Cargas de Trabajo Administrativas de la Plataforma
Para qué sirve esta pantalla
Esta pantalla, que se abre desde la entrada Cargas de trabajo administrativas del menú lateral de la plataforma, lista las cargas de trabajo administrativas de la plataforma: las canalizaciones y los trabajos que administran la propia instalación sin una persona, como una canalización de publicación o un trabajo que aprovisiona tenants. Se ofrece en todos los modelos de despliegue.
Es la pantalla del tenant en el plano de plataforma: la misma lista, el mismo detalle con sus pestañas Información, Claves, Identidades federadas, Ámbitos y Actividad, y los mismos controles, cada uno sujeto a su permiso de plataforma. Esta página cubre solo lo que difiere.
Qué debe existir antes
- Un administrador de la plataforma que trabaje en el contexto de plataforma. A cualquier otro rol se le indica que la pantalla no es suya, y no se solicita nada. Abrirla mientras estás dentro de un tenant te envía a la pantalla de cargas de trabajo de ese tenant.
- El permiso de leer las cargas de trabajo administrativas de la plataforma, y para cada control el permiso de plataforma que le corresponde: crear, actualizar, revocar, gestionar credenciales y asignar ámbitos.
- Para una identidad federada, un emisor de confianza que declare el propio despliegue. Ese registro existe solo en una instalación que operas tú mismo; en una instalación operada por ANKA, una carga de trabajo de la plataforma inicia sesión con una clave registrada.
Decisiones que tomas aquí
La primera carga de trabajo de la plataforma
Una carga de trabajo de la plataforma se puede registrar aquí como cualquier otra. Cuando la automatización de la instalación debe comenzar antes de que nadie inicie sesión en la consola, el host del entorno puede registrar la primera: envctl.sh <env> workload-bootstrap crea una carga de trabajo de plataforma ACTIVE con una clave que genera para esa ejecución. No registra nada mientras exista una carga de trabajo de plataforma que no esté REVOKED, incluida una SUSPENDED.
Qué puede tener una carga de trabajo de la plataforma
Asignar ámbitos ofrece solo los ámbitos que la plataforma indica que puedes asignar. Una carga de trabajo de la plataforma, a diferencia de la de un tenant, puede tener ámbitos de plataforma y la gestión de las cargas de trabajo de los tenants. Nunca tiene la gestión de las cargas de trabajo de la plataforma: las crea, las cambia y las revoca una persona, así que ninguna carga de trabajo puede crear ni dar poder a otra carga de trabajo de la plataforma.
El resto de las reglas del tenant valen también aquí. Una carga de trabajo de la plataforma nunca tiene un ámbito del plano de datos criptográfico, decisiones de quórum, recuperación de cuentas, escrituras de proveedores de identidad o de entrega de notificaciones de un tenant, configuraciones peligrosas ni secretos de despliegue; debes tener todos los ámbitos que asignas y todos los que la carga de trabajo tiene hoy; y una carga de trabajo nunca se modifica a sí misma.
Contener una carga de trabajo de la plataforma
Una carga de trabajo de la plataforma puede actuar en toda la instalación, así que contenla en cuanto esté en duda. Revocar en una clave, Suspender y Revocar carga de trabajo actúan exactamente como en la carga de trabajo de un tenant: cada una rechaza de inmediato los tokens de la carga de trabajo. Suspender quita autoridad y no concede ninguna, así que puedes suspender una carga de trabajo sean cuales sean los ámbitos que tenga.
Deshacer una suspensión no es simétrico. Reactivar le devuelve a la carga de trabajo todo lo que puede hacer, así que debes tener todos los ámbitos que tiene. Revocar carga de trabajo no se puede deshacer de ningún modo.
Recuperar la carga de trabajo de automatización de la plataforma
La carga de trabajo de automatización de la plataforma es la que registró envctl.sh <env> workload-bootstrap. En un despliegue de desarrollo (creado con --app-env dev) tiene además ámbitos del plano de tenant que ningún administrador de la plataforma tiene, así que, una vez suspendida allí, nadie puede reactivarla desde esta pantalla. El camino de vuelta está en el host del entorno: sudo envctl.sh <env> workload-recovery. Actúa solo sobre una carga de trabajo SUSPENDED y, en un solo paso:
- genera una clave nueva en el host;
- reactiva la carga de trabajo;
- revoca todas las claves anteriores;
- elimina todas las vinculaciones con emisores federados;
- deja sus ámbitos sin cambios.
La recuperación queda en la pista de auditoría con el host del entorno como actor y registra solo las huellas de las claves, nunca una clave. Volver a vincular una identidad federada a la carga de trabajo después es un acto ordinario en esta pantalla. En cualquier otro despliegue el rol de superadministrador de la plataforma tiene todos los ámbitos de esa carga de trabajo, así que un superadministrador la recupera con Reactivar aquí.
Revisar la actividad de una carga de trabajo de la plataforma
La pestaña Actividad, la última del detalle, muestra lo que se hizo con la carga de trabajo de la plataforma, con sus claves y con sus identidades federadas, en una sola lista con lo más reciente primero, incluida una identidad federada que ya se desvinculó. Cada entrada nombra por completo al administrador o a la carga de trabajo de la plataforma que actuó. Requiere el permiso de leer la pista de auditoría administrativa de la plataforma.
La pestaña indica lo que abarca: las entradas de una clave o de una identidad federada registradas antes de la versión 3.4.1 no nombran su carga de trabajo y no aparecen aquí. Una lectura que falla se indica como error, nunca se muestra como un historial vacío. En el plano de plataforma la pestaña no ofrece el enlace Ver en Auditoría; la Auditoría Global contiene las mismas entradas.
Cómo se relaciona con otras pantallas
Los emisores bajo los que se puede vincular una carga de trabajo de la plataforma se declaran en la pantalla de identidad de cargas de trabajo del despliegue:
Las personas que administran la plataforma, y los roles que tienen, se gestionan en sus propias pantallas:
Una solicitud de una carga de trabajo de la plataforma que requiere aprobación la decide aquí una persona:
Lo que hizo cada carga de trabajo está en la pista de auditoría, bajo su nombre:
Dónde leer más
Estas páginas están en inglés: