Cómo funciona OpenLatch
Esta página sigue una acción desde el momento en que el agente la intenta hasta el momento en que su registro llega a la plataforma. Las políticas se escriben una vez, en la plataforma. Cada decisión se toma en la máquina, por el cliente, sin ninguna llamada de red.
1. Las políticas llegan al cliente
Sección titulada «1. Las políticas llegan al cliente»Ratificas políticas de intención en la consola. La plataforma las compila y construye un bundle de políticas por agente, a partir de la zona efectiva de ese agente. El cliente pide su bundle a la plataforma de forma periódica:
| La plataforma responde | El cliente |
|---|---|
| Nada ha cambiado | Conserva el bundle que tiene |
| Un bundle nuevo | Comprueba su integridad y luego lo sustituye entero |
| Nada, o un bundle que no supera la comprobación | Conserva el último bundle válido |
Para obtener el bundle de inmediato, ejecuta openlatch system aip refresh.
2. El hook intercepta la acción
Sección titulada «2. El hook intercepta la acción»El cliente se conecta a los hooks nativos del propio agente. Cuando el agente intenta una acción cubierta, como ejecutar un comando de shell o llamar a una herramienta, el hook se la pasa al cliente antes de que se ejecute. Las solicitudes salientes a un modelo pasan por un listener en la misma máquina.
3. El cliente decide
Sección titulada «3. El cliente decide»El cliente evalúa la acción con su bundle residente, en memoria, en la máquina. En este camino no hay ninguna llamada de red, así que el agente nunca depende de la red y el veredicto tampoco. Cuando coinciden varias políticas, gana el veredicto más restrictivo. Veredictos y Modos explican lo que hace cada veredicto en Monitor y en Enforce.
4. El registro llega después
Sección titulada «4. El registro llega después»Después de la decisión, el cliente oculta las credenciales en la máquina y envía a la plataforma el registro de la acción y su veredicto. La plataforma conserva ese registro para el registro de auditoría, el grafo de ejecución y los informes. Nunca vuelve a decidir y nunca cambia un veredicto que el cliente ya devolvió.
Sin conexión
Sección titulada «Sin conexión»El bundle residente es la autoridad, no una caché. Con la red desconectada, el cliente sigue aplicando el último bundle válido, de forma indefinida. Obtener políticas nuevas y enviar registros necesitan conexión; decidir, no.
Dos situaciones dejan una acción sin decidir, y entonces la acción continúa: la máquina nunca ha tenido un bundle válido, o el hook no puede comunicarse con el cliente en su propia máquina. openlatch doctor informa de ambas.