ÉTUDE DE CAS · PLATEFORME

Renkai — le PaaS multi-tenant qui opère tout le reste.

RôleConcepteur & opérateur
NaturePlateforme interne (PaaS)
Nom連界 — « relier les mondes »
PreuveSkalib livré dessus, CI verte

Renkai héberge, isolés, les systèmes agentiques produits par NEXUS — chaque projet dans sa VM étanche, où l'équipe d'agents développe le produit. Il instancie aussi une YellowBook dans chaque capsule.

01Le problème

Héberger plusieurs produits SaaS sans qu'ils puissent se marcher dessus : chaque projet doit avoir son périmètre de calcul, de réseau, d'identité et de CI — et une évasion (conteneur privilégié, bind-mount, token trop large) doit être impossible par construction, pas interdite par une liste noire fragile.

02Les décisions d'architecture

  • Isolation par ACL natives (Proxmox VE) : chaque projet reçoit son pool, sa plage de VMID, son quota, son utilisateur et son token API scopés. Les élévations sont refusées par la plateforme elle-même.
  • Réseau segmenté : SDN dédié (zone + vnet), un /24 par projet, passerelle SNAT, pare-feu stateful et bastion SSH à owner-match.
  • Zéro port ouvert : tout le trafic entre par Cloudflare Tunnel (zero-trust), WAF en périmètre, DNS multi-zones géré par API.
  • Identité unique : Authentik (OAuth2 / OIDC / SAML), RBAC par groupes, scoping par projet — un membre ne voit que ses outils.
  • CI multi-tenant : un runner par pool; dépôt, tokens et runner provisionnés à la création d'un projet. Déploiements avec health-check et rollback; IaC Terraform.
PÉRIMÈTRECloudflare Tunnel · WAF · DNS multi-zones
IDENTITÉAuthentik — OIDC / SAML · RBAC par projet
ISOLATIONPools + ACL natives · SDN /24 · bastion owner-match
LIVRAISONCI par tenant · Terraform · rollback
OBSERVABILITÉGrafana · Sentry · Uptime-Kuma · Allure
FIG. 1 — LES CINQ PLANS DE LA PLATEFORME. L'ISOLATION EST LE CŒUR DU MODÈLE.

03Le résultat

La preuve par l'usage : Skalib, un SaaS complet de 64 routes, a été construit de zéro dans un pool isolé de Renkai, avec sa CI verte sur son propre runner. La plateforme n'est pas un exercice — elle opère de vrais produits.

Ce que ce projet démontre : platform engineering, virtualisation et conteneurs, réseau (SDN, NAT, pare-feu), IAM/SSO, sécurité système, et la conception d'un modèle d'isolation multi-tenant de A à Z.

Ces principes d'isolation se transposent directement au cloud — ACL natives ≈ namespaces + RBAC Kubernetes, SDN et pare-feu ≈ VPC / subnets / security groups, tokens scopés ≈ IAM : c'est le modèle qui prime, pas l'outil.

← Toutes les réalisations Voir la preuve : Skalib arrow_forward