Voor architecten

Een platform dat u kunt verantwoorden. Op uw cluster, met uw identiteit en uw regels.

Flow is één verbindende laag voor systemen, AI Collega’s en mensen. Het draait op Kubernetes met PostgreSQL, sluit aan op uw identity provider en houdt elke stap herleidbaar. Hier leest u wat erin zit, hoe u het inricht en hoe u het beheert.

Plan een architectuursessie Bekijk de referentiearchitecturen

Kubernetesstandaard Kubernetes met ingress-nginx en cert-manager

PostgreSQL 17één database per omgeving

OpenID Connectuw eigen identity provider, groepen → rollen

EU-first AIMistral standaard, uw eigen model kan ook

DTAPontwikkel, test, acceptatie, productie

Geharde imagesniet-root, alleen-lezen, CVE-scan bij elke release

Wat erin zit

Eén platform, duidelijk opgedeeld.

De portal is het control plane: accounts, organisaties, aanmelden, omgevingen en releases. Elke omgeving is een eigen Flow met een eigen database. Eigen code draait in een sandbox zonder netwerk; browserautomatisering in een eigen container die uw interne netwerk niet kan bereiken.

De logische architectuur. Elke omgeving (ontwikkel, test, acceptatie, productie) is gescheiden: eigen pod, eigen database, eigen adres en certificaat.

StudioEen IDE in de browser: verkenner, tabbladen, inspector en ⌘K. Modules groeperen alles wat bij één proces hoort.

WorkflowsTriggers, regels, lussen, goedkeuringen, HTTP, tabellen, kennisbanken, eigen Python in de sandbox en browserstappen (RPA). Elke run is stap voor stap terug te zien.

AI Collega’sAgents in een ‘doos’: budget in tokens, tool-calls en tijd; persoonsgegevens gemaskeerd voordat het model ze ziet; schrijfacties standaard uit; testgevallen vóór publiceren.

API-gatewayPubliceer workflows en tabellen als REST, SOAP of MCP, met OpenAPI 3.1. Aanmelden met API-sleutel, OAuth2, JWT van uw IdP, Basic of HMAC; limieten per afnemer.

KennisbankenDocumenten en tabellen doorzoekbaar voor AI Collega’s, met embeddings lokaal of bij Mistral (EU).

KoppelingenMicrosoft 365 (mail, agenda, Teams, SharePoint), Slack, e-mail, WhatsApp Business, elke REST-API en MCP-servers. Geheimen versleuteld, nooit in een log.

Home & dashboardsEen eigen startpagina voor collega’s per doelgroep, met dashboards, chat en feedback.

Bouwen met AIDe AI Architect en uw eigen AI-apps (Claude Desktop, ChatGPT) bouwen via MCP, met uw rechten en alleen in ontwikkel- en testomgevingen.

Referentiearchitecturen

Flow in Azure, AWS of OpenShift.

Flow gebruikt alleen standaard Kubernetes: Deployments, Services, Ingress, Secrets en NetworkPolicies. Daardoor landt het in elke cloud op dezelfde manier, met de bouwstenen die u al kent.

Flow (per omgeving)onderdeel van het platform of uw cloudroadmap

Referentieontwerp: zo landt Flow in deze cloud. Vandaag draait Flow in productie op managed Kubernetes in de EU; uw cloud richten we samen in.

Postgres draait in de cluster op Azure Disk; een beheerde Azure Database for PostgreSQL wordt door Flow zelf ondersteund, de Helm-chart krijgt die optie nog.
Secrets staan vandaag in een Kubernetes Secret; Azure Key Vault per verwijzing staat op de roadmap (E12).

Inrichten

Van cluster tot eerste proces.

Uw platformteam installeert Flow met één Helm-chart. Daarna start de portal zelf elke omgeving; u hoeft per omgeving niets te installeren.

Cluster en namespace

Een Kubernetes-cluster met een ingress-controller en cert-manager. Wij leveren de namespace met Pod Security-labels.

Images en secrets

Spiegel onze geharde images in uw registry en zet de secrets klaar in één Kubernetes Secret (of laat Helm ze aanmaken).

Installeren met Helm

Eén commando. De portal start daarna zelf elke omgeving: een pod, een service, een ingress en een eigen database.

Identiteit koppelen

Koppel uw identity provider via OpenID Connect en wijs groepen toe aan rollen. Wie de groep verlaat, verliest de rol bij de volgende aanmelding.

AI-model kiezen

Per omgeving: Mistral (EU), Anthropic of een OpenAI-compatibele endpoint, met uw eigen sleutels. AI Collega’s kunt u beperken tot EU-modellen.

Omgevingen en eerste proces

Maak ontwikkel, test, acceptatie en productie aan, koppel uw systemen en bouw het eerste proces, desnoods door te praten met de AI Architect.

# values.yaml: the essentials
domain: flow.uwbedrijf.nl
image: {registry: uwregistry.azurecr.io, repo: inntelligence/flow, tag: "0.7.24"}
ingress: {className: nginx, clusterIssuer: letsencrypt-prod}
postgres: {storage: 20Gi, storageClassName: managed-premium}
secrets: {existingSecret: flow-platform-secrets}
sandbox: {replicas: 2, runtimeClassName: gvisor}   # gVisor when your cluster has it

# install
kubectl apply -f namespace.yml
helm upgrade --install flow-platform ./flow-platform -n inntelligence -f values.yaml

Beheren

Grip zonder rem.

Governance zit in het platform zelf, niet in een document ernaast.

Ontwikkel, test, acceptatie, productie

Elke omgeving is een eigen Flow met een eigen database. Bouwen kan alleen in ontwikkel; test, acceptatie en productie zijn alleen-lezen en krijgen een release via promotie.

Rollen, teams en SSO-groepen

Acht standaardrollen en eigen rollen, ongeveer veertig rechten. Rollen komen direct, via een team of via een groep in uw identity provider.

Toegang als voorstel

Een AI-app maakt nooit zelf sleutels, rollen of deellinks aan. Hij doet een voorstel; een mens keurt het goed, met zijn eigen rechten.

Versiebeheer en terugzetten

Elke wijziging is een versie. U vergelijkt twee versies en zet terug in één stap. Secrets, runs en logs gaan nooit mee in een versie.

Audit en beveiligingsoverzicht

Aanmeldingen, wijzigingen en weigeringen staan in het auditlog. Het beveiligingsoverzicht laat zien wat open of zwak is, met ernst en uitleg.

Gegevensclassificatie en bewaartermijnen

Publiek, intern, vertrouwelijk, persoonsgegevens, bijzonder. Gevoelige gegevens gaan nooit open zonder aanmelden en recht; logs en runs worden na een instelbare termijn opgeruimd.

Beveiliging

Veilig gebouwd, veilig uitgeleverd.

Elke release van Flow is volledig getest en gescand voordat hij uitgeleverd wordt.

Portal, Flow en sandbox op Docker Hardened Images: geen shell, niet-root (uid 65532), alleen-lezen bestandssysteem, alle capabilities uit.
Bij elke release: pip-audit, npm audit en een Trivy-scan van elk image; een bekende HIGH of CRITICAL met fix stopt de release.
Elke release eerst door de volledige testrun: backends, end-to-end tests en elke handleiding als test.
Geheimen versleuteld opgeslagen en alleen-schrijven via de API; nooit naar een AI-model of een log.
Uitgaande aanroepen alleen via http(s) en standaard nooit naar privé- of interne adressen.
Eigen code in een sandbox zonder netwerk, met limieten op CPU, geheugen en tijd; gVisor als uw cluster het heeft.

Wie doet wat

Heldere verantwoordelijkheden.

Onderdeel	InnTelligence	Uw organisatie
Applicatie en images	InnTelligence: bouwen, testen, CVE-scannen, uitleveren per release	—
Kubernetes-cluster	advies over omvang en inrichting	uw platformteam: cluster, patches, nodes
Ingress, DNS en certificaten	ingress- en certificaatconfiguratie in de chart	uw DNS-records en (optioneel) WAF
Database	PostgreSQL 17 in de cluster, één database per omgeving	opslag (StorageClass) en back-ups van het volume
Logs en monitoring	logs op stdout en health-endpoints	verzamelen in uw monitoring
Identiteit	OIDC-koppeling en rolmapping	uw identity provider en groepen
AI-modellen	keuze per omgeving, guardrails en budgetten	uw contract en sleutels bij de modelleverancier

Het resultaat

Wat uw organisatie ervoor terugkrijgt.

Eén verbindende laagUw systemen, AI Collega’s en mensen op één plek, in plaats van losse scripts en tools.

AI met vangrailsBudgetten, maskering en goedkeuring waar u die wilt; elke stap terug te zien.

Geen lock-inUw cluster, uw database (standaard PostgreSQL met SQL-views), uw identity provider en uw modelkeuze. Modules exporteert u als bestand.

Sneller van vraag naar werkend procesBouwen door te praten, in ontwikkel; via test en acceptatie naar productie.

Bewijsbaar veiligElke release volledig getest en gescand; images zonder shell, niet-root en alleen-lezen.

In uw tempoBegin met één proces en één team; schaal per omgeving en per module.

Roadmap

Wat eraan komt.

Gepland en nog niet beschikbaar; we bouwen het test-first en melden het hier zodra het er is.

E12Uw key vaultSecrets per verwijzing uit Azure Key Vault, AWS Secrets Manager of de eigen vault van Flow.

E13EventsKafka, Azure Event Hubs en AWS SQS/SNS, plus een eigen eventbus op Postgres; asynchroon verwerken met inbox en outbox.

E14Meer databronnenUw eigen databases naast Postgres, gelezen met push-down en rij-beleid.

E15Modules op eigen workersEen module draait, schaalt en faalt los van de rest.

Architectuursessie

Leg het naast uw landschap.

In een sessie van een uur leggen we Flow naast uw cloud, identiteit, netwerk en beheerseisen, en schetsen we samen hoe het landt.