Comment fonctionne OpenLatch
Cette page suit une action, du moment où l’agent la tente jusqu’au moment où son historique atteint la plateforme. Les politiques s’écrivent une fois, sur la plateforme. Chaque décision se prend sur la machine, par le client, sans appel réseau.
1. Les politiques atteignent le client
Section intitulée « 1. Les politiques atteignent le client »Vous ratifiez des politiques d’intention dans la console. La plateforme les compile et construit un bundle de politiques par agent, à partir de la zone effective de cet agent. Le client demande régulièrement son bundle à la plateforme :
| La plateforme répond | Le client |
|---|---|
| Rien n’a changé | Garde le bundle qu’il détient |
| Un nouveau bundle | Vérifie son intégrité, puis le remplace d’un seul bloc |
| Rien, ou un bundle qui échoue à la vérification | Garde le dernier bundle valide |
Pour récupérer le bundle tout de suite, lancez openlatch system aip refresh.
2. Le hook intercepte l’action
Section intitulée « 2. Le hook intercepte l’action »Le client se branche sur les hooks natifs de l’agent. Quand l’agent tente une action couverte, comme lancer une commande shell ou appeler un outil, le hook la transmet au client avant son exécution. Les requêtes sortantes vers un modèle passent par un écouteur sur la même machine.
3. Le client décide
Section intitulée « 3. Le client décide »Le client évalue l’action à partir de son bundle résident, en mémoire, sur la machine. Ce chemin ne fait aucun appel réseau : l’agent n’attend jamais le réseau, et le verdict n’en dépend jamais. Quand plusieurs politiques correspondent, le verdict le plus restrictif l’emporte. Verdicts et Modes expliquent ce que fait chaque verdict en Monitor et en Enforce.
4. L’historique suit
Section intitulée « 4. L’historique suit »Après la décision, le client masque les identifiants sur la machine et envoie à la plateforme l’historique de l’action et de son verdict. La plateforme conserve cet historique pour la piste d’audit, le graphe d’exécution et les rapports. Elle ne décide jamais une seconde fois et ne modifie jamais un verdict que le client a déjà rendu.
Hors ligne
Section intitulée « Hors ligne »Le bundle résident fait autorité ; ce n’est pas un cache. Réseau débranché, le client continue d’appliquer le dernier bundle valide, indéfiniment. Récupérer de nouvelles politiques et envoyer l’historique nécessitent une connexion ; décider, non.
Deux situations laissent une action sans décision, et l’action se poursuit alors : la machine n’a jamais détenu de bundle valide, ou le hook ne peut pas joindre le client sur sa propre machine. openlatch doctor signale les deux.