Incidents
Enquêter sur les signaux à forte conséquence, enregistrer le confinement et conserver l'historique de remédiation.
Incidents est l'espace d'enquête et de confinement à l'adresse /incidents. La route exige incident:read et les transitions exigent incident:manage.
Il possède le triage, l'enquête active, le confinement, la résolution, une piste de décisions et de preuves des événements de cycle de vie issue du journal d'audit, un responsable et des observateurs, les ressources affectées et les références de preuve.
flowchart LR T["Triage"] --> A["Actif"] A --> C["Contenu"] C --> R["Résolu"] R --> P["Post-incident"] T -->|"Aucune action nécessaire + motif"| R A -->|"Aucune action nécessaire + motif"| R
Un opérateur disposant de incident:manage peut choisir Clôturer : aucune action nécessaire depuis triage,
active ou contained. Un motif est obligatoire. La transition enregistre l'acteur et le motif dans l'historique et
les preuves de l'incident. Les approbations en attente et les actions de confinement inachevées bloquent la
clôture, y compris les actions approuvées dont les effets sont encore en file d'attente ou en attente de nettoyage.
L'API, la CLI et le document d'incident utilisent triage, active, contained, resolved et post_incident.
La réponse d'incident expose lifecycleState ; les correspondances du statut en base et de l'état d'exception
canonique restent internes. updatedAt est le jeton de révision exact, microsecondes PostgreSQL comprises. Les
clients doivent le transmettre tel quel dans expectedUpdatedAt. Un conflit renvoie la révision, l'état et le
responsable actuels pour que l'opérateur examine l'incident avant de réessayer.
kla incident list
kla incident show INCIDENT_UUID
kla incident assign INCIDENT_UUID --owner [email protected]
kla incident transition INCIDENT_UUID active
kla incident close INCIDENT_UUID --reason 'Duplicate signal; no action needed.'
La création de preuves délègue au Evidence Factory partagé. L'Incident conserve son dossier d'enquête et les identifiants corrélés.