Rastreo de Correlación
Para qué sirve esta pantalla
Una solicitud rara vez produce un solo registro. Una misma llamada puede recorrer varios servicios, y cada uno anota lo que hizo en su propia pista, así que el relato de lo ocurrido queda repartido entre pistas e tenants y ordenado solo por el tiempo. Esta pantalla lo reúne: le das un identificador de correlación y coloca en una única línea de tiempo cada registro que lo lleva, del más antiguo al más reciente, con la diferencia en milisegundos respecto del registro anterior.
Un identificador de correlación es un UUID. Un servicio adopta la cabecera X-Correlation-Id que recibe cuando es un UUID en su forma de 36 caracteres con guiones, con cualquier combinación de mayúsculas y minúsculas, y lo registra en minúsculas; cualquier otro valor se sustituye por uno generado. Ese valor viaja después con la solicitud y queda estampado en cada registro que produce. Aquí no creas uno: tomas uno de un registro que ya estás mirando.
La línea de tiempo se construye con las pistas criptográfica y administrativa. Un evento registrado únicamente en la pista de acceso no se coloca en ella, así que un inicio de sesión se sigue desde la Auditoría Global y no desde aquí.
Qué debe existir antes
Esta pantalla no tiene entrada en la barra lateral del plano de plataforma. Se llega por la dirección —el identificador forma parte de la dirección, así que un rastreo es un enlace que puedes enviar a otra persona— o abriendo la pantalla vacía y escribiendo un identificador en el cuadro de búsqueda.
- El permiso para rastrear una solicitud por su identificador de correlación, o el permiso de lectura de todas las pistas de auditoría de plataforma. El rol integrado de administrador de plataforma tiene los dos; el auditor de plataforma tiene solo el segundo y llega a esta pantalla por él. El visor de plataforma no tiene ninguno y no llega a ningún rastreo. Tener algún otro permiso de auditoría de plataforma, por ejemplo solo el de operaciones criptográficas, no alcanza esta pantalla.
- Un identificador que rastrear. El detalle de cualquier evento de un registro de auditoría muestra el identificador de correlación de la solicitud que lo produjo, y los paneles de actividad dentro de un tenant ofrecen Trace request directamente sobre una fila.
Ningún tenant se comprueba contra el identificador, porque una solicitud cruza legítimamente servicios e tenants y no hay un único tenant contra el que comprobarlo. Lo que puedes ver lo decide el permiso que tienes, nunca el identificador.
Decisiones que tomas aquí
Rastrear un identificador
Pega el identificador y selecciona Trace. El identificador pasa a formar parte de la dirección, así que el resultado es reproducible y el botón de retroceso significa algo, y Copy devuelve el identificador a tu portapapeles para un ticket.
Leer lo que volvió, y qué abarca
Trace Summary indica Total Events, Crypto Ops, Admin Actions, Total Duration —el lapso entre el primer registro y el último— y un Status que dice FAILURE cuando algún registro de la línea de tiempo falló, Ejecutada — resultado retenido cuando no falló ninguno pero se retuvo el resultado de una operación, y SUCCESS en los demás casos.
Una operación respondida con un 503 porque no se pudo confirmar su propio registro de auditoría puede haberse ejecutado igualmente. El servicio registra entonces que su resultado se retuvo, y la línea de tiempo muestra esa operación una sola vez, con Ejecutada — resultado retenido en lugar del éxito que declara su propio registro. Una operación retenida no se factura.
La amplitud del resultado es la decisión que esta pantalla toma por ti, y sigue al permiso y no al plano. Solo el permiso de lectura de todas las pistas de auditoría de plataforma devuelve registros de todos los tenants. Con el permiso de correlación por sí solo, la línea de tiempo queda limitada a los registros de tu propio tenant incluso en esta pantalla, y el resumen cuenta únicamente esos.
Leer un registro de la línea de tiempo
Un registro criptográfico nombra la operación, la clave, el algoritmo, el cliente y cuánto tardó.
Un registro administrativo dice qué cambió: una rotación se lee Rotación v1 → v2 con Manual o Programada, una rotación fallida da su motivo, y otro cambio lista cada campo antes → después. Realizada por nombra al planificador, al sistema o el tipo de actor que inició una rotación, y conserva entero el identificador registrado, copiable. Sujeto nombra una clave por su identificador, con la identidad del registro de la clave al lado; cualquier otro objeto se nombra por su tipo y su identidad. Cada registro nombra además su tenant, que es lo que hace legible un rastreo entre tenants.
Conviene saber dos cosas sobre el objeto de un registro administrativo antes de citarlo. El tipo es una forma reducida del nombre propio del productor —una entidad de alias de clave se reduce a KEYALIAS— y esa reducción no se puede revertir, así que no es el valor con el que se responde una comprobación de integridad.
La identidad se muestra exactamente como se firmó; cuando un evento administrativo no actúa sobre nada duradero, el servicio productor deriva un identificador estable a partir del nombre de la operación, así que un identificador bien formado puede no corresponder a ningún objeto.
Seguir una operación retransmitida
Una operación de claves iniciada desde la consola llega al servicio criptográfico a través del servicio administrativo. El registro administrativo lleva la dirección del cliente del propio operador, y es el registro que responde quién inició la operación y desde dónde. Solo una rotación de clave deja además un registro criptográfico: lleva la dirección del servicio que retransmitió la llamada y comparte este identificador con el registro administrativo. Crear o importar una clave no deja registro criptográfico, así que su traza devuelve solo el registro administrativo.
Cuando no vuelve nada
Un resultado vacío indica que no se encontraron eventos para ese identificador. Eso significa que no existe ningún registro que lo lleve en las pistas que tienes permiso para leer, no que la solicitud no haya ocurrido ni que el identificador esté mal. Revisa el identificador, y revisa si los registros que esperas pertenecen a un tenant que tu permiso no alcanza.
Usarlo con moderación
Todo el conjunto coincidente vuelve de una vez: no hay ventana ni paginación, y un rastreo entre tenants lee todas las particiones de la pista criptográfica, porque el identificador no es aquello por lo que esa pista está particionada. Está pensado para un incidente, no para recorrer un período; la pantalla para eso es la Auditoría Global.
Cómo se relaciona con otras pantallas
El identificador de correlación que muestra el detalle de cualquier evento es el valor que toma esta pantalla, y la pista de la que salió ese registro:
Si los registros de la línea de tiempo siguen íntegros, y si esta lectura quedó registrada a su vez:
La misma pantalla tal como la ve un operador de tenant, limitada a su propio tenant:
Dónde leer más
Estas páginas están en inglés: