Watch — сьомий етап магістралі збереження доказів
Затверджений — це не те саме, що біг
Матриця інфраструктури перетинає всі сервіси з кожним середовищем: який дайджест розгортається і які докази стоять за ним. Після розгортання Watch постійно порівнює дайджест запущеного образу із затвердженим — і матриця змінюється, коли вони відрізняються.
Не планове повторне сканування. Годинник працює стільки, скільки є навантаження.
Магістраль збереження доказів
- Джерело
- Будівництво
- Сканування
- Вердикт
- Рішення
- Розгортання
- Дивіться
Кожен етап містить один із трьох станів: MISSING, RECORDED, або SIGNED. Перші шість етапів завершено. Watch не робить цього — він постійно перевіряє, чи рекорд все ще відповідає реальності.
Одна матриця — кожне середовище
Інфраструктура нижче: сервіси збоку, середовища згори, під ними — відкрита панель відхилень. У недоведеної клітинки розгортання зафіксовано, а докази не перевірено. Відхилення — це повідомлення одного агента про один запущений контейнер, дайджест якого не затверджено; підроблені знахідки мають власний підрахунок. Digest-firstІдентифікація релізу на основі незмінних хешів контенту (дайджести SHA-256) замість змінних тегів — байт-ідентичні розгортання
Чотири терміни, які використовує екран
Усе на екрані Estate зводиться до того, що розгорнуто, що доведено і що змінилося після затвердження.
Недоведена клітина
Розгортання записано, але докази для нього неповні. Комірка не стає зеленою лише на підставі довіри.
Дрейф
Спостерігачі порівнюють дайджест, який виконує кожне робоче навантаження, з затвердженим для цього середовища дайджестом. Невідповідність перетворюється на дрейф-суперечку: яка служба, яке середовище, які два дайджести не погоджуються.
Підроблені
Порушення цілісності: поточне зображення було змінено відносно підписаного запису. Підроблені знахідки рахуються окремо від дрейфу, оскільки змінене зображення — це інша проблема, ніж незатверджена.
Службовий паспорт
Кожна служба має свій слід доказів: стан кожного етапу утримання під вартою — від джерела до останнього спостережень Watch. Коли потрібно пояснити камеру, ви відкриваєте паспорт.
Чому це важко поза Kubernetes
Kubernetes кластерах є рівень прийому: навантаження може бути відхилене в момент його розкладу. Написання проєктів, SSH/WinRM хостів завдань і завдань не мають однакових воріт. Сканери зупиняються на знахідках. Інструменти CD зупиняються на події розгортання. Контролери входу перевіряють лише всередині Kubernetes і не залишають жодних повторних доказів рішення в будь-якому випадку. Тож у більшості інфраструктур поза Kubernetes нічого не перевіряє, чи те, що працює сьогодні, все ще є тим, що було затверджено. Watch покриває цю прогалину: безперервне порівняння для інфраструктур без доступу, з записом кожної перевірки.
Як це працює з операційної точки зору
Цілі для розгортання без агентів
Stella Ops просуває релізи на Docker Compose, SSH/WinRM хостів і через власний інтерфейс кожної цілі. Розгортання нічого не встановлює на ціль.
Спостережні агенти
Спостерігати — це окремо. Легкі спостерігачі повідомляють, що дайджести фактично працюють на кожній цілі. Там, де немає спостерігача, стан виконання відсутній — ніколи не вважався добрим.
Що дозволяє робити дрейф-роу
- Відстежте паспорт: який дайджест був схвалений для цього середовища, на яких підставах, ким.
- Повторна перевірка: проведіть перевірку за наявними доказами та зафіксуйте результат.
- Відкотити: розгорнути останній відомий хороший дайджест — точний артефакт, а не тег.
Хто читає цей екран?
Відповідальний за операції з релізами
Що таке жити де?
Одна матриця відповідає на нього: кожна служба, кожне середовище, розгорнутий дайджест, позиція доказів. Жодних перехресних посилань журналів розгортання з реєстрами.
Переглядач Assurance
Чи розгорнуто правильне програмне забезпечення — і чи відповідає воно вимогам стану?
Положення лише для читання на кожну клітину: що працює, чи повний ланцюг доказів і коли його востаннє перевіряли.
Менеджер ризиків безпеки
Чи є щось, що ми не схвалили?
Незатверджені або змінені зображення з'являються як дрейф і змінені ряди, з затвердженим дайджестом для порівняння. Постійна перевірка, а не періодичний звіт.
Докази інфраструктури забезпечують пакети відповідності
Записи збереження доказів і спостереження Watch, зібрані тут, є вихідними даними для пакетів відповідності. Увімкнення запускає збирання доказів у консервативному режимі лише доказів; це не є заявою про відповідність нормативним вимогам.