ÉTUDE DE CAS · PLATEFORME En production

Renkai : le PaaS multilocataire qui opère tout le reste.

RôleConcepteur & opérateur
NaturePlateforme interne (PaaS)
Nom連界 · « relier les mondes »
Éprouvée parSkalib, livré dessus
PériodeDepuis 2025

Renkai héberge, isolés, les systèmes agentiques produits par NEXUS : chaque projet dans sa VM étanche, où l'équipe d'agents développe le produit. Il instancie aussi une YellowBook dans chaque capsule.

01Le problème

Héberger plusieurs produits SaaS sans qu'ils puissent se marcher dessus : chaque projet doit avoir son périmètre de calcul, de réseau, d'identité et de intégration continue, et une évasion (conteneur privilégié, bind-mount, token trop large) doit être impossible par construction, pas interdite par une liste noire fragile.

02Les décisions d'architecture

  • Isolation par ACL natives (Proxmox VE) : chaque projet reçoit son pool, sa plage de VMID, son quota, son utilisateur et son token API restreints. Les élévations sont refusées par la plateforme elle-même.
  • Réseau segmenté : SDN dédié (zone + vnet), un /24 par projet, passerelle SNAT, pare-feu stateful et bastion SSH à owner-match.
  • Zéro port ouvert : tout le trafic entre par Cloudflare Tunnel (zero-trust), WAF en périmètre, DNS multi-zones géré par API.
  • Identité unique : Authentik (OAuth2 / OIDC / SAML), RBAC par groupes, scoping par projet, de sorte qu'un membre ne voit que ses outils.
  • intégration continue multilocataire : un exécuteur par pool; dépôt, tokens et exécuteur provisionnés à la création d'un projet. Déploiements avec health-check et rollback; IaC Terraform.
PÉRIMÈTRECloudflare Tunnel · WAF · DNS multi-zones
IDENTITÉAuthentik : OIDC / SAML · RBAC par projet
ISOLATIONPools + ACL natives · SDN /24 · bastion owner-match
LIVRAISONintégration continue par locataire · Terraform · rollback
OBSERVABILITÉGrafana · Sentry · Uptime-Kuma · Allure
FIG. 1 · LES CINQ PLANS DE LA PLATEFORME. L'ISOLATION EST LE CŒUR DU MODÈLE.

03Le résultat

Ce que ça a donné : Skalib, un SaaS complet de 64 routes, a été construit de zéro dans un pool isolé de Renkai, avec sa intégration continue verte sur son propre exécuteur. Rien d'un exercice : la plateforme opère de vrais produits, avec les exigences qui vont avec.

Renkai s'accompagne d'un lanceur local, un script Windows qui ouvre le terminal de gestion, d'où partent les terminaux de chaque projet. C'est l'outil de validation de la plateforme au quotidien : outillage interne, pas un produit.

Ce que ce projet démontre : platform engineering, virtualisation et conteneurs, réseau (SDN, NAT, pare-feu), IAM/SSO, sécurité système, et la conception d'un modèle d'isolation multilocataire de A à Z.

Ces principes d'isolation se transposent directement au cloud : ACL natives ≈ namespaces + RBAC Kubernetes, SDN et pare-feu ≈ VPC / subnets / security groups, tokens restreints ≈ IAM. C'est le modèle qui prime, pas l'outil.

← Toutes les réalisations Voir ce qui tourne dessus : Skalib arrow_forward