Watch — сьомий етап магістралі збереження доказів
Затверджений — це не те саме, що біг
Матриця інфраструктури перетинає всі сервіси з кожним середовищем: який дайджест розгортається і які докази стоять за ним. Після розгортання Watch постійно порівнює дайджест запущеного образу із затвердженим — і матриця змінюється, коли вони відрізняються.
Це не планове повторне сканування. Watch працює стільки, скільки працює робоче навантаження.
Магістраль збереження доказів
- Джерело
- Будівництво
- Сканування
- Вердикт
- Рішення
- Розгортання
- Дивіться
Кожен етап містить один із трьох станів: MISSING, RECORDED, або SIGNED. Перші шість етапів завершено. Watch не робить цього — він постійно перевіряє, чи рекорд все ще відповідає реальності.
Одна матриця — кожне середовище
Інфраструктура нижче: сервіси збоку, середовища згори, під ними — відкрита панель відхилень. У недоведеної клітинки розгортання зафіксовано, а докази не перевірено. Відхилення — це повідомлення одного агента про один запущений контейнер, дайджест якого не затверджено; підроблені знахідки мають власний підрахунок. Digest-firstІдентифікація релізу на основі незмінних хешів контенту (дайджести SHA-256) замість змінних тегів — байт-ідентичні розгортання
Чотири терміни, які використовує екран
Усе на екрані Estate зводиться до того, що розгорнуто, що доведено і що змінилося після затвердження.
Недоведена клітина
Розгортання записано, але докази для нього неповні. Комірка не стає зеленою лише на підставі довіри.
Дрейф
Агенти спостереження порівнюють дайджест, який фактично виконує кожне робоче навантаження, зі схваленим для цього середовища дайджестом. Розбіжність стає рядком дрейфу: який сервіс, яке середовище, які два дайджести не збігаються.
Підроблені
Порушення цілісності: поточне зображення було змінено відносно підписаного запису. Підроблені знахідки рахуються окремо від дрейфу, оскільки змінене зображення — це інша проблема, ніж незатверджена.
Службовий паспорт
Кожна служба має свій слід доказів: стан кожного етапу утримання під вартою — від джерела до останнього спостережень Watch. Коли потрібно пояснити камеру, ви відкриваєте паспорт.
Чому це важко поза Kubernetes
Кластери Kubernetes мають рівень допуску (admission): робоче навантаження можна відхилити в момент його планування. Проєкти Compose, хости SSH/WinRM і завдання не мають рівноцінного гейта. Сканери зупиняються на знахідках. Інструменти CD зупиняються на події розгортання. Контролери допуску перевіряють лише всередині Kubernetes і в будь-якому разі не залишають доказів рішення, які можна відтворити. Тож у більшості інфраструктур без Kubernetes ніщо не перевіряє, чи те, що працює сьогодні, досі відповідає схваленому. Watch закриває цю прогалину: безперервне порівняння дайджестів для інфраструктур без рівня допуску із записом кожної перевірки.
Як це працює з операційної точки зору
Цілі для розгортання без агентів
Stella Ops просуває релізи на Docker Compose, SSH/WinRM хостів і через власний інтерфейс кожної цілі. Розгортання нічого не встановлює на ціль.
Спостережні агенти
Спостерігати — це окремо. Легкі спостерігачі повідомляють, що дайджести фактично працюють на кожній цілі. Там, де немає спостерігача, стан виконання відсутній — ніколи не вважався добрим.
Що дозволяє робити дрейф-роу
- Відстежте паспорт: який дайджест був схвалений для цього середовища, на яких підставах, ким.
- Повторна перевірка: проведіть перевірку за наявними доказами та зафіксуйте результат.
- Відкотити: розгорнути останній відомий хороший дайджест — точний артефакт, а не тег.
Хто читає цей екран?
Відповідальний за операції з релізами
Що таке жити де?
Одна матриця відповідає на нього: кожна служба, кожне середовище, розгорнутий дайджест, позиція доказів. Жодних перехресних посилань журналів розгортання з реєстрами.
Переглядач Assurance
Чи розгорнуто правильне програмне забезпечення — і чи відповідає воно вимогам стану?
Положення лише для читання на кожну клітину: що працює, чи повний ланцюг доказів і коли його востаннє перевіряли.
Менеджер ризиків безпеки
Чи є щось, що ми не схвалили?
Незатверджені або змінені зображення з'являються як дрейф і змінені ряди, з затвердженим дайджестом для порівняння. Постійна перевірка, а не періодичний звіт.
Докази інфраструктури забезпечують пакети відповідності
Записи збереження доказів і спостереження Watch, зібрані тут, є вихідними даними для пакетів відповідності. Увімкнення запускає збирання доказів у консервативному режимі лише доказів; це не є заявою про відповідність нормативним вимогам.