Chuyển đến nội dung chính
Người phê duyệt là những người được phép trả lời thẻ phê duyệt, tức lời nhắc agent hiển thị khi một thao tác ghi phải chờ người duyệt. Activity cho biết mỗi Rule đã quyết định gì và ai đã phê duyệt, để bạn có thể kiểm tra lại sau.

Điều kiện tiên quyết

  • Vai trò Admin của workspace để thay đổi người phê duyệt hoặc quy tắc hai người. Developer và Viewer có thể xem các thiết lập này.
  • Vai trò Admin của workspace, hoặc quyền sở hữu workspace, để bật hoặc tắt break-glass. Owner và Admin của tổ chức có vai trò đó trong mọi workspace; xem ai có thể thay đổi Approvals.

Người phê duyệt mặc định

Default approvers là nhóm có sẵn, trả lời mọi yêu cầu mà không Rule nào chuyển cho nhóm khác. Bạn không thể đổi tên hoặc xóa nhóm này. Khi nhóm không có thành viên, mọi Developer trở lên đều có thể phê duyệt. Viewer không bao giờ được phê duyệt, nên bạn không thể thêm họ vào bất kỳ nhóm nào.
1

Mở tab Approvers

Mở Approvals trên thanh bên, rồi chọn tab Approvers. Default approvers là dòng đầu tiên.
Tab Approvers với dòng Default approvers, nút New group và các công tắc quy tắc hai người và break-glass

Approvers: nhóm Default approvers, New group và các công tắc quy tắc hai người và break-glass

2

Thêm thành viên

Nhấn Edit trên Default approvers, thêm những người sẽ trả lời phần lớn yêu cầu vào Members, rồi nhấn Save group.Trạng thái thành công: dòng này liệt kê những người đó thay cho “No one listed, so every Developer or above can approve.”

Chuyển một loại thao tác ghi cho một nhóm

Nhóm người phê duyệt trả lời yêu cầu của các Rule Ask first có chỉ định nhóm đó, thay cho Default approvers. Dùng nhóm khi một đội cụ thể sở hữu một hệ thống, chẳng hạn DBA cho các thao tác xóa cơ sở dữ liệu. Nhóm bắt đầu nhận yêu cầu khi CloudThinker bật Rule enforcement cho workspace của bạn. Tính năng này mặc định tắt: khi bước Rules hiển thị In preview, Rule chỉ ghi lại quyết định mà chúng sẽ đưa ra, nên mọi yêu cầu đều đến Default approvers cho đến lúc đó.
1

Tạo nhóm

Trên tab Approvers, nhấn New group. Nhập Group name, chẳng hạn On-call SRE, thêm Members, rồi nhấn Create group. Thành viên là những người đã có trong workspace này; Viewer không được liệt kê. Tệp chính sách chỉ định họ bằng email.
2

Chỉ định nhóm trong một Rule

Mở một Rule Ask first trên tab Rules. Ở Who approves this?, chọn nhóm và lưu.Trạng thái thành công: dòng của nhóm trên tab Approvers hiển thị “Used by 1 Rule”.
Khi một thao tác ghi khớp với nhiều Rule, những người sau có thể phê duyệt: Ví dụ, nếu một thao tác ghi khớp một Rule chỉ định DBA và một Rule khác chỉ định SRE, chỉ người thuộc cả hai nhóm mới có thể phê duyệt. Nếu không ai thuộc cả hai, Admin của workspace sẽ phê duyệt. Nếu hoàn toàn không ai có thể phê duyệt, thẻ hiển thị “No one else can approve this. Ask a workspace owner to add an approver.” Người đó là owner của workspace, hoặc bất kỳ Admin nào của workspace (workspace có thể có nhiều Admin và có thể không có owner). Bạn không thể xóa một nhóm khi vẫn có Rule chỉ định nhóm đó.

Yêu cầu người thứ hai

Quy tắc hai người ngăn người bắt đầu một lượt chạy tự phê duyệt thao tác ghi của chính họ. Chỉ cần một người phê duyệt khác; đây không phải bỏ phiếu.
1

Bật quy tắc

Trên tab Approvers, bật The person who started a run cannot approve it. Bạn cần có ít nhất 2 người phê duyệt trước.
2

Chọn phạm vi áp dụng

Ở Applies to, chọn một:Trạng thái thành công: lần tới khi bạn bắt đầu một lượt chạy cần phê duyệt, thẻ của bạn không có nút Approve và nêu tên những người khác có thể phê duyệt.
Quy tắc này áp dụng cho mọi yêu cầu, không chỉ yêu cầu từ một Rule. Để chỉ yêu cầu hai người cho một loại thao tác ghi, hãy chọn Needs 2 different people trong Rule đó.
Với All writes, kỹ sư on-call làm việc một mình không thể tự phê duyệt bản sửa lỗi của mình. Hãy đảm bảo luôn liên lạc được với người phê duyệt thứ hai, hoặc chọn Destructive actions.

Break-glass

Break-glass cho phép Admin của workspace chạy một lệnh gọi đã bị Rule Deny từ chối, trong trường hợp khẩn cấp thực sự. Tính năng này mặc định tắt.
  1. Owner hoặc Admin của workspace bật Let owners and admins break glass trên tab Approvers.
  2. Khi một Rule Deny từ chối lệnh gọi trong cuộc chat có người tham gia, owner hoặc Admin của workspace nhấn Break glass… trên thẻ. Chỉ lệnh bị Rule Deny từ chối mới đủ điều kiện. Nếu lệnh bị chế độ Refuse từ chối, hãy chuyển cuộc chat sang chế độ Ask me.
  3. Họ nhập lý do dài từ 20 ký tự trở lên trong vòng 15 phút kể từ yêu cầu. Lệnh gọi chạy một lần.
Owner và các Admin của workspace nhận thông báo trong ứng dụng kèm lý do và liên kết đến cuộc chat. Đây không phải là một trong các sự kiện có thể định tuyến trong Notifications. Lý do cũng được lưu trong nhật ký kiểm tra. Agent không thể yêu cầu break-glass. Khi quy tắc hai người được bật, người bắt đầu lượt chạy cũng không thể break glass cho lượt chạy đó.
Break-glass là một sự kiện bảo mật. Tính năng này không bao giờ chạy lệnh gọi Always blocked hoặc lệnh gọi mà Rule được đánh dấu Never allow break-glass đã từ chối.

Kiểm tra Activity

Mở Approvals → Activity để kiểm tra các Rule. Chọn khoảng thời gian tối đa 366 ngày. Bảng có một dòng cho mỗi Rule trong khoảng đó, cộng thêm dòng No Rule matched cho các thao tác ghi do chế độ Approval quyết định, chẳng hạn đánh giá của AI hoặc yêu cầu ở chế độ Manual. Lọc theo Source, Effect hoặc Result, hoặc dùng Search Rules or people. Nhấn Export CSV để tải xuống mọi Rule trong khoảng thời gian, chẳng hạn cho đợt rà soát quyền truy cập hằng quý. Số lệnh gọi được tính trong 90 ngày gần nhất, vì CloudThinker giữ mỗi bản ghi quyết định trong 90 ngày. Thời gian trong bảng theo UTC. Tab Overview hiển thị cùng các tổng số cho 7 ngày gần nhất: lệnh gọi đã chạy, đã hỏi một người, hoặc đã bị từ chối.

Khắc phục sự cố

Công tắc cần ít nhất 2 người có thể phê duyệt. Thêm một người phê duyệt khác vào Default approvers hoặc đảm bảo có Developer hoặc Admin thứ hai trong workspace, rồi thử lại.
Có thể họ là Viewer, họ đã bắt đầu lượt chạy khi quy tắc hai người đang bật, hoặc Rule khớp chuyển yêu cầu cho một nhóm họ không thuộc về. Thẻ nêu tên những người khác có thể phê duyệt.
Break-glass phải được bật, bạn phải là owner hoặc Admin của workspace, và một Rule Deny của workspace phải đã từ chối lệnh gọi trong cuộc chat có người tham gia. Nút này không bao giờ hiển thị cho lệnh gọi Always blocked hoặc Rule được đánh dấu Never allow break-glass, và hết hạn 15 phút sau yêu cầu.
Chọn khoảng thời gian dài hơn. Nếu vẫn trống, có thể Rule vẫn đang ở chế độ xem trước trong workspace này, nên chưa ghi lại quyết định nào.

Bước tiếp theo

Approval Rules

Tạo Rule Ask first chuyển yêu cầu đến các nhóm của bạn

Audit Logs

Xem các sự kiện bảo mật của workspace, bao gồm break-glass