# Préparer le terrain

Réunir la machine, les flux et les comptes avant de commencer. Cette page se transmet telle quelle à votre équipe réseau.

## La machine

Le collecteur est un petit service autonome. Une petite machine virtuelle dédiée lui suffit.

- **Système** : Linux avec systemd (recommandé) ou macOS, en amd64 ou arm64.
- **Droits** : `sudo` pour l'installation seulement. Le collecteur tourne ensuite sous son propre compte système, sans droit root.
- **Emplacement** : là où elle peut joindre à la fois Naoshift, sur Internet, et vos hyperviseurs, sur votre réseau.

## Les flux à ouvrir

Tous sortent du collecteur. **Aucun flux entrant**, pas de VPN.

| Du collecteur vers | Port | Sens |
|---|---|---|
| Naoshift (`app.naoshift.io`) | HTTPS 443 | sortant, Internet |
| VMware vCenter | 443 | sortant, réseau local |
| Proxmox VE | 8006 | sortant, réseau local |
| Xen Orchestra | 443 | sortant, réseau local |
| Nutanix Prism Central | 9440 | sortant, réseau local |
| Microsoft Hyper-V, **chaque** nœud du cluster | 5986 (WinRM HTTPS) | sortant, réseau local |
| OpenShift Virtualization, Superphenix (API Kubernetes) | 6443 | sortant, réseau local |
| HPE VM Essentials (VME Manager) | 443 | sortant, réseau local |

Vos sauvegardes et vos baies se lisent par le même collecteur, avec leurs propres ports : voir [la dernière leçon de ce parcours](/fr/brancher/ajouter-sauvegardes-et-baies).

## Le proxy et l'inspection TLS

Si la machine sort par un proxy, ou si une inspection TLS se trouve sur le chemin, signalez-le dès maintenant. Ce sont les deux causes les plus fréquentes d'un collecteur qui n'atteint pas Naoshift.

## Les comptes en lecture seule

Prévoyez un compte dédié par plateforme. La collecte n'a jamais besoin de droits d'écriture.

| Plateforme | Compte recommandé |
|---|---|
| VMware vSphere | Un utilisateur avec le rôle **Read-only** à la racine du vCenter, propagé aux enfants |
| Proxmox VE | Un utilisateur ou un jeton d'API avec le rôle **PVEAuditor** sur `/` |
| Xen Orchestra | Un jeton d'authentification d'un compte qui a accès aux pools en lecture |
| Nutanix Prism Central | Un compte avec le rôle **Viewer** |
| Microsoft Hyper-V | Un compte membre de *Hyper-V Administrators*, *Remote Management Users*, *Performance Monitor Users* et *Event Log Readers* sur chaque nœud, avec `Grant-ClusterAccess -ReadOnly`. Hyper-V n'a pas de rôle en lecture seule : Naoshift ne fait que lire avec ce compte |
| OpenShift Virtualization, Superphenix | Un compte de service avec le ClusterRole `naoshift-collector`, sans accès aux secrets |
| HPE VM Essentials | Le jeton d'API d'un utilisateur en lecture seule |

### Le pare-feu prend du temps à ouvrir

C'est normal, et c'est pour cela que cette leçon vient en premier. Ne créez le token d'installation qu'une fois les flux ouverts : il expire au bout d'une heure.

### Hyper-V ne répond pas sur le port 5986

WinRM en HTTPS n'est pas actif par défaut. Il doit écouter sur **chaque** nœud du cluster, et un test du port depuis la machine du collecteur doit répondre avant d'aller plus loin.

### Comment tester un flux depuis la machine du collecteur

Sur Linux : `curl -kI https://vcenter.exemple.local` pour une plateforme, `curl -I https://app.naoshift.io` pour Naoshift. Une réponse, quel qu'en soit le code, prouve que le flux est ouvert.