observability

const (
	// InternalMTLSEnabled — листенер есть и проверяет клиентские сертификаты.
	InternalMTLSEnabled = "true"
	// InternalMTLSDisabled — листенер есть и работает БЕЗ mTLS.
	InternalMTLSDisabled = "false"
	// InternalMTLSNotApplicable — внутреннего листенера у процесса НЕТ ни одного:
	// защищать нечего, потому что входной поверхности нет. Не путать с Disabled.
	InternalMTLSNotApplicable = "n/a"
)

Величины поля internal_mtls — ТРИ объявленных состояния внутреннего gRPC-листенера, и все три именованы.

ПОЧЕМУ СТРОКА, А НЕ bool (решение задачи #1024). У края внутреннего листенера больше нет вовсе, и «слушателя нет» обязано быть отличимо от «слушатель есть и НЕ защищён»: схлопнуть их значило бы разрешить незащищённый листенер молчанием. Булево поле такого не выражает — состояний у него два, и нулевое НЕМО: процесс, забывший заполнить структуру, печатает ровно то же, что процесс, честно доложивший «выключено».

Указатель (*bool) три состояния выражает, но кладёт послабление в НУЛЕВОЕ значение: забывший заполнить получал бы «слушателя нет», то есть забывчивость расслабляла бы гейт. У строки нулевое значение — пустая — не совпадает ни с одной из трёх объявленных, поэтому гейт посадки судит её ОТКАЗОМ наравне с отсутствием ключа. Забыть здесь можно только в строгую сторону.

Форма выбрана зеркальной уже существующим в этом же самоотчёте DBSSLMode и IdentityProvider: третьего идиома «измерение неприменимо» в одной строке не заводится.

Литералы парсит гейт (deploy/scripts/assert-production-posture.sh) → это ХАРД-КОНТРАКТ, менять только вместе с ним.

const (
	// OwnRESTFrontTLS — фронт поднят, и его провод под транспортом.
	OwnRESTFrontTLS = "true"
	// OwnRESTFrontPlaintext — фронт поднят и работает ОТКРЫТЫМ ТЕКСТОМ.
	OwnRESTFrontPlaintext = "false"
	// OwnRESTFrontNotRaised — фронта НЕТ: адрес не объявлен профилем развёртывания
	// либо собственной HTTP-поверхности у этого процесса не бывает вовсе.
	// Не путать с Plaintext: защищать нечего, потому что поверхности нет.
	OwnRESTFrontNotRaised = "n/a"
)

Величины полей own_rest_public_tls / own_rest_internal_tls — ТРИ объявленных состояния СОБСТВЕННОГО REST-фронта процесса, и все три именованы.

ЧТО ТАКОЕ «СОБСТВЕННЫЙ REST-ФРОНТ». HTTP-поверхность, которую процесс поднимает НАД СВОИМИ ЖЕ gRPC-слушателями: запрос по HTTP проходит ровно ту цепочку звеньев, что и тот же запрос по gRPC. Край платформы под это определение не подпадает by construction — он проксирует ЧУЖИЕ слушатели, а своего gRPC-API не имеет; его величина — OwnRESTFrontNotRaised.

ПОЧЕМУ СТРОКА, А НЕ bool. Состояний три, а не два: «фронта нет вовсе» обязано быть отличимо от «фронт поднят и работает открытым текстом». Схлопнуть их значило бы разрешить открытый текст молчанием. У булева поля состояний два, и нулевое НЕМО: процесс, забывший заполнить структуру, печатает ровно то же, что процесс, честно доложивший «фронта нет». У строки нулевое значение — пустая — не совпадает ни с одной из трёх объявленных, поэтому гейт посадки судит её ОТКАЗОМ наравне с отсутствием ключа. Забыть здесь можно только в строгую сторону. Форма зеркальна уже существующим в этом же самоотчёте DBSSLMode, InternalMTLS и IdentityProvider: третьего идиома «измерение неприменимо» в одной строке не заводится.

ПОЧЕМУ ОСЬ ПРО ТРАНСПОРТ, А НЕ ПРО «ПОДНЯТ ЛИ». Посадка прочих поверхностей читается в этой строке именно транспортом (public_mtls, internal_mtls), и «поднят ли» из величины восстанавливается: всё, что не n/a, — поднятый фронт. Ось, отвечающая только «поднят ли», не имела бы НЕВЕРНОГО значения, то есть гейту нечего было бы оценивать, и она осталась бы напечатанной, но не судимой.

Литералы парсит гейт (deploy/scripts/assert-production-posture.sh) → это ХАРД-КОНТРАКТ, менять только вместе с ним.

const BootPostureMsg = "boot security posture"

BootPostureMsg — сообщение единственной boot-строки, в которой процесс САМ отчитывается о posture, с которой он реально стартовал.

Зачем это существует: production-posture гейт раньше читал ХРАНИМЫЙ конфиг (values/ConfigMap) и потому рапортовал успех, пока сервис фактически работал в dev-режиме с незашифрованным DB-соединением. Гейт обязан утверждать на НАБЛЮДАЕМОМ факте — на самоотчёте живого процесса, а не на намерении.

Сообщение и имена полей парсятся гейтом (jq) → это ХАРД-КОНТРАКТ: переименование ключа или msg молча ослепляет гейт. Менять только вместе с гейтом.

const BuildStampUnstamped = "unstamped"

BuildStampUnstamped — то, что метка витрины говорит, когда сборка величину НЕ ПРОСТАВИЛА.

Пустая метка читается как «версии нет», правдоподобное `dev` — как имя ветки; оба неотличимы от «величину не измеряли». Отдельное слово делает это состояние НАБЛЮДАЕМЫМ: по нему пишется тревога, и оно не притворяется ответом.

Слово совпадает с тем, которым отвечает служба доступа (`services/iam/internal/observability/metrics`.BuildInfoUnstamped): дежурный сверяет витрины разных процессов не пересчитывая, а два написания одного состояния дали бы две тревоги об одном предмете. Совпадение держится пробой `TestBuildStampWordMatchesTheAccessServiceWord` — общего объявления у двух модулей быть не может, они разные модули (`polyrepo.md` §Build-граф).

const DBSSLModeNotApplicable = "n/a"

DBSSLModeNotApplicable — значение поля db_sslmode для сервиса БЕЗ базы (api-gateway). Литерал, а не пустая строка: гейт отличает «БД нет» от «поле не заполнено».

const IdentityProviderNotApplicable = "n/a"

IdentityProviderNotApplicable — значение поля identity_provider для сервиса, который личность человека не проверяет вовсе (vpc, compute, storage, nlb, geo, registry: они принимают уже проверенного вызывающего).

Литерал, а не пустая строка, по той же причине, что и у базы: «измерения нет» обязано быть отличимо от «поле не заполнено». Гейт посадки, увидевший пустую строку, не смог бы сказать, работает ли перед ним сервис без этого измерения или сервис, забывший его заполнить.