> ## Documentation Index
> Fetch the complete documentation index at: https://docs.cloudthinker.io/llms.txt
> Use this file to discover all available pages before exploring further.

# Người phê duyệt và Activity

> Chọn ai trả lời từng thẻ phê duyệt, yêu cầu người thứ hai, cho phép break-glass và kiểm tra những gì mỗi Rule đã quyết định

Người phê duyệt là những người được phép trả lời thẻ phê duyệt, tức lời nhắc agent hiển thị khi một thao tác ghi phải chờ người duyệt. **Activity** cho biết mỗi [Rule](https://docs.cloudthinker.io/vi/guide/approvals/rules.md) đã quyết định gì và ai đã phê duyệt, để bạn có thể kiểm tra lại sau.

## Điều kiện tiên quyết

* Vai trò Admin của workspace để thay đổi người phê duyệt hoặc quy tắc hai người. Developer và Viewer có thể xem các thiết lập này.
* Vai trò Admin của workspace, hoặc quyền sở hữu workspace, để bật hoặc tắt break-glass. Owner và Admin của tổ chức có vai trò đó trong mọi workspace; xem [ai có thể thay đổi Approvals](https://docs.cloudthinker.io/vi/guide/approvals/overview.md#ai-có-thể-thay-đổi-approvals).

## Người phê duyệt mặc định

**Default approvers** là nhóm có sẵn, trả lời mọi yêu cầu mà không Rule nào chuyển cho nhóm khác. Bạn không thể đổi tên hoặc xóa nhóm này.

Khi nhóm không có thành viên, mọi Developer trở lên đều có thể phê duyệt. Viewer không bao giờ được phê duyệt, nên bạn không thể thêm họ vào bất kỳ nhóm nào.

**1. Mở tab Approvers**

Mở **Approvals** trên thanh bên, rồi chọn tab **Approvers**. **Default approvers** là dòng đầu tiên.

![Tab Approvers với dòng Default approvers, nút New group và các công tắc quy tắc hai người và break-glass](https://mintcdn.com/cloudthinker/7N5Axt6gSxkmeWiW/images/v2/approvals-approvers.webp?fit=max\&auto=format\&n=7N5Axt6gSxkmeWiW\&q=85\&s=318657e04fa4df3f66b32812af9e91df)

Approvers: nhóm Default approvers, New group và các công tắc quy tắc hai người và break-glass

**2. Thêm thành viên**

Nhấn **Edit** trên **Default approvers**, thêm những người sẽ trả lời phần lớn yêu cầu vào **Members**, rồi nhấn **Save group**.

**Trạng thái thành công:** dòng này liệt kê những người đó thay cho "No one listed, so every Developer or above can approve."

## Chuyển một loại thao tác ghi cho một nhóm

Nhóm người phê duyệt trả lời yêu cầu của các Rule **Ask first** có chỉ định nhóm đó, thay cho Default approvers. Dùng nhóm khi một đội cụ thể sở hữu một hệ thống, chẳng hạn DBA cho các thao tác xóa cơ sở dữ liệu. Nhóm bắt đầu nhận yêu cầu khi CloudThinker bật Rule enforcement cho workspace của bạn. Tính năng này mặc định tắt: khi bước **Rules** hiển thị **In preview**, Rule chỉ ghi lại quyết định mà chúng sẽ đưa ra, nên mọi yêu cầu đều đến Default approvers cho đến lúc đó.

**1. Tạo nhóm**

Trên tab **Approvers**, nhấn **New group**. Nhập **Group name**, chẳng hạn `On-call SRE`, thêm **Members**, rồi nhấn **Create group**. Thành viên là những người đã có trong workspace này; Viewer không được liệt kê. Tệp chính sách chỉ định họ bằng email.

**2. Chỉ định nhóm trong một Rule**

Mở một Rule **Ask first** trên tab **Rules**. Ở **Who approves this?**, chọn nhóm và lưu.

**Trạng thái thành công:** dòng của nhóm trên tab **Approvers** hiển thị "Used by 1 Rule".

Khi một thao tác ghi khớp với nhiều Rule, những người sau có thể phê duyệt:

| Rule khớp | Ai có thể phê duyệt |
| - | - |
| Không Rule nào chỉ định nhóm | Default approvers |
| Một Rule chỉ định nhóm | Thành viên của nhóm đó |
| Các Rule chỉ định những nhóm khác nhau | Người có mặt trong mọi nhóm được chỉ định |
| Không còn ai | Admin của workspace |

Ví dụ, nếu một thao tác ghi khớp một Rule chỉ định `DBA` và một Rule khác chỉ định `SRE`, chỉ người thuộc cả hai nhóm mới có thể phê duyệt. Nếu không ai thuộc cả hai, Admin của workspace sẽ phê duyệt.

Nếu hoàn toàn không ai có thể phê duyệt, thẻ hiển thị "No one else can approve this. Ask a workspace owner to add an approver." Người đó là owner của workspace, hoặc bất kỳ Admin nào của workspace (workspace có thể có nhiều Admin và [có thể không có owner](https://docs.cloudthinker.io/vi/guide/security/roles.md)). Bạn không thể xóa một nhóm khi vẫn có Rule chỉ định nhóm đó.

## Yêu cầu người thứ hai

Quy tắc hai người ngăn người bắt đầu một lượt chạy tự phê duyệt thao tác ghi của chính họ. Chỉ cần một người phê duyệt khác; đây không phải bỏ phiếu.

**1. Bật quy tắc**

Trên tab **Approvers**, bật **The person who started a run cannot approve it**. Bạn cần có ít nhất 2 người phê duyệt trước.

**2. Chọn phạm vi áp dụng**

Ở **Applies to**, chọn một:

| Applies to | Ai phải phê duyệt |
| - | - |
| **Destructive actions** | Một người phê duyệt khác cho thao tác xóa, phiên shell từ xa như `ssh`, và mọi lệnh gọi mà CloudThinker không nhận diện được (xem [huy hiệu truy cập](https://docs.cloudthinker.io/vi/guide/approvals/rules.md#rule-gồm-những-gì)) |
| **All writes** | Một người phê duyệt khác cho mọi thao tác ghi |

**Trạng thái thành công:** lần tới khi bạn bắt đầu một lượt chạy cần phê duyệt, thẻ của bạn không có nút **Approve** và nêu tên những người khác có thể phê duyệt.

Quy tắc này áp dụng cho mọi yêu cầu, không chỉ yêu cầu từ một Rule. Để chỉ yêu cầu hai người cho một loại thao tác ghi, hãy chọn **Needs 2 different people** trong Rule đó.

> [!WARNING]
>
> Với **All writes**, kỹ sư on-call làm việc một mình không thể tự phê duyệt bản sửa lỗi của mình. Hãy đảm bảo luôn liên lạc được với người phê duyệt thứ hai, hoặc chọn **Destructive actions**.

## Break-glass

Break-glass cho phép Admin của workspace chạy một lệnh gọi đã bị Rule **Deny** từ chối, trong trường hợp khẩn cấp thực sự. Tính năng này mặc định tắt.

1. Owner hoặc Admin của workspace bật **Let owners and admins break glass** trên tab **Approvers**.
2. Khi một Rule **Deny** từ chối lệnh gọi trong cuộc chat có người tham gia, owner hoặc Admin của workspace nhấn **Break glass…** trên thẻ. Chỉ lệnh bị Rule Deny từ chối mới đủ điều kiện. Nếu lệnh bị chế độ **Refuse** từ chối, hãy chuyển cuộc chat sang chế độ **Ask me**.
3. Họ nhập lý do dài từ 20 ký tự trở lên trong vòng 15 phút kể từ yêu cầu. Lệnh gọi chạy một lần.

Owner và các Admin của workspace nhận thông báo trong ứng dụng kèm lý do và liên kết đến cuộc chat. Đây không phải là một trong các sự kiện có thể định tuyến trong [Notifications](https://docs.cloudthinker.io/vi/guide/notifications.md). Lý do cũng được lưu trong [nhật ký kiểm tra](https://docs.cloudthinker.io/vi/guide/security/audit-logs.md). Agent không thể yêu cầu break-glass. Khi quy tắc hai người được bật, người bắt đầu lượt chạy cũng không thể break glass cho lượt chạy đó.

> [!WARNING]
>
> Break-glass là một sự kiện bảo mật. Tính năng này không bao giờ chạy lệnh gọi **Always blocked** hoặc lệnh gọi mà Rule được đánh dấu **Never allow break-glass** đã từ chối.

## Kiểm tra Activity

Mở **Approvals → Activity** để kiểm tra các Rule. Chọn khoảng thời gian tối đa 366 ngày. Bảng có một dòng cho mỗi Rule trong khoảng đó, cộng thêm dòng **No Rule matched** cho các thao tác ghi do chế độ Approval quyết định, chẳng hạn đánh giá của AI hoặc yêu cầu ở chế độ Manual.

| Cột | Nội dung |
| - | - |
| **Rule**, **Source**, **Accepted by** | Rule là gì, đến từ đâu và ai đã chấp nhận |
| **Allowed**, **Asked first**, **Refused** | Số lệnh gọi mà Rule đã quyết định theo từng cách |
| **Approved**, **Declined**, **Approvers** | Mọi người đã trả lời yêu cầu của Rule như thế nào, và ai đã trả lời |
| **Break-glass** | Số lần có người break glass trên Rule đó |

Lọc theo **Source**, **Effect** hoặc **Result**, hoặc dùng **Search Rules or people**. Nhấn **Export CSV** để tải xuống mọi Rule trong khoảng thời gian, chẳng hạn cho đợt rà soát quyền truy cập hằng quý.

Số lệnh gọi được tính trong 90 ngày gần nhất, vì CloudThinker giữ mỗi bản ghi quyết định trong 90 ngày. Thời gian trong bảng theo UTC. Tab **Overview** hiển thị cùng các tổng số cho 7 ngày gần nhất: lệnh gọi đã chạy, đã hỏi một người, hoặc đã bị từ chối.

## Khắc phục sự cố

> **Tôi không thể bật quy tắc hai người**
>
> Công tắc cần ít nhất 2 người có thể phê duyệt. Thêm một người phê duyệt khác vào Default approvers hoặc đảm bảo có Developer hoặc Admin thứ hai trong workspace, rồi thử lại.

> **Có người không thấy nút Approve**
>
> Có thể họ là Viewer, họ đã bắt đầu lượt chạy khi quy tắc hai người đang bật, hoặc Rule khớp chuyển yêu cầu cho một nhóm họ không thuộc về. Thẻ nêu tên những người khác có thể phê duyệt.

> **Break glass… không hiển thị trên thẻ bị từ chối**
>
> Break-glass phải được bật, bạn phải là owner hoặc Admin của workspace, và một Rule **Deny** của workspace phải đã từ chối lệnh gọi trong cuộc chat có người tham gia. Nút này không bao giờ hiển thị cho lệnh gọi **Always blocked** hoặc Rule được đánh dấu **Never allow break-glass**, và hết hạn 15 phút sau yêu cầu.

> **Activity hiển thị No decisions in this period**
>
> Chọn khoảng thời gian dài hơn. Nếu vẫn trống, có thể Rule vẫn đang ở chế độ xem trước trong workspace này, nên chưa ghi lại quyết định nào.

## Bước tiếp theo

> **[Approval Rules](https://docs.cloudthinker.io/vi/guide/approvals/rules.md)**
>
> Tạo Rule Ask first chuyển yêu cầu đến các nhóm của bạn

> **[Audit Logs](https://docs.cloudthinker.io/vi/guide/security/audit-logs.md)**
>
> Xem các sự kiện bảo mật của workspace, bao gồm break-glass


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.