Configuración de Observabilidad y Auditoría

Para qué sirve esta pantalla

Observabilidad y Auditoría es uno de los ocho grupos de propósito de Configuración de Plataforma. Decide qué registra la plataforma sobre sí misma — trazas distribuidas y métricas, el registro de auditoría a prueba de manipulaciones, los registros de la aplicación y el backend de búsqueda donde acaban — y, a través de tres subsistemas, a dónde se envía todo eso fuera del despliegue.

Bajo el grupo cuelgan siete tarjetas, en este orden: Trazas y Métricas, Registro de Auditoría, Registro, Paneles y Búsqueda, Exportación de Observabilidad, Reenvío a SIEM / XDR y Alertas de plataforma. Las cuatro primeras son listas de valores de configuración y se describen en esta página. Las tres últimas no contienen ningún valor de configuración: administran registros con ciclo de vida propio, y cada una tiene su página.

Solo unos pocos valores de las cuatro primeras tarjetas admiten escritura. El resto se muestra para que el inventario esté completo, no para que lo cambies: la mayoría son observaciones de solo lectura del despliegue, algunos son secretos enmascarados de los que solo puedes ver si están almacenados, y dos son parámetros reales cuyo dueño es el despliegue. Este grupo se lee mucho más de lo que se edita.

Qué debe existir antes

Es una pantalla de plataforma: se alcanza en el contexto de plataforma y solo se sirve al tenant de plataforma. Además de eso:

El permiso de lectura de la configuración de plataforma. Es lo que coloca Configuración de Plataforma en el menú lateral y lo que obtiene el catálogo que estas tarjetas cuentan.
El permiso de escritura de la configuración de plataforma, para cualquier cambio. Sin él todos los valores se leen y ninguno ofrece control de edición.
Permisos aparte, otra vez, para las tres pantallas de subsistema. Cada una tiene su propio permiso de lectura y su propio permiso de escritura, descritos en su página, y tener la lectura de la configuración de plataforma no los incluye.

Decisiones que tomas aquí

El catálogo se lee una vez al abrir la superficie, así que todos los recuentos de aquí y de las pantallas inferiores se leyeron en el mismo momento. El filtro Postura, sobre las tarjetas, los acota todos a la vez a Editable, Solo lectura o Secretos, y cada valor cae en exactamente un grupo — un secreto es un secreto tanto si se puede escribir como si no.

Trazas y Métricas

Valores que cubren la exportación de trazas y métricas, el colector de telemetría y el evaluador de alertas. La mayoría son de solo lectura: el endpoint y el protocolo a los que los servicios exportan la telemetría, la cola, el tamaño de lote y el retardo de exportación, los ajustes de propagación y muestreo de trazas, los atributos de recurso y el nivel de registro del colector. Reflejan lo que aporta el despliegue; cambiarlos significa cambiar el despliegue.

Los que no son de solo lectura son los importantes. El intervalo de evaluación de alertas se puede escribir, está acotado entre 10.000 y 900.000 milisegundos y se aplica en vivo — el evaluador lo vuelve a leer tras cada pasada y rearma su propia planificación, así que la nueva cadencia surte efecto en como mucho un intervalo anterior. Gobierna dos cosas a la vez: con qué rapidez puede dispararse una alerta de plataforma y cómo de reciente es el documento de Estado del Sistema.

La franja del resumen semanal de alertas también se puede escribir y se aplica en vivo: el día de la semana, la hora local y la zona horaria en que las alertas de plataforma programadas se entregan como un único resumen semanal. La zona es una zona horaria de región o UTC, nunca un desfase fijo.

La verbosidad de depuración del colector tiene como dueño al despliegue en lugar de ser escribible: la entrada nombra el ajuste del despliegue que hay que cambiar. Subirla escribe trazas completas y puntos de métrica en el registro del colector, así que trátala como una ventana de depuración acotada.

Registro de Auditoría

Solo un valor de aquí es un control. El periodo de retención de auditoría se puede escribir con el solo permiso de escritura de la configuración de la plataforma, está acotado entre 365 y 3.650 días y se aplica en vivo. El valor se estampa en cada registro de auditoría al escribirlo, así que gobierna los registros nuevos y no reescribe los ya almacenados.

Doce meses es un mínimo que ningún administrador puede reducir: el requisito 10.5.1 de PCI DSS v4.0.1 exige al menos doce meses de historial de registros de auditoría, y la plataforma no guarda ninguna otra copia de esos registros. El valor predeterminado es ese mínimo, 365 días; auméntalo cuando se aplique una obligación más larga, sabiendo que las tablas de auditoría crecen con él.

El resto es inventario: entradas de solo lectura que describen dónde está el almacén de auditoría y los roles que lo escriben y lo leen, y secretos enmascarados — la clave que firma los eventos de auditoría para detectar manipulaciones, y las credenciales de los roles de escritura y de lectura de auditoría.

Registro

Valores para la canalización de registros. La mayoría son de solo lectura: la configuración del recolector de registros y su nivel de registro, y los niveles de registro de varios servicios de la plataforma. Un secreto enmascarado es la credencial con la que el recolector de registros se autentica ante el backend de búsqueda.

El único valor cuyo dueño es el despliegue es la posición de inicio de la ingesta de registros, y conviene conocer el compromiso antes de cambiar el despliegue: leer desde el principio reenvía todo lo que ya está en disco la primera vez que se sigue un archivo, mientras que leer desde el final pierde lo que se escribió antes de que arrancara el recolector.

Paneles y Búsqueda

Solo secretos enmascarados: la credencial de administrador del backend de búsqueda y la contraseña que protege su almacén de claves TLS. En esta tarjeta no hay nada editable. Lo que puedes leer es si cada uno está almacenado, nunca cuál es — la plataforma sustituye el valor por una máscara antes de enviarlo, así que la consola nunca tiene una copia y no existe ningún control para revelarlo.

Cómo se relaciona con otras pantallas

Los tres subsistemas de este grupo tienen cada uno su página:

Lo que este grupo configura, otras pantallas lo leen. El registro de auditoría que gobiernan estos valores se consulta en otro sitio, el estado en vivo que mide el evaluador de alertas se dibuja en el panel de estado, y el mapa de todo aquello a lo que tu instalación está conectada es una superficie propia.