Rastreo de Correlación
Para qué sirve esta pantalla
Una solicitud en tu tenant rara vez produce un solo registro. Una llamada puede recorrer varios servicios de la plataforma, y cada uno anota lo que hizo en su propia pista, así que el relato de lo ocurrido queda repartido entre las pistas de tu tenant y ordenado solo por el tiempo. Esta pantalla lo reúne: le das un identificador de correlación y coloca en una única línea de tiempo cada registro tuyo que lo lleva, del más antiguo al más reciente, con la diferencia en milisegundos respecto del registro anterior.
Un identificador de correlación es un UUID. Un servicio adopta la cabecera X-Correlation-Id que recibe cuando es un UUID en su forma de 36 caracteres con guiones, con cualquier combinación de mayúsculas y minúsculas, y lo registra en minúsculas; cualquier otro valor se sustituye por uno generado. Ese valor viaja después con la solicitud y queda estampado en cada registro que produce. Aquí no creas uno: tomas uno de un registro que ya estás mirando.
La línea de tiempo se construye con las pistas criptográfica y administrativa. Un evento registrado únicamente en la pista de acceso no se coloca en ella, así que un inicio de sesión se sigue desde tu Registro de Auditoría y no desde aquí.
Qué debe existir antes
Esta pantalla no tiene una entrada propia en tu navegación. Se llega seleccionando Trace request sobre un registro en alguno de los paneles de actividad, o abriéndola en su dirección y escribiendo un identificador en el cuadro de búsqueda. El identificador forma parte de la dirección, así que un rastreo es un enlace que puedes enviar a alguien que pueda leer las mismas pistas.
- El permiso para rastrear una solicitud por su identificador de correlación. Los roles integrados de administrador del tenant y de auditor del tenant lo tienen; el rol de gestor de claves no, así que un gestor de claves necesita un rol que lo añada.
- Un identificador que rastrear. El detalle de cada evento de tu Registro de Auditoría muestra el identificador de correlación de la solicitud que lo produjo, y Trace request se ofrece directamente sobre una fila en la actividad de una clave, de una aplicación y de un usuario.
Decisiones que tomas aquí
Rastrear un identificador
Pega el identificador y selecciona Trace. El identificador pasa a formar parte de la dirección, así que el resultado es reproducible y el botón de retroceso significa algo, y Copy devuelve el identificador a tu portapapeles para un ticket.
Qué abarca el resultado
Todo lo que muestra la línea de tiempo pertenece a tu tenant. El identificador en sí no se comprueba contra tu tenant —una solicitud cruza legítimamente servicios, así que no hay un único tenant contra el que comprobarlo—, pero los registros que vuelven están limitados a los tuyos, en cada parte de la línea de tiempo.
Una consecuencia que conviene esperar: un identificador cuya solicitud tocó también otro tenant devuelve solo tu parte, y la línea de tiempo no dice nada de la parte que no puedes ver. Un hueco en los tiempos no es, por tanto, prueba de que no ocurriera nada entre medias.
Leer lo que volvió
Trace Summary indica Total Events, Crypto Ops, Admin Actions, Total Duration —el lapso entre el primer registro y el último— y un Status que dice FAILURE cuando algún registro de la línea de tiempo falló, Ejecutada — resultado retenido cuando no falló ninguno pero se retuvo el resultado de una operación, y SUCCESS en los demás casos.
Una operación respondida con un 503 porque no se pudo confirmar su propio registro de auditoría puede haberse ejecutado igualmente. El servicio registra entonces que su resultado se retuvo, y la línea de tiempo muestra esa operación una sola vez, con Ejecutada — resultado retenido en lugar del éxito que declara su propio registro. Una operación retenida no se factura.
Un registro criptográfico nombra la operación, la clave, el algoritmo, el cliente y cuánto tardó.
Un registro administrativo dice qué cambió: una rotación se lee Rotación v1 → v2 con Manual o Programada, una rotación fallida da su motivo, y otro cambio lista cada campo antes → después. Realizada por nombra al planificador, al sistema o el tipo de actor que inició una rotación, y conserva entero el identificador registrado, copiable. Sujeto nombra una clave por su identificador, con la identidad del registro de la clave al lado; cualquier otro objeto se nombra por su tipo y su identidad.
Conviene saber dos cosas sobre el objeto de un registro administrativo antes de citarlo. El tipo es una forma reducida del nombre propio del productor —una entidad de alias de clave se reduce a KEYALIAS— y esa reducción no se puede revertir, así que no es el valor con el que se responde una comprobación de integridad.
La identidad se muestra exactamente como se firmó; cuando un evento administrativo no actúa sobre nada duradero, el servicio productor deriva un identificador estable a partir del nombre de la operación, así que un identificador bien formado puede no corresponder a ningún objeto.
Cuando no vuelve nada
Un resultado vacío indica que no se encontraron eventos para ese identificador. Eso significa que no existe ningún registro que lo lleve en las pistas que tienes permiso para leer dentro de tu tenant, no que la solicitud no haya ocurrido ni que el identificador esté mal. Revisa primero el identificador, y después si los registros que esperas están en una pista que esta pantalla no coloca en la línea de tiempo.
Usarlo con moderación
Todo el conjunto coincidente vuelve de una vez: no hay ventana ni paginación. Está pensado para una solicitud que estás investigando, no para revisar un período; la pantalla para eso es tu Registro de Auditoría, que además es donde fijas un rango de fechas, filtras y exportas.
Cómo se relaciona con otras pantallas
La pista de la que salen estos registros, donde el detalle de cada evento muestra el identificador de correlación que toma esta pantalla:
Los tres lugares que ofrecen Trace request directamente sobre un registro:
El actor criptográfico al que se atribuye una operación rastreada:
Dónde leer más
Estas páginas están en inglés: