votre processus de provisionnement utilise des noms différents, fournissez une mise en correspondance objects sous vantage.secrets.azure pour les faire correspondre. L’identité sélectionnée par identityMode (voir Variables d’installation) doit avoir un accès en lecture à chaque secret répertorié ci-dessous. La liste complète des alias (Plateforme, Stockage, Bases de données, OAuth) est documentée dans Secrets et Key Vault. La liste ci-dessous reprend le même ensemble, reproduit ici pour l’installation sur Azure.

Plateforme

Alias	Description
`sendgridApiKey`	Clé API pour SendGrid. Obligatoire sauf si vous configurez `spec.smtp`.
`redisConnectionString`	Chaîne de connexion pour Redis.
`redisCacheConnectionString`	Chaîne de connexion pour le cache Redis / les verrous / le cache client. Peut utiliser la même valeur que `redisConnectionString`.
`secretStorageUserKeyVaultUri`	URI d’Azure Key Vault utilisé pour le stockage des secrets. Il peut s’agir du même coffre ou d’un coffre distinct (l’utilisation d’un coffre distinct est recommandée).

Chaînes de connexion du compte de stockage

Alias	Description
`storageArchiveConnectionString`	Chaîne de connexion du compte de stockage (« archive »).
`storageLegacyTemporaryConnectionString`	Chaîne de connexion du compte de stockage (« temporaire (ancien) »).
`storageTemporaryConnectionString`	Chaîne de connexion du compte de stockage (« temporaire »).
`storagePermanentConnectionString`	Chaîne de connexion du compte de stockage (« permanent »).
`storageStandardConnectionString`	Chaîne de connexion du compte de stockage (« standard »).

Reportez-vous à la documentation de base de Vantage pour connaître la signification de chaque type de stockage.

Chaînes de connexion de base de données

Un alias par base de données distincte. Les noms de base de données ci-dessous sont fournis à titre d’exemple ; utilisez ceux générés par votre processus de provisionnement, tant que la chaîne de connexion pointe vers la bonne base de données.

Alias	Base de données
`apiRegistryDatabaseConnectionString`	`apiregistry`
`auth2DatabaseConnectionString`	`auth`
`authIdentityDatabaseConnectionString`	`auth-identity`
`cronServiceDatabaseConnectionString`	`cron`
`documentSetStorageDatabaseConnectionString`	`documentset`
`mailDatabaseConnectionString`	`mail`
`securityAuditDatabaseConnectionString`	`security-audit`
`storageDatabaseConnectionString`	`storage`
`workflowDatabaseConnectionString`	`workflows`
`catalogStorageDatabaseConnectionString`	`catalogstorage`
`folderImportDatabaseConnectionString`	`folderimport`
`interactiveJobsDatabaseConnectionString`	`interactive-jobs`
`mailImportDatabaseConnectionString`	`mailimport`
`permissionsDatabaseConnectionString`	`permissions`
`reportingDatabaseConnectionString`	`reporting` (doit prendre en charge l’indexation columnstore).
`secretStorageDatabaseConnectionString`	`secretstorage`
`skillInfoDatabaseConnectionString`	`skillinfo`
`skillMonitorDatabaseConnectionString`	`skillmonitor`
`subscriptionDatabaseConnectionString`	`subscriptions`
`tokenManagementDatabaseConnectionString`	`tokenmanagement`
`transactionsDatabaseConnectionString`	`transactions`
`urlShortenerDatabaseConnectionString`	`urlshortener`
`workspaceDatabaseConnectionString`	`workspace`

OAuth

Alias	Description
`oAuthGoogleClientId`	ID client OAuth de Google.
`oAuthGoogleClientSecret`	secret client OAuth de Google.
`oAuthMicrosoftClientId`	ID client OAuth de Microsoft.
`oAuthMicrosoftClientSecret`	secret client OAuth de Microsoft.

Secrets TLS d’Azure Key Vault

Les éléments TLS suivants, encodés au format PEM, doivent être stockés en tant que secrets dans Azure Key Vault (et non sous forme d’objets certificat Key Vault). L’identité sélectionnée par identityMode doit disposer d’un accès en lecture aux quatre alias de secrets.

Alias	Description
`authSigningTlsCrt`	Certificat encodé au format PEM pour la signature d’authentification.
`authSigningTlsKey`	Clé privée encodée au format PEM pour la signature d’authentification.
`authDeactivatedTlsCrt`	Certificat encodé au format PEM pour les jetons d’authentification désactivés.
`authDeactivatedTlsKey`	Clé privée encodée au format PEM pour les jetons d’authentification désactivés.

L’approche la plus simple consiste à créer deux certificats autosignés dans Key Vault, nommés auth-signing et auth-deactivated (Common Name = la valeur dnsRecord de Vantage), puis à créer quatre secrets Key Vault dont les noms correspondent aux alias ci-dessus. Si vous utilisez des noms différents, fournissez une mise en correspondance objects dans votre configuration des secrets. Pour comprendre le modèle conceptuel expliquant comment le Secrets Store CSI driver rend ces éléments disponibles dans les pods, consultez Secrets and Key Vault.

Variables d’installation

Gardez ces valeurs sous la main avant d’exécuter les commandes d’installation :

Variable	Description
`$operator_namespace`	Espace de noms dans lequel installer le Vantage operator.
`$install_namespace`	Espace de noms dans lequel installer Vantage. N’importe quel espace de noms, généralement `app`.
`$operator_version`	Version du chart Helm `vantage-operator`.
`$selfhosted_version`	Version du chart Helm `vantage-selfhosted`.
`$charts_uri`	URI OCI hébergeant le chart Helm du Vantage operator.
`$chart_uri`	URI OCI hébergeant le chart Helm `vantage-selfhosted`.
`$release_name`	Nom de la release Helm pour `vantage-selfhosted`.
`$your_vantage_hostname`	Nom d’hôte DNS sous lequel Vantage sera accessible.
`$ingress_tls_secret_name`	Nom du secret `kubernetes.io/tls` dans l’espace de noms de l’ingress gateway.
`$key_vault_name`, `$tenant_id`, `$client_id`	Nom d’Azure Key Vault, ID du tenant et ID client de l’UAMI disposant d’un accès en lecture à Key Vault.
`$your_mailfrom`	Adresse d’expéditeur pour les e-mails sortants.
`$smtp_host`, `$smtp_port`, `$smtp_login`, `$smtp_password`	Paramètres SMTP sortants. Facultatif : omettez-les si vous utilisez SendGrid (par défaut ; fournissez `sendgridApiKey` via votre fournisseur de secrets).
`$your_platformadmin_email`	Adresse e-mail initiale de l’administrateur de la plateforme.
`$your_oci_host`	Hôte du registre OCI vers lequel les artifacts Vantage seront migrés.
`$abbyy_oci_source_host`, `$abbyy_oci_source_repository`	Registre source et dépôt des artifacts distribués par ABBYY. Les valeurs documentées sont `abbyy.jfrog.io` et `abbyy-docker`.

Connectez ArgoCD à votre registre OCI

ArgoCD récupère les charts des composants Vantage depuis votre registre OCI. Configurez donc une connexion dans ArgoCD pour lui donner accès à ce registre. ArgoCD est un logiciel tiers que vous installez et maintenez vous-même ; vous devez donc créer cette connexion en enregistrant le registre comme dépôt ArgoCD. Consultez Private Repositories dans la documentation ArgoCD. Sur Azure, la méthode recommandée est Azure Workload Identity, comme indiqué dans la documentation ArgoCD.

Accès de récupération des images

Vos charges de travail doivent récupérer des images depuis votre registre. Configurez cet accès de l’une des deux manières suivantes. Les noms my-pull-secret et my-service-account ci-dessous sont des exemples ; remplacez-les par les vôtres. Option 1 (Azure) : accorder AcrPull à l’identité managée d’AKS. Les déploiements Azure peuvent être simplifiés en accordant AcrPull sur votre Azure Container Registry à l’identité managée d’AKS (l’identité du kubelet), au lieu de configurer des secrets de récupération. Une fois cela en place, vous pouvez ignorer les indicateurs --set du secret de récupération aux étapes 1 et 2. Option 2 : secrets de récupération d’images Kubernetes. Créez un secret de récupération pour le registre (documentation Kubernetes), puis référencez-le pour chaque composant :

Composant	Configuration
Pods de l’operator	`--set "manager.imagePullSecrets[0].name=my-pull-secret"` sur le chart `vantage-operator`. Voir Étape 1.
Job de migration OCI	Exécutez soit le job avec un ServiceAccount qui porte le secret de récupération (`vantage.ociMigration.serviceAccountName=my-service-account`), soit référencez le secret dans l’entrée source (`vantage.ociMigration.sources[0].credentialsRef.name=my-pull-secret`). Voir Étape 2.
Charges de travail Vantage	Ajoutez le secret de récupération à `imagePullSecrets` du ServiceAccount nommé par `vantage.serviceAccountName`. Voir Étape 2.

Vous créez et gérez vous-même les attributions de rôles, les ServiceAccounts et les secrets de récupération.

Étape 1 : Installer Vantage operator

Choisissez un espace de noms pour Vantage operator (il n’est pas nécessaire que ce soit app) et installez le chart :

helm upgrade --install vantage-operator $charts_uri/vantage-operator \
  --version $operator_version \
  --namespace $operator_namespace \
  --wait

Si vous utilisez des secrets de récupération au lieu de AcrPull (voir Accès pour l’extraction d’image), ajoutez à la fin :

  --set "manager.imagePullSecrets[0].name=my-pull-secret"

Consultez les valeurs du chart vantage-operator pour voir les valeurs supplémentaires que vous pouvez spécifier.

Étape 2 : Installer Vantage

Installez le chart vantage-selfhosted dans l’espace de noms de votre choix en indiquant la configuration des secrets et les paramètres de migration OCI :

helm upgrade --install $release_name $chart_uri/vantage-selfhosted \
  --version $selfhosted_version \
  --namespace $install_namespace \
  --set "operator.namespace=$operator_namespace" \
  --set "ingress.tls.secretName=$ingress_tls_secret_name" \
  --set "vantage.dnsRecord=$your_vantage_hostname" \
  --set "vantage.mailFrom=$your_mailfrom" \
  --set "vantage.platformAdminEmail=$your_platformadmin_email" \
  --set "vantage.secrets.azure.keyVaultName=$key_vault_name" \
  --set "vantage.secrets.azure.tenantId=$tenant_id" \
  --set "vantage.secrets.azure.clientId=$client_id" \
  --set "vantage.ociMigration.enabled=true" \
  --set "vantage.ociMigration.sources[0].host=$abbyy_oci_source_host" \
  --set "vantage.ociMigration.sources[0].repository=$abbyy_oci_source_repository" \
  --set "vantage.ociMigration.destination.host=$your_oci_host" \
  --wait

Si vous utilisez des secrets de récupération au lieu de AcrPull (voir Accès pour l’extraction d’images), ajoutez la configuration d’extraction pour les charges de travail Vantage et le job de migration :

  --set "vantage.serviceAccountName=my-service-account" \
  --set "vantage.ociMigration.serviceAccountName=my-service-account"

my-service-account est un ServiceAccount que vous créez dans $install_namespace, avec votre secret de récupération du registry indiqué sous imagePullSecrets. Comme alternative pour le job de migration, indiquez plutôt le secret de récupération sur l’entrée source :

  --set "vantage.ociMigration.sources[0].credentialsRef.name=my-pull-secret"

SendGrid est le fournisseur de messagerie par défaut : renseignez une sendgridApiKey dans votre Key Vault et aucune configuration de messagerie supplémentaire n’est nécessaire. Pour utiliser SMTP à la place, ajoutez à la fin :

  --set "vantage.smtp.host=$smtp_host" \
  --set "vantage.smtp.port=$smtp_port" \
  --set "vantage.smtp.login=$smtp_login" \\      # facultatif
  --set "vantage.smtp.password=$smtp_password"  # facultatif

vantage.secrets.azure.identityMode a pour valeur par défaut workloadIdentity. Pour utiliser l’ancien modèle pod-identity ou VM-managed-identity, consultez Secrets and Key Vault.

Les indicateurs --set ci-dessus correspondent directement aux champs de la ressource personnalisée Vantage et du chart vantage-selfhosted.

Étape 3 : Suivre la progression de l’installation

Attendez que la ressource personnalisée Vantage affiche l’état Ready :

kubectl -n $install_namespace wait \
  --for=condition=Ready vantages.vantage.abbyy.com/$release_name \
  --timeout=30m

Il s’agit d’un signal global ; il indique que l’installation de Vantage Core est terminée. L’installation des Skills fait l’objet d’un job distinct et peut toujours être en cours (voir ci-dessous). Pour un suivi plus fin de la migration des artefacts, surveillez séparément le job de migration OCI :

kubectl -n $install_namespace wait --for=create job/$release_name-oci-migration --timeout=2m
kubectl -n $install_namespace wait --for=condition=Complete job/$release_name-oci-migration --timeout=20m

Une fois la migration terminée, ArgoCD (API ou UI) offre la visibilité la plus fine sur l’état de synchronisation de chaque chart. La seule exception concerne l’installation des compétences : les compétences sont installées par un job Kubernetes distinct qui n’est pas exposé dans ArgoCD. Vous pouvez utiliser Vantage pendant que l’installation des compétences est en cours. Surveillez directement le job :

kubectl -n $install_namespace wait --for=create job/$install_namespace-skill-installer-job
kubectl -n $install_namespace wait --for=condition=Complete job/$install_namespace-skill-installer-job

Étape 4 : Accéder à Vantage

Une fois que la ressource indique Ready, votre instance Vantage est disponible à l’adresse suivante :

https://$your_vantage_hostname

Le job d’installation de la compétence est peut-être encore en cours à ce stade. Vous pouvez vous connecter et utiliser Vantage pendant que l’installation de la compétence se poursuit ; surveillez le job à l’aide des commandes de l’étape 3.

Notes opérationnelles spécifiques à Azure

Supervision : Sur AKS, le modèle recommandé est Azure Monitor Workspace + Azure Managed Grafana, avec un Prometheus dans le mesh qui collecte les métriques de Vantage via Istio mTLS. Voir Azure Managed Monitoring pour la configuration complète.
Workload Identity : Le mode d’authentification par défaut du Secrets Store CSI driver. Il s’agit également d’un scénario d’authentification pris en charge pour le job de migration OCI (Workload Identity + Azure RBAC), et il est utilisé par le Prometheus dans le mesh pour effectuer un remote-write vers Azure Monitor. Voir Secrets and Key Vault.

Et ensuite

Architecture

Comment fonctionne le modèle operator + ArgoCD + CRD.

Monitoring

Azure Monitor Workspace + Managed Grafana avec un Prometheus dans le mesh.

Mise à niveau

Procédure manuelle de mise à niveau pour passer d’une version 3.0 de Vantage à une autre.

Dépannage

Problèmes courants avec operator, ArgoCD, Istio et Key Vault.

​Prérequis

​Secrets d’Azure Key Vault

​Plateforme

​Chaînes de connexion du compte de stockage

​Chaînes de connexion de base de données

​OAuth

​Secrets TLS d’Azure Key Vault

​Variables d’installation

​Connectez ArgoCD à votre registre OCI

​Accès de récupération des images

​Étape 1 : Installer Vantage operator

​Étape 2 : Installer Vantage

​Étape 3 : Suivre la progression de l’installation

​Étape 4 : Accéder à Vantage

​Notes opérationnelles spécifiques à Azure

​Et ensuite

Architecture

Monitoring

Mise à niveau

Dépannage

Prérequis

Secrets d’Azure Key Vault

Plateforme

Chaînes de connexion du compte de stockage

Chaînes de connexion de base de données

OAuth

Secrets TLS d’Azure Key Vault

Variables d’installation

Connectez ArgoCD à votre registre OCI

Accès de récupération des images

Étape 1 : Installer Vantage operator

Étape 2 : Installer Vantage

Étape 3 : Suivre la progression de l’installation

Étape 4 : Accéder à Vantage

Notes opérationnelles spécifiques à Azure

Et ensuite