Reference VM System Architecture

CZ popis
Referenční architektura počítá s hostitelským strojem, na kterém běží více izolovaných Firecracker VM, vždy jedna VM na uživatele. Přístup do sítě lze řídit na úrovni jednotlivých VM, takže je možné omezit outbound komunikaci pouze na schválené cíle. cdx-daemon funguje jako control plane, který se k VM připojuje a vzdáleně je řídí; nemusí běžet přímo na stejném hostu jako VM.

Domovský adresář /home/codexis je do VM připojen z NFS serveru. Úložiště na NFS je spravováno přes ZFS datasety a zálohováno snapshoty do S3 nebo do S3-kompatibilního úložiště. Pokud klient požaduje, aby veškerá obchodní data zůstala lokálně, lze celý tento stack provozovat on-premise a pro zálohy použít lokální S3-kompatibilní objektové úložiště. Externími službami pak zůstávají pouze CODEXIS API a OpenAI API.

Vybrané složky z klientského PC nebo firemního souborového serveru se synchronizují pomocí Syncthing na NFS vrstvu. Díky tomu se stejné soubory objeví uvnitř uživatelské VM jako standardní adresáře a agent s nimi může pracovat bez ručního uploadu a downloadu.

EN description
The reference architecture uses a host machine running multiple isolated Firecracker VMs, with one VM per user. Network access can be controlled per VM, which makes it possible to restrict outbound traffic to approved destinations only. cdx-daemon acts as the control plane that connects to and manages the VMs remotely; it does not need to run on the same host as the VMs.

The /home/codexis home directory is mounted into the VMs from an NFS server. Storage on the NFS side is managed through ZFS datasets and backed up via snapshots to S3 or an S3-compatible object store. If the client requires all business data to remain local, the entire stack can run on-premises and the backup target can be a private S3-compatible object store. In that deployment model, the only external services are CODEXIS API and OpenAI API.

Selected folders from the client PC or company file server are synchronized through Syncthing into the NFS layer. This makes the same files appear inside the user's VM as standard directories, so the agent can work with them without manual upload or download steps.