온콜과 에스컬레이션

온콜 라우팅은 알림 채널에 실행 권한을 부여하지 않고 인시던트를 책임 있는 담당자에게 연결합니다. FDAI는 현재 대응 담당자를 확인하고, 설정된 에스컬레이션 단계를 적용하며, 모든 시간 초과, 경로 변경, 승인 및 미실행을 기록합니다.

업스트림 온콜 일정 연동 지점과 장애 시 안전 대체 경로를 결정하는 해석기는 구현되어 있습니다. PagerDuty 또는 Opsgenie 어댑터와 채널별 직접 메시지 수신자 지정 기능은 배포 환경이나 포크에서 연결해야 합니다. 상태 페이지를 통한 공지는 향후 구현으로 연기되었습니다.

대응 담당자 확인

일정 해석기는 유효 시간 범위가 지정된 온콜 일정을 읽고 현재 근무 중인 담당자를 반환합니다. 일정이 없거나, 오래되었거나, 사용할 수 없는 경우 FDAI는 설정된 안전 대체 경로를 사용하고 라우팅 성능이 저하된 상태임을 기록합니다. 담당자의 신원을 추측하지 않습니다.

승인 주체와 실행 주체는 구분됩니다. 온콜 대응 담당자는 RBAC와 정책에서 허용하는 범위 내에서만 검토하거나 승인할 수 있습니다. 온콜 근무 중이라는 이유만으로 실행 자격 증명이 부여되지는 않습니다.

에스컬레이션 단계

에스컬레이션 단계에는 수준, 대기 시간, 채널, 역할 및 중단 조건을 정의합니다. 대기 중인 결정은 적용 범위와 심각도에 따라 1차 온콜 담당자에서 2차 온콜 담당자, 인시던트 지휘자 또는 소유자로 에스컬레이션될 수 있습니다.

더 느린 주기로 실행되는 감독 루프는 기존 위험 판정을 직접 변경하지 않습니다. 책임 있는 승인자에게 승인을 요청하거나 요청을 만료시킬 수는 있지만, deny를 auto로 변경하거나 사람을 대신해 승인할 수는 없습니다. 조건에 부합하는 상시 승인이 있더라도 에스컬레이션 단계의 기한이 지난 후 형식이 지정된 제안을 안전성 검사에 다시 제출하여 새로운 판정을 받도록 할 수 있을 뿐입니다.

알림 전달 대체와 권한 에스컬레이션 구분

두 메커니즘은 서로 다른 실패 상황에 대응하며, 각각 별도의 감사 기록을 유지합니다.

장치	발동 조건	바뀌는 것
채널 대체	같은 수신자에게 채널이 전달하지 못함	전달 경로
에스컬레이션 단계	전달은 됐지만 단계 시한 안에 권한 있는 결정이 없음	요청을 받는 사람의 권한

각 단계표에는 단계 수가 정해져 있고 전체 마감 시각도 있습니다. 단계가 바뀔 때마다 대상, 분류, 시작 시각, 만료 시각, 결과를 기록합니다. 뒤 단계에서도 자기 승인 금지는 그대로 적용되며, 실행기 자격을 물려받지도 않습니다.

믿을 만한 예측이 있으면 시간을 앞당깁니다

예측에 근거한 인시던트에서는 감독자가 매 주기마다 시급성을 다시 계산합니다. 실제 단계 시간은 effective_ttl = min(rung.ttl, k * remaining_lead_time)을 따르므로, 위반 예상 시각이 가까워지면 설정된 시한을 줄일 수는 있어도 늘릴 수는 없습니다. 영향이 크면 더 높은 단계에서 시작할 수도 있습니다.

예측 구간이 설정된 신뢰 수준을 통과한 예측만 시간을 앞당길 수 있습니다. 잡음이 섞인 단일 추정치로는 에스컬레이션을 서두를 수 없습니다. 시급성은 사람에게 요청하는 속도만 바꿀 뿐 실행 권한을 주지 않습니다.

검토를 건너뛰지 않는 상시 권한

상시 권한은 운영자가 작성하는 정책 문서입니다. 여기에는 결정론적인 조건, 리소스 그룹 크기 이하의 적용 범위, 되돌릴 수 있는 작업 유형, 검증된 롤백 계약, 그리고 에스컬레이션 단계 내내 응답이 없었다는 발동 조건을 적습니다. 관찰 모드에서 시작하며 자체 승격 기준을 따릅니다.

마감이 지나면 감독자는 그 권한이 유효한지, 만료되지 않았는지, 범위 안인지, 대기 중인 작업을 여전히 포함하는지 확인합니다. 그런 다음 제안을 타입이 정의된 파이프라인에 다시 넣습니다. Forseti와 안전성 검토가 현재 인벤토리와 정책으로 다시 평가하고, 새 결정이 auto일 때만 Thor가 실행합니다. 되돌릴 수 없는 작업, 오래된 근거, 넓어진 영향 범위, 범위를 벗어난 경우는 감사되는 미실행으로 끝납니다.

최종 상태	의미
승인됨	권한 있는 사람이 만료 전에 결정했습니다
거부됨	권한 있는 사람이 거부했고 아무 작업도 하지 않았습니다
상시 권한으로 실행됨	마감이 지난 뒤 새 위험 판단이 적용 범위를 다시 확인했습니다
미실행으로 종료	사람의 결정도 상시 권한도 없이 단계표가 끝났습니다

운영자가 확인할 것

1. 일정의 최신성, 시간대, 교대 경계를 확인합니다.
2. 인시던트 범위와 심각도가 기대한 단계표를 고르는지 확인합니다.
3. 필요하다면 승인자가 실행자, 요청자와 다른 사람인지 확인합니다.
4. 알림 전달 상태와 재시도 상태를 확인합니다.
5. 만료는 감사되는 미실행으로 처리합니다.

소통 방식

운영 알림, 승인 요청, 인시던트 생애주기 공지는 서로 다른 메시지 분류와 최소 권한 기준을 사용합니다. 채널에는 인시던트 ID, 범위, 심각도, 근거 링크, 요청된 결정, 만료 시각처럼 행동에 꼭 필요한 최소 정보만 전달합니다. 시크릿과 고객 원본 데이터는 메시지에 담지 않습니다.

다음 단계

알아볼 내용	문서
승인이 동작하는 방법	승인과 알림 채널
에스컬레이션 계약	에스컬레이션과 상시 권한
채널 라우팅	채널과 알림
인시던트 소유권	인시던트 관리