Vận hành bảo mật và phục hồi

Quyền owner và cảnh báo

Owner đăng nhập password và xác thực gần đây gắn đúng hành động nhạy cảm. Thành viên team chỉ xem tài nguyên được cấp quyền; cảnh báo toàn tổ chức, usage và lifecycle chỉ dành cho owner. MFA tùy chọn do operator cấp cấu hình. MFA production hiện OFF; không ngụ ý đã chứng minh enrollment/recovery khi được cấu hình. Protocol public security/v3 đã ON. Capability không thay thế owner duyệt model hiện tại hay kiểm tra enrollment, recovery, thẩm quyền và quota; verified CI còn cần trusted binding khớp chính xác và proof OIDC được chấp nhận. Upload source vẫn tự khai. Xem giới hạn bằng chứng hiện tại trước khi dùng report làm bằng chứng readiness production.

Cảnh báo dashboard và gửi webhook là hai kênh riêng. Webhook bên ngoài hiện Not configured, không có trình sửa destination cho tenant. Operator cấu hình destination đã review và signing secret qua kênh riêng; không suy đoán URL. Acknowledge trên dashboard ghi owner đã xem, không phải gửi ngoài thành công. Ngưỡng auth/access là 20 sự kiện trong 15 phút; quota cảnh báo ở 80/100%, cooldown 15 phút. Catalog event là audit cơ bản, không phải SIEM bất biến hay bảo đảm lưu được khi database lỗi.

Webhook dùng HMAC-SHA256 trên timestamp và đúng body, event ID ổn định, tối đa 5 lần nhận claim gửi. Retry sau 60/120/240/480 giây. Chỉ response 2xx đánh dấu delivered; receipt provider có thể null. Bên nhận chống lặp theo event ID. Cơ chế at least once; HTTP acknowledge không chứng minh provider đã lưu bền. Cấu hình lỗi hiển thị rõ; gửi TLS trên fixture không là bằng chứng destination production.

Quota và phần chưa biết của storage

Server tính accepted report, physical ingress và storage bằng ledger nguyên tử cho attempt mới cùng baseline metadata legacy đã quan sát. Write bị từ chối/lỗi vẫn có thể tốn ingress; xóa report không hoàn lại bộ đếm ingress/ngày hoặc accepted report. Đọc usage và giới hạn cấu hình thực tế; không suy ra storage vô hạn hay cam kết gói từ fixture.

Discovery list/head metadata trong prefix, không đọc body report. Generation fence và cursor lưu bền ràng buộc từng pass; report accepted hiện tại cần đúng độ phủ ledger đã quan sát/owned. Sai nhất quán, quá quota, lỗi discovery hoặc lần discovery hoàn chỉnh cũ hơn 24 giờ chặn reservation và acceptance mới. Đọc/export vẫn dùng được. Namespace mới có hạn discovery ban đầu 24 giờ từ lúc tạo. Lịch lặp mỗi 60 giây, ngân sách tổng mặc định 25 đơn vị (tối đa 100), chia cho cleanup, reconciliation attempt, discovery và delivery/retention.

Usage owner phân biệt baseline incomplete, atomic ledger namespace mới, và baseline đã quan sát cộng atomic ledger. Hiển thị thời điểm audit, generation, trạng thái đang chạy/lỗi và byte legacy đã quan sát. Đây là baseline tại lúc audit cộng kế toán mới chính xác, không phải tổng byte vật lý toàn cục tức thời. Burst cũ chưa biết và vòng đời request cũ không bị giới hạn bằng khoảng chờ yên lặng. Object legacy chưa liên kết giữ quarantine không được xóa; liên kết report đến muộn phải khớp key/project/organization. Không xóa report khách hàng chỉ để đủ quota.

Lưu giữ, hold và offboarding

Retention report là thao tác được review rõ, không tự purge tenant. Report cũ hơn 180 ngày theo thời điểm nhận có thể đủ điều kiện; giữ report mới nhất và hai report CI mainline mới nhất. Mỗi trang dry-run tối đa 25 target cụ thể, có manifest hash và approval riêng hiệu lực 30 phút. Apply xác thực lại và chỉ chạy trang đó; target chưa bắt đầu mà đổi/hết hạn cần duyệt mới. Kết quả tách completed, deferred, remaining. Retry tiếp đúng operation gốc, không tự mở rộng phạm vi.

Hold organization/project/report không tự hết hạn. Bất kỳ hold đang hiệu lực nào cũng trì hoãn hủy tổ chức một cách thận trọng. Response hold chưa rõ kết quả giữ operation ID và trạng thái không chắc chắn: retry đúng scope/ID gốc bằng quyền hiện tại, không tạo bản lặp hoặc xóa bằng timeout.

Offboarding ghi ý định toàn tổ chức và thu hồi session/credential trước khi xóa report. Owner mất quyền truy cập. Trang tiếp theo, thả hold và xóa cuối cần operator hành động rõ, gắn parent intent gốc. Replay window còn sống, put chưa kết thúc, hold và quarantine legacy có thể hoãn finalization. Audit tổ chức hoạt động thường lưu 365 ngày, có ngoại lệ khóa ngoại/recovery/hold. Offboarding hoàn tất bỏ audit khách hàng nhưng giữ proof operator recovery/lifecycle tối thiểu. Scheduler có thể xóa audit cũ đủ điều kiện; cleaner không cam kết giữ mọi audit authority mãi mãi.

Backup và restore cô lập

Recovery dùng binding RECOVERY riêng, epoch do operator cấp, event authority bên ngoài chỉ tạo mới và SQL fence. Thiếu control/epoch/schema/binding sau kích hoạt thì đóng an toàn. Event ngoài giữ deny intent thận trọng; restore D1 không hồi sinh session/token, waiver, quyền model/binding hoặc run đã deny. Deny vĩnh viễn và journal operator không tự purge. Giữ journal/proof tương quan ít nhất 365 ngày và xuyên suốt mọi backup còn dùng được.

Đóng admission bên ngoài và SQL barrier trước snapshot recovery. settled:false nghĩa là vẫn có operation thật đã đăng ký; thời gian trôi, HEAD rỗng hay cờ active từ bản restore không mở khóa. Chỉ restore vào tài nguyên mới cô lập, giữ journal recovery gốc. Replay kiểm độ phủ/thẩm quyền trước khi mở lại rõ ràng; backup thiếu hoặc cũ hơn coverage vẫn khóa. Bằng chứng này không thử restore phá hủy trên production khách hàng.

RPO 24 giờ và RTO 4 giờ là mục tiêu, không phải SLA provider đã đo. Receipt drill cô lập ghi thời gian và khoảng cách snapshot thực tế; xác minh cửa sổ backup provider là phần riêng. Operator phải xác minh backup dùng được, cách ly tài nguyên, binding/cron/migration production và canary an toàn theo đúng phạm vi deployment/recovery đang dùng. Backup vật lý chỉ hết hạn theo chính sách provider thật; không hứa xóa ngay mọi bản sao. Xem độ tin cậy báo cáo về giới hạn phát hành và thẩm quyền.