Incidents
Investigar señales de alto impacto, registrar contención y conservar el historial de remediación y evidencia.
Incidents es el espacio de investigación y contención en /incidents. La ruta requiere incident:read y las transiciones requieren incident:manage.
Gestiona triage, investigación activa, contención, resolución, un rastro de decisiones y evidencia de los eventos del ciclo de vida tomado del registro de auditoría, un responsable y observadores, recursos afectados y referencias de evidencia.
flowchart LR T["Triaje"] --> A["Activo"] A --> C["Contenido"] C --> R["Resuelto"] R --> P["Post-incidente"] T -->|"Sin acción necesaria + motivo"| R A -->|"Sin acción necesaria + motivo"| R
Un operador con incident:manage puede seleccionar Cerrar: sin acción necesaria desde triage, active o
contained. Se requiere un motivo. La transición registra el actor y el motivo en el historial y la evidencia del
incidente. Las aprobaciones pendientes y las acciones de contención sin terminar bloquean el cierre, incluidas las
acciones aprobadas cuyos efectos siguen en cola o pendientes de limpieza.
La API, la CLI y el documento del incidente usan triage, active, contained, resolved y post_incident. La
respuesta del incidente expone lifecycleState; las correspondencias del estado de la base de datos y del estado
canónico de excepción siguen siendo internas. updatedAt es el token exacto de revisión, incluidos los
microsegundos de PostgreSQL. Los clientes deben pasarlo sin cambios como expectedUpdatedAt. Un conflicto devuelve
la revisión, el estado y el responsable actuales para que el operador revise antes de reintentar.
kla incident list
kla incident show INCIDENT_UUID
kla incident assign INCIDENT_UUID --owner [email protected]
kla incident transition INCIDENT_UUID active
kla incident close INCIDENT_UUID --reason 'Duplicate signal; no action needed.'
La creación de evidencia delega en la Evidence Factory compartida. El Incident conserva su registro de investigación y sus identificadores correlacionados.