Instalace a spárování bridge

Návod, jak zaregistrovat Tappeer Bridge ve webové aplikaci, nainstalovat ho na počítač s Windows a spárovat s vaším účtem. Bridge potřebujete pro Money S3 a POHODU; pro ABRA Flexi ne.

Než začnete

Počítač. Bridge instalujte na počítač s Windows, odkud je účetní program dostupný:

u Money S3 a POHODY v režimu Přímé spuštění je to počítač, kde je program nainstalovaný;
u Money S3 v síťové instalaci server, na kterém leží data Money S3 (případně terminálový server) — ne klientská stanice (viz Podporované systémy);
u POHODY v režimu Předávací složka počítač, který může zapisovat do místní složky, kterou zpracovává naplánovaná úloha POHODY.

Bridge je k dispozici jen pro Windows, a to jako instalátor MSI pro architektury x64 a ARM64. Instalátory pro macOS a Linux se nenabízejí.

Oprávnění. K instalaci potřebujete práva správce na tomto počítači. Ve webové aplikaci musíte mít roli Administrátor nebo Správce bezpečnosti a váš účet musí mít zapnuté integrace (pokud nemá, obraťte se na podporu Tappeer).

Účet služby. Bridge běží jako služba Windows. Doporučujeme, aby služba běžela pod doménovým účtem služby, ne pod účtem LocalSystem. V praxi je to nutné:

Bridge spouští účetní program (MonS3.exe, Pohoda.exe) pod účtem služby. Desktopová aplikace spuštěná pod LocalSystem běží nespolehlivě a bez srozumitelné chybové zprávy.
Pod LocalSystem by účetní program běžel s nejvyššími oprávněními systému (SYSTEM).
Ke sdíleným složkám se LocalSystem přihlašuje jako účet počítače, což sdílená složka obvykle nepovoluje.

Účet služby potřebuje:

Oprávnění	Proč
Přihlásit se jako služba (Log on as a service)	jinak se služba vůbec nespustí
Čtení a zápis v datové složce Money S3 nebo POHODY	přenosy XML pracují s jejich daty
Spouštět POHODU nebo Money S3	pokud je bridge spouští sám
Čtení a zápis ve složkách požadavků a odpovědí	jen POHODA v režimu Předávací složka

Instalátor spuštěný dvojklikem se na účet neptá a službu nainstaluje pod účtem LocalSystem. Účet služby pak nastavte příkazem bridgectl service-account --account DOMENA\účet v příkazovém řádku spuštěném jako správce (viz Provoz bridge); příkaz účtu zároveň udělí právo přihlásit se jako služba. Při instalaci bez obsluhy můžete účet zadat rovnou (viz část „Instalace bez obsluhy“ níže) — instalátor ale toto právo neuděluje, účet ho tedy musí mít předem (například ze zásad skupiny).

Síť

Bridge potřebuje jen odchozí spojení TCP na port 443: k bráně Tappeer bridge (gRPC přes TLS 1.2 nebo novější) a k úložišti vydání, ze kterého stahuje aktualizace agenta a pluginů (HTTPS). Bridge nenaslouchá na žádném portu, nepotřebuje žádné pravidlo firewallu pro příchozí spojení, přesměrování portů ani VPN.

Spojení zůstává trvale otevřené a většinu času je nečinné; bridge posílá udržovací zprávu každých 30 sekund. Síťové zařízení, které nečinná spojení tiše ukončuje, způsobí opakované odpojování.
Bridge používá úložiště certifikátů počítače. Proxy, která kontroluje TLS a jejíž kořenový certifikát je nainstalovaný pro celý počítač, proto funguje bez dalšího nastavení.
Soukromý kořenový certifikát, který pro celý počítač nainstalovaný není, zadejte v souboru bridge.yml do položky cloud.extra_ca_certs.
Přesné adresy pro nastavení firewallu vám sdělí podpora Tappeer. Adresu brány navíc zobrazí průvodce registrací (je-li pro vaše prostředí nastavená) a po instalaci ji vypíše příkaz bridgectl status.

Bezpečnostní software (EDR, antivir)

Bridge se chová způsobem, kterého si bezpečnostní software může všimnout: spouští další programy (pluginy a účetní program), spouští programy z datové složky a drží jedno dlouhé odchozí spojení TLS. Předejte proto správci bezpečnosti tento seznam ještě před instalací.

Cesta	Co tam běží
`%ProgramFiles%\Tappeer\Bridge\tappeer-launcher.exe`	registrovaná služba
`%ProgramFiles%\Tappeer\Bridge\bridgectl.exe`	nástroj pro správce, spouští se ručně
`%ProgramData%\Tappeer\Bridge\bin\<verze>\tappeer-bridge.exe`	agent
`%ProgramData%\Tappeer\Bridge\plugins\<název>\<verze>\*.exe`	pluginy pro jednotlivé systémy

Aktualizace přidává novou složku s číslem verze, místo aby přepisovala soubory. Pravidlo napsané na jednu konkrétní cestu s verzí proto po aktualizaci přestane platit — povolte celou složku.

Agenta a pluginy bridge spustí, jen když jejich podpis a kontrolní součet ověří proti důvěryhodným klíčům Tappeeru.

Postup: registrace a instalace

Ve webové aplikaci otevřete v uživatelském menu vpravo nahoře Nastavení systému (na mobilu v nabídce Nastavení), v nabídce nastavení vlevo Integrace, pod nimi Bridge a pak Zaregistrovat bridge. Průvodce má čtyři kroky: Pojmenování, Instalace agenta, Spárování počítače a Hotovo.

Pojmenování. Do pole Název zadejte název, podle kterého bridge později poznáte (například „Účetní PC“), a klikněte na Zaregistrovat a pokračovat. Ostatní údaje — počítač, operační systém, verzi agenta a cílové systémy — nahlásí agent sám po spárování.
Instalace agenta. V poli Architektura zvolte x64 nebo ARM64 a klikněte na Stáhnout instalátor. Kontrolní součet staženého souboru můžete ověřit podle Kontrolní součet SHA-256. Na stránce je také Párovací kód a příkaz pro instalaci bez obsluhy.
Na počítači, kam bridge instalujete, spusťte instalátor (viz část „Instalátor MSI“ níže) a zadejte do něj párovací kód. Pak ve webové aplikaci klikněte na Agent je nainstalovaný.
Spárování počítače. Stránka čeká, až se agent ozve, a sama si toho všimne. Pokud jste párovací kód v instalátoru nezadali, spárujte agenta příkazem zobrazeným v tomto kroku (viz část „Spárování později“ níže).
Hotovo. Jakmile se agent ozve, zobrazí se, že je bridge spárovaný a online, a které cílové systémy hlásí. Pokračujte tlačítkem Otevřít bridge a přidejte instalaci svého účetního programu (viz Cílové systémy a instalace).

Bridge zaregistrujete také na stránce Bridge (v nabídce nastavení pod Integrace) tlačítkem Zaregistrovat bridge.

Párovací kód

Má tvar TPB-XXXX-XXXX-XXXX.
Platí 15 minut od vystavení a lze ho použít jen jednou.
Velikost písmen nerozhoduje a mezery jsou nepovinné, takže ho lze nadiktovat i po telefonu.
Zobrazí se jen jednou a později ho nelze zjistit.

Když kód vyprší nebo ho ztratíte, vystavte nový tlačítkem Vystavit nový kód v průvodci, nebo tlačítkem Párovací kód u bridge v seznamu bridgů. Předchozí kód tím přestane platit. Nový kód lze vystavit jen pro bridge, který ještě nebyl spárován. Seznam bridgů otevřete v nabídce nastavení položkou Bridge pod Integrace.

Instalátor MSI

Instalátor je ve výchozím stavu v angličtině. Instalátor s českým průvodcem existuje, webová aplikace ho ale nenabízí; o odkaz požádejte podporu Tappeer. Oba instalují stejný produkt.

Spusťte stažený soubor .msi a potvrďte práva správce.
Mezi úvodní obrazovkou a zahájením instalace se průvodce zeptá na párovací kód (obrazovka „Pair this bridge“, pole „Pairing code“). Vložte kód z webové aplikace, nebo pole nechte prázdné a spárujte bridge později.
Instalátor nainstaluje agenta jako službu Windows pod účtem LocalSystem, spustí ho a spáruje. Účet služby změňte potom příkazem bridgectl service-account (viz „Než začnete“ výše).
Na poslední obrazovce je zaškrtávací pole „Open a console to pair this bridge now“. Otevře konzoli, ve které můžete kód zadat nebo spárování ověřit; potvrzení oprávnění správce se přitom zobrazí podruhé. Pokud jste kód zadali už v instalátoru, je pole předem odškrtnuté.

Instalátor kontroluje jen tvar kódu, ne jeho platnost. Odmítnutý kód instalaci nezastaví: služba se nainstaluje, jen zůstane nespárovaná. Spárujte ji pak novým kódem podle části „Spárování později“ níže. Při opravě, aktualizaci nebo na už spárovaném počítači se instalátor na kód neptá.

Instalace bez obsluhy

Pro skriptovanou instalaci použijte příkaz zobrazený v kroku Instalace agenta (Nebo instalace bez obsluhy (PowerShell jako správce)). Spusťte ho v PowerShellu jako správce ve složce, kam jste instalátor stáhli:

msiexec /i <soubor.msi> ENROLLCODE=<párovací kód> /qn

Má-li služba běžet pod doménovým účtem služby, přidejte vlastnosti SERVICEACCOUNT a SERVICEPASSWORD:

msiexec /i <soubor.msi> ENROLLCODE=<párovací kód> SERVICEACCOUNT=DOMENA\svc-tappeer SERVICEPASSWORD=<heslo> /qn /l*v install.log

Pokud průvodce v příkazu uvádí i vlastnost ENDPOINT, ponechte ji tak, jak je. /qn nezobrazí žádné okno a nic se nevypisuje; průběh najdete v protokolu zadaném přes /l*v. Chybějící nebo odmítnutý ENROLLCODE nainstaluje nespárovanou službu.

Spárování později

Spárovat nainstalovaného agenta můžete kdykoli novým párovacím kódem. Otevřete nový příkazový řádek jako správce (instalátor přidává bridgectl.exe do systémové cesty, kterou už otevřené okno nezná) a spusťte:

bridgectl enroll --code TPB-XXXX-XXXX-XXXX

Pokud příkaz zobrazený v aplikaci obsahuje i --endpoint …, ponechte ho tak, jak je.

Hotový příkaz s kódem zobrazí průvodce v kroku Spárování počítače a také okno, které se otevře po kliknutí na Párovací kód u bridge v seznamu. Interaktivní variantu, která se na kód zeptá, spustíte příkazem bridgectl enroll --interactive.

Jak ověřit, že vše funguje

Ve webové aplikaci má bridge stav Online a na jeho kartě vidíte název počítače, verzi agenta a cílové systémy, které hlásí.
Na počítači ukáže bridgectl status, zda je bridge spárovaný, v jakém stavu je agent a jaká byla poslední chyba.
bridgectl doctor zkontroluje složky, uložený přihlašovací údaj, dostupnost brány přes TCP i TLS, zda agent hlásí svůj stav a co nainstalované pluginy na počítači našly. Spusťte ho dřív, než začnete číst protokoly.

Cílový systém se na kartě bridge objeví, jakmile je na počítači nainstalovaný jeho plugin. Další kroky: Cílové systémy a instalace. Provoz, aktualizace a odinstalaci popisuje Provoz bridge.