Modes

Chaque politique d’intention s’exécute dans l’un de trois modes, dans chaque zone qui la porte. Le mode décide si une correspondance est seulement enregistrée ou si son verdict est appliqué avant l’exécution de l’action.

Deux panneaux montrant les mêmes actions qui atteignent une limite : à gauche, elles la franchissent sous un contour pointillé qui les observe ; à droite, une barrière en arrête une avant qu’elle ne la franchisse. — **Figure 1.** Les mêmes actions en Monitor et en Enforce : en Monitor, elles franchissent la limite et sont enregistrées ; en Enforce, le verdict s’applique d’abord.

Mode	Ce qu’il fait
Disabled	La politique est conservée, avec son historique, mais rien n’est évalué
Monitor	Une correspondance est enregistrée et signalée, et l’action se poursuit
Enforce	Le client applique le verdict de la politique avant l’exécution de l’action, et enregistre s’il l’a fait

Le mode appartient à la politique dans une zone, jamais à un atome isolé. Une exception est inscrite dans l’atome lui-même : un atome dont la classe est monitor-only peut être observé mais pas appliqué, il reste donc en Monitor même quand sa politique s’exécute en Enforce.

Mériter Enforce sur des preuves

Lancez une nouvelle politique en Monitor. Elle enregistre chaque action qu’elle aurait décidée, sans changer ce que fait l’agent. Lisez ses anomalies : quand elles montrent que la politique dit ce que vous vouliez dire, passez-la en Enforce. Quand elles montrent le contraire, modifiez-la ou désactivez-la.

OpenLatch n’élargit jamais de lui-même l’autorité d’un agent. Chaque passage de Monitor à Enforce, et chaque nouvelle politique, est un choix fait par quelqu’un de votre organisation.

Une politique, plusieurs zones

Une même politique peut se trouver dans plusieurs zones, chacune avec son propre mode, par exemple Monitor dans une équipe et Enforce dans une autre, sans copie à tenir à jour.

Règle	Ce que cela signifie
Le plus strict l’emporte	Quand le chemin d’un agent porte plusieurs fois la même politique, elle s’exécute une seule fois, dans le mode le plus strict : Enforce avant Monitor, avant Disabled
Une zone ne fait que resserrer	Une politique n’est activée dans une zone que si elle n’assouplit pas les zones au-dessus. La garder en Disabled est toujours possible
Abaisser n’est jamais bloqué	Faire passer une politique d’Enforce à Monitor, ou à Disabled, est toujours possible
Une seule version partout	Chaque zone exécute la version en vigueur de la politique, chacune dans son propre mode