Incidents
Indaga segnali ad alta conseguenza, registra il contenimento e conserva la cronologia di remediation ed evidenze.
Incidents è lo spazio di lavoro per indagine e contenimento in /incidents. L'accesso alla route richiede incident:read, salvo un ruolo con accesso completo. Le azioni del ciclo di vita richiedono incident:manage.
Cosa gestisce
- Incident creati da segnali critici o elevati e segnalazioni degli operatori.
- Triage, indagine attiva, contenimento, risoluzione e stato post-incident.
- Una cronologia di decisioni ed evidenze degli eventi del ciclo di vita, ricavata dall'audit log.
- Proprietario e osservatori, risorse interessate, azioni e gate di contenimento, risultati ed evidenze di riferimento.
- Correlazione con identificatori di segnale di origine, esecuzione, run, trace, workflow, agent, policy e Decision Request.
La classificazione instrada il lavoro di contenimento in Incidents prima del normale lavoro di revisione o decisione. La ripetizione dell'escalation del segnale restituisce l'Incident esistente per lo stesso tenant e segnale del ciclo di vita.
Ciclo di vita dell'incident
flowchart LR T["Triage"] --> A["Attivo"] A --> C["Contenuto"] C --> R["Risolto"] R --> P["Post-incidente"] T -->|"Nessuna azione necessaria + motivo"| R A -->|"Nessuna azione necessaria + motivo"| R
Un operatore con incident:manage può selezionare Chiudi: nessuna azione necessaria da triage, active o
contained. È richiesto un motivo. La transizione registra l'attore e il motivo nella cronologia e nelle evidenze
dell'incidente. Approvazioni in sospeso e azioni di contenimento non completate bloccano la chiusura, comprese le
azioni approvate i cui effetti sono ancora in coda o in attesa di pulizia.
API, CLI e documento dell'incidente usano triage, active, contained, resolved e post_incident. La risposta
dell'incidente espone lifecycleState; le corrispondenze dello stato del database e dello stato di eccezione
canonico restano interne. updatedAt è il token di revisione esatto, compresi i microsecondi PostgreSQL. I client
devono passarlo invariato come expectedUpdatedAt. Un conflitto restituisce la revisione, lo stato e il
responsabile correnti, così l'operatore può esaminare prima di riprovare.
kla incident list
kla incident show INCIDENT_UUID
kla incident assign INCIDENT_UUID --owner [email protected]
kla incident transition INCIDENT_UUID active
kla incident close INCIDENT_UUID --reason 'Duplicate signal; no action needed.'
La creazione delle evidenze delega all'Evidence Factory condivisa. L'Incident conserva il proprio record di indagine. L'Evidence Factory gestisce il ciclo di vita del job di esportazione e del bundle.
Il filtro per tenant e l'autorizzazione delle risorse si applicano a ogni lettura e transizione.