Configuración de Rendimiento y Resiliencia
Para qué sirve esta pantalla
Rendimiento y Resiliencia es el quinto de los ocho grupos de propósito de Configuración de Plataforma, y uno de los más grandes de todo el catálogo. Reúne lo que hace la plataforma cuando algo va lento, falla o abusa: los cortacircuitos y las políticas de reintento, los tiempos de espera de las llamadas internas, los niveles de la caché de políticas y los límites de tasa. Su dirección dice resilience mientras la pantalla se lee Rendimiento y Resiliencia; el identificador se mantiene estable para que los enlaces antiguos sigan funcionando.
El grupo tiene cuatro subgrupos: Cortacircuitos y Reintentos, Tiempos de Espera, Niveles de Caché y Límite de Tasa. Toda hoja es una lista simple de valores — aquí ningún subgrupo administra registros propios — y ninguno es un secreto, así que el filtro de postura Secretos vacía el grupo por completo.
Solo unos pocos de estos valores se pueden cambiar aquí. La mayoría son propiedad del despliegue y el resto son diagnósticos de solo lectura; la tarjeta del grupo con el filtro Editable muestra cuántos puedes cambiar. La descripción del propio grupo te invita a ajustar estos valores; para la mayoría de ellos el ajuste ocurre en el entorno del despliegue, no en esta pantalla.
Qué debe existir antes
Esta es una pantalla de plataforma: se alcanza en el contexto de plataforma y solo se sirve al tenant de plataforma. Abrirla desde dentro de un tenant te envía al panel de ese tenant, y la solicitud que hay detrás se rechaza con un escueto Forbidden que no nombra ni el tenant ni el permiso.
- El permiso de lectura de la configuración de plataforma. Es lo que muestra Configuración de Plataforma en el menú lateral y lo que carga el catálogo del que salen estos recuentos. Los roles integrados de administrador, auditor y visor de la plataforma lo tienen.
- El permiso de escritura de la configuración de plataforma, para cualquiera de los valores editables. Solo lo tiene el superadministrador de plataforma; un visor o un auditor ve todos los valores y ningún control de edición.
- Un tercer permiso para el único valor clasificado como peligroso: el plazo de lectura en streaming, dentro de Tiempos de Espera. Se exige además del permiso de escritura, y la plataforma rechaza la escritura sin él, hayas escrito la confirmación o no.
- Ningún permiso de subsistema aparte y ninguna restricción por modelo de despliegue: los cuatro subgrupos se ofrecen igual en una instalación alojada por ANKA y en una operada por el cliente.
Decisiones que tomas aquí
Qué valores puedes cambiar realmente
Los valores editables están repartidos de forma desigual, y saber dónde están te ahorra leer muchas filas bloqueadas: la mayoría están en Límite de Tasa y en Niveles de Caché, y Tiempos de Espera y Cortacircuitos y Reintentos tienen uno cada uno. Todo lo demás lleva candado.
El candado tiene dos significados distintos y la fila indica cuál. Un diagnóstico de solo lectura es una observación que la plataforma informa sobre sí misma y no hay nada que asignar. Un valor propiedad del despliegue es un parámetro real cuyo dueño es el despliegue: la fila nombra el ajuste del despliegue que lo contiene, y lo cambias editando el entorno del despliegue y redesplegando. Ambos responden 405 Method Not Allowed a una escritura, así que el rechazo es igual para un administrador y para un visor.
Cada valor editable indica con palabras, a su lado, cuándo surte efecto un guardado. En este grupo aparecen tres casos y ninguno es un reinicio:
- En vivo — se aplica al instante en todas las instancias. Entre ellos todos los interruptores de límite de tasa y el plazo de lectura en streaming.
- Reconfigura los ajustes de resiliencia en vivo. Los dos límites de solicitudes de inicio de sesión y la tasa de fallos del cortacircuitos de la caché.
- Se aplica a las nuevas entradas de caché (TTL hacia adelante). Dos valores en Niveles de Caché. Reducirlo no acorta una vida ya concedida.
Como nada de este grupo se fija al arrancar, ningún cambio que hagas aquí puede levantar el aviso Reinicio requerido. Si lo ves, lo levantó otro grupo.
Cómo se acepta un cambio
Abrir un valor editable te da un control construido con las reglas de ese valor: un booleano ofrece un interruptor, un número acotado rechaza una entrada fuera de rango mientras escribes, y se le pide a la plataforma que valide tu candidato antes de habilitar Guardar. Si esa validación falla, Guardar sigue deshabilitado: un valor nunca se guarda contra un veredicto que nadie dio.
El valor peligroso te pide escribir su clave exacta antes de habilitar Guardar, y esa escritura es una cortesía y no el control: la comprobación del permiso corre en el servidor de todos modos. Si otro administrador cambió el mismo valor mientras lo tenías abierto, el guardado se rechaza y se te pide recargar en lugar de reintentar.
Algo que vigilar cuando lees un valor en vez de escribirlo: la insignia de origen muestra el nombre crudo de la capa en cuatro de sus cinco valores, y solo No visible desde admin-api está escrito con palabras. Significa que el valor lo lee otro servicio y que el despliegue no entregó nada que la propia pantalla de configuración pueda leer. Muchos valores de este grupo pueden responder así.
Cortacircuitos y Reintentos
Exactamente un valor es editable aquí: el umbral de tasa de fallos, en porcentaje, al que abre el cortacircuitos de la caché. Su valor predeterminado es 50, acepta de 1 a 100, está clasificado como sensible y reconfigura el cortacircuitos en vivo.
Lo importante es la asimetría que lo rodea. Los ajustes del cortacircuitos de la caché tienen tres dueños distintos: su tasa de fallos es editable aquí, sus llamadas permitidas en estado semiabierto son propiedad del despliegue, y su ventana deslizante y su espera en estado abierto son diagnósticos de solo lectura. El cortacircuitos de la base de datos no es la imagen simétrica: su tasa de fallos es propiedad del despliegue, así que los dos no se ajustan igual. No deduzcas uno del otro.
El resto se reparte entre diagnósticos de solo lectura, que informan de los ajustes de cortacircuitos y reintentos entre servicios y de base de datos tal como los fijó el despliegue, y valores propiedad del despliegue: las llamadas mínimas, la espera en estado abierto y la duración de la ventana del cortacircuitos entre servicios, la fluctuación y el retardo máximo de reintento entre servicios, los intervalos y multiplicadores de reintento de la base de datos y de la caché, y el interruptor de autorreparación del ciclo de vida de tenants.
Este último merece mención porque no es en realidad un ajuste de reintento. Con la autorreparación apagada, un servicio que encuentra un estado de tenant cacheado demasiado antiguo no tiene forma de volver a derivarlo, y la solicitud se deniega en vez de ralentizarse.
Tiempos de Espera
Casi todos los valores de aquí son propiedad del despliegue: los presupuestos por operación que aplican los servicios de la plataforma cuando se llaman entre sí — operaciones de inicio de sesión y de cuenta por un lado, operaciones de clave por otro, cada uno con un valor predeterminado para el resto — y el tiempo de espera de lectura al volver a derivar el estado de un tenant. Un valor es un diagnóstico de solo lectura: el tiempo de espera de conexión del servidor web, informado tal como lo fijó el despliegue.
El único editable de este subgrupo es el único peligroso del grupo: el tiempo máximo que la plataforma dedica a consumir el cuerpo de una operación criptográfica en streaming. Predeterminado 900.000 milisegundos, acotado entre 60.000 y 3.600.000, y evaluado entre fragmentos: un cliente que envía bytes a cuentagotas se aborta al agotarse el presupuesto, pero el hueco entre dos fragmentos seguidos no queda acotado. No aplica a las operaciones criptográficas compactas. Subirlo permite que un cliente lento retenga una ranura durante una hora, y por eso es peligroso.
Niveles de Caché
Los valores que gobiernan la caché de políticas con la que la plataforma sigue decidiendo mientras la caché compartida o la base de datos no responden. Tres son editables, dos son propiedad del despliegue y dos son interruptores de solo lectura que informan de si la caché local y la pasada periódica de refresco están habilitadas.
Los tres valores editables conviene sopesarlos juntos, porque cada uno compra disponibilidad a costa de frescura:
- La edad máxima de una entrada en la caché de políticas en memoria, 24 horas de forma predeterminada, aplicada hacia adelante. Súbela para resistir cortes más largos de la caché; bájala para recoger antes los cambios de política. También condiciona el arranque: con la caché compartida caída y toda instantánea en disco más antigua que esto, el servicio criptográfico no encuentra política válida y se niega a arrancar.
- La vida de las entradas de la caché compartida de políticas, 168 horas de forma predeterminada, también hacia adelante. Una vida larga hace que una política revocada o endurecida se siga sirviendo desde la caché durante horas; una muy corta devuelve cada decisión de política a la caché compartida.
- La retención de la instantánea de políticas persistida en disco, 7 días de forma predeterminada, vigente al guardar. Gobierna el último recurso cuando ni la caché compartida ni la base de datos responden, así que acortarla reduce el corte que el despliegue puede sobrellevar antes de empezar a denegar operaciones criptográficas.
Los dos valores propiedad del despliegue son los valores de planificación del refresco de políticas. Cuánto tiempo puede seguir operando con un estado cacheado un tenant suspendido o revocado en el plano de control no es un ajuste: la plataforma vuelve a comprobar un estado de tenant cacheado con más de diez minutos de antigüedad, un límite que fija la plataforma.
Límite de Tasa
La mayoría de los valores de aquí son editables, y todos ellos están clasificados como sensibles o más. Cuatro gobiernan el limitador de inicio de sesión de la capa de aplicación: su interruptor maestro, el presupuesto de intentos de inicio de sesión por minuto, el presupuesto general de solicitudes por minuto y el enfriamiento que se aplica cuando se supera un límite.
Tres advertencias que las propias entradas indican. Apagar el limitador desactiva a la vez el cubo de inicio de sesión por cuenta y el de solicitudes por dirección, y deja solo los límites del borde, que no saben nada de cuentas y no frenan un ataque de credenciales repartido entre direcciones. El cubo de solicitudes se indexa por la dirección del llamante, así que oficinas enteras y redes móviles llegan tras una sola dirección. Un enfriamiento mayor que cero hace que una solicitud rechazada retenga un hilo del servidor ese tiempo, lo que ante una avalancha amplifica en vez de proteger.
Un valor editable está aquí aunque no sea una tasa: el tamaño máximo de texto en claro que aceptan las operaciones criptográficas compactas, cuatro millones de bytes de forma predeterminada. Acota cuánto cuerpo de solicitud retiene en memoria cada cifrado, firma y firma-cifrado compacto, y de él se deriva el techo de sobre de las operaciones inversas, así que bajarlo también reduce lo que se puede descifrar o verificar.
Los límites del borde son de solo lectura por una razón estructural: la configuración del borde no se genera desde el plano de configuración, así que estas filas informan de lo desplegado y no pueden cambiarlo.
Cómo se relaciona con otras pantallas
La raíz del grupo explica el vocabulario que esta página da por sabido — postura, origen, asignación, los tipos de propagación y el aviso de reinicio — y vale la pena leerla una vez:
La infraestructura en la que se gastan estos presupuestos, y la vista en vivo de si responde, están en otro sitio:
Lo que guarda la caché de políticas de esta pantalla se decide en las pantallas de políticas, no aquí: