Опубликованная версия политики никогда не изменяется. При редактировании политики и повторной публикации создается новая версия; старая версия на машинах остается нетронутой. Это делает откат безопасным: последняя рабочая версия по-прежнему там, без единого изменения, и откат не стирает историю решений, которая объясняет, что пошло не так.
Найти версию
Откройте Admin → policy editor и library, чтобы сравнить версии политики или отключить одну из них.
Откатить машину
- Откройте Admin → enforcement, разверните нужную машину и определите её последний известный рабочий набор политик.
- Выберите edit, восстановите эти версии и эффекты, затем примените новое развертывание.
- Дождитесь проверки машины, затем проверьте сообщаемое развертывание.
- Откройте Observe → policy и нужные сеансы, чтобы подтвердить, что корректная работа больше не блокируется.
Каждое развертывание на машину — это пронумерованное поколение. Перечислите их, затем восстановите нужное:rollback создает новое поколение со старым набором, а не перематывает счетчик, поэтому история остается добавочной. Команда отказывает, если указать поколение с отключенной или удаленной политикой. Требуется сеанс с авторизацией и правами policies:write. fp fleet diff <machine-id> показывает, что было предусмотрено в сравнении с тем, что машина применила — это отображается как behind, пока машина не проведет следующий опрос — а на самой машине failproofai policies перечисляет развертывание, которое она запускает. Отключить одну политику на всех машинах
Каждая команда создает новое поколение на каждом развертывании, которое она затрагивает. Откат одного из этих поколений — не способ отменить disable, хотя — rollback отказывает при указании поколения с отключенной политикой, и каждое поколение до отключения называет эту политику. fp policies enable — это способ вернуться, и она в свою очередь создает собственное поколение.
Откатить пакет
Пакет привязан к установленному выпуску, поэтому его откат означает установку более ранней версии:
Без терминала или с опциями --policy, --category или --all переустановка сохраняет выбранный вами подмножество. В терминале без этих опций открывается выбиратель с предустановками автора, и выбранные вами элементы заменяют вашу прежнюю выборку — поэтому переустановите то, что у вас было.
Когда откатывать
- Политика блокирует ожидаемое действие в production.
- Объем совпадений существенно выше, чем предсказывало наблюдаемое развертывание.
- Политика зависит от полей, которые интеграция не предоставляет.
- Новая версия меняет поведение вне предусмотренного режима отказа.
После отката откройте затронутые сеансы и найдите условие, стоящее за ложноположительным срабатыванием. Опубликуйте новую версию, протестируйте как небезопасный, так и допустимый случаи, и проверьте её снова перед принудительным применением.
failproofai config --pause приостанавливает локальные политики на один сеанс и никогда не приостанавливает управляемые Cloud, поэтому это не способ выхода из неудачного Cloud-развертывания. Пауза также расширяет уязвимость для каждой политики в её области; предпочтите откат единственной версии, которая неправильно себя ведет.
