Configuración de Plataforma

Para qué sirve esta pantalla

Configuración de Plataforma es donde se configura toda tu instalación, y esta es su raíz: la pantalla que abre la entrada del menú lateral antes de que elijas nada. Muestra ocho tarjetas, una por grupo de propósito, cada una con su nombre, una línea sobre lo que ese grupo decide y un recuento en vivo de los valores que contiene. Los mismos ocho grupos cuelgan de la entrada del menú como un árbol, así que puedes ir directo a un grupo o a una de sus entradas sin pasar por aquí.

Debajo de las tarjetas la forma es fija: ocho grupos de propósito, 38 subgrupos entre todos y 316 valores de configuración en total.

El árbol se organiza por propósito, no por servicio. Cada valor lleva consigo el grupo y el subgrupo a los que pertenece, y la consola dibuja el árbol a partir de eso, nunca del nombre del valor ni del servicio que lo lee. Así, un tiempo de espera que respetan tres servicios aparece una sola vez, bajo el propósito al que sirve, y buscas un valor preguntando qué decide y no qué servicio lo usa.

Qué debe existir antes

Esta es una pantalla de plataforma. Abrirla mientras trabajas dentro de un tenant te envía al panel de ese tenant, y toda solicitud detrás de ella se rechaza si tu token no lleva el tenant de plataforma — un rechazo que dice solo Forbidden y nunca qué tenant ni qué permiso estaba mal. Además:

El permiso de lectura de la configuración de plataforma. Es lo que pone la entrada Configuración de Plataforma en el menú lateral y lo que carga el catálogo que las tarjetas cuentan. Los roles integrados de administrador, auditor y visor de la plataforma lo tienen.
El permiso de escritura de la configuración de plataforma, para cualquier cambio. Solo lo tiene el superadministrador de plataforma. Sin él, cada valor se lee y ninguno muestra control de edición.
Un tercer permiso para los valores clasificados como peligrosos. Se exige además del permiso de escritura, y la plataforma rechaza la escritura sin él, hayas escrito la confirmación o no.
Seis de los 38 subgrupos no son listas de valores sino que administran registros, y cada uno tiene sus propios permisos. Tener la lectura de configuración de plataforma no los incluye, y tener solo uno de ellos aun así te admite en esa entrada.

Decisiones que tomas aquí

Leer la pantalla inicial

El catálogo se lee una sola vez al abrir esta superficie, de modo que cada recuento de esta pantalla y de las que cuelgan de ella se leyó en el mismo momento; filtrar, buscar y entrar en un grupo no lo vuelven a pedir.

El recuento de cada tarjeta está acotado al filtro Postura que está junto al botón de búsqueda, así que es un recuento filtrado y no el tamaño del grupo siempre que el filtro no sea Todos. Los otros tres valores son Editable, Solo lectura y Secretos, y cada valor cae en exactamente uno: un secreto es un secreto sea editable o no, lo demás que puedas escribir es editable y el resto es de solo lectura. Un grupo sin coincidencias muestra igualmente su tarjeta, con un 0.

En un despliegue cuyo entorno no es de producción, sobre las tarjetas permanece un aviso — Entorno no productivo — que indica que algunos parámetros están relajados respecto a producción. Es informativo, no se puede descartar, y no aparece cuando el entorno es de producción o se desconoce.

Encontrar un valor por su nombre

Buscar configuraciones, o Ctrl/Cmd+K, abre un buscador sobre todo el catálogo. Compara la clave del valor, su etiqueta, su descripción, su categoría y el nombre de su grupo — la clave pesa más que la etiqueta, y la etiqueta más que la descripción. Una consulta de tres caracteres o menos compara solo contra la clave y la etiqueta, para que un fragmento corto no arrastre descripciones vagas. Una consulta vacía no lista nada en lugar de listarlo todo.

Elegir un resultado te lleva a donde ese valor vive realmente y lo abre. Un subgrupo que tu despliegue no ofrece se retira también del buscador, además de las tarjetas y del árbol, así que la búsqueda no puede alcanzar una pantalla que tu despliegue no tiene.

Cambiar un valor, y qué lo confirma

Abrir un valor te da un editor construido con las reglas de ese valor: un valor enumerado ofrece sus opciones, un número acotado rechaza una entrada fuera de rango mientras escribes, y se le pide a la plataforma que valide tu candidato antes de habilitar Guardar. Si esa validación falla, Guardar sigue deshabilitado y lo indica: un valor nunca se guarda contra un veredicto que nadie dio.

Un valor peligroso te pide escribir su clave exacta antes de habilitar Guardar. Salir de una edición sin terminar abre una elección entre Seguir editando y Descartar cambios. Si otro administrador cambió el mismo valor mientras lo tenías abierto, el guardado se rechaza y se te pide recargar en lugar de reintentar.

Cuándo surte efecto un valor guardado

Esta es la parte que más sorprende. Un valor guardado no siempre se aplica de inmediato, y el editor indica con palabras, junto al valor, cuál de estos casos es:

En vivo — se publica a los servicios que lo leen y rige en la siguiente operación. Sin reinicio.
Solo hacia adelante — el cambio rige pero no alcanza lo anterior: una tarea reprogramada toma su nuevo horario al guardar, y una vida de caché se aplica a las entradas nuevas mientras las existentes conservan la que tenían.
Requiere reinicio — el valor se fija al arrancar el servicio, así que se almacena ahora y se aplica cuando el servicio se reinicie.

Un valor del tercer caso se guarda, queda marcado como pendiente y levanta un aviso — Reinicio requerido — que dice cuántos valores esperan. El aviso no desaparece solo. Ver reinicios pendientes lista exactamente qué claves esperan y el comando que las aplica, un comando que la plataforma calcula desde el entorno en el que corre; cuando no puede nombrar ninguno, el aviso sigue informando del reinicio pendiente y simplemente no ofrece nada que copiar, en vez de una instrucción pensada para otro entorno.

Secretos

Un secreto nunca se te muestra. La plataforma sustituye su valor por una máscara antes de enviarlo, así que la consola no tiene copia de él y en esta superficie no hay ningún control para revelarlo. Lo que sí puedes leer es si hay uno almacenado: cada valor muestra Asignado o Sin asignar junto a la capa que entregó el valor, y para un secreto son dos hechos distintos — una credencial almacenada y un valor por defecto del código pueden ser ciertos a la vez.

Editar un secreto te da un campo vacío, no la máscara. Lo que escribes reemplaza por completo el valor almacenado; enviar la propia máscara, o un valor vacío, se rechaza en lugar de escribirse. Restablecer un secreto no repone un valor predeterminado, porque una credencial no lo tiene: borra lo que hay almacenado, y la confirmación lo dice.

Valores que aquí no puedes cambiar

Algunos valores llevan un candado en lugar de un control de edición, y hay dos motivos distintos, etiquetados aparte porque te piden acciones distintas:

Diagnóstico — una observación que la plataforma informa sobre sí misma. No hay nada que asignar.
Despliegue — un parámetro real, pero cuyo dueño es el despliegue. Su valor viene de una variable de entorno, la entrada nombra esa variable, y lo cambias editando el entorno del despliegue y redesplegando.
N/D — un valor que solo aplica a despliegues alojados por ANKA. Se muestra, nunca es editable aquí, y una escritura se rechaza antes de comprobar cualquier otra cosa.

Subgrupos que administran registros

Seis de los 38 subgrupos no contienen ningún valor de configuración. Están en el árbol porque es donde un operador los busca, pero cada uno administra registros con ciclo de vida propio en lugar de una lista de valores: Tipos de Contraparte, Exportación de Observabilidad, Reenvío a SIEM / XDR, Alertas de plataforma, Federación de Identidad de Cargas de Trabajo y Backends de claves gestionados por edición. El último no se ofrece en una instalación operada por el cliente.

Cómo se relaciona con otras pantallas

Dos de los ocho grupos están documentados aquí por ahora, y los subsistemas que contienen tienen página propia:

Lo que esta superficie configura, otra pantalla lo dibuja: el mapa de todo aquello a lo que tu instalación está conectada, y las políticas que los tenants heredan, se deciden en otro sitio.