Coorte del Finding Investigation Agent
La coorte FIA è l'insieme governato di Finding ammessi al runtime del Finding Investigation Agent. Si configura in Configurazione → Sicurezza. La creazione di una policy o di una revisione non modifica la coorte attiva: occorrono un'anteprima e un'attivazione esplicita.
Preparare la selezione
Ingrandisci immaginePrima di modificare una revisione leggi DB e Redis allineati, generazione e snapshot. La tabella riassume policy, selettore e capienza; la sezione Pin stabili elenca i membri mantenuti esplicitamente. Gli identificativi sono oscurati nello screenshot.
Percorso: Amministrazione → Impostazioni globali → Configuration → Security → Coorte Finding Investigation Agent (/administration/settings?tab=security). Serve il ruolo amministratore di piattaforma.
Prepara gli ID dei tenant, il massimo di membri ammessi e i criteri di eleggibilità. Il corpus deve essere leggibile; una policy corretta può selezionare zero membri se nessun Finding supera i criteri. Prima dell'attivazione devono terminare i task FIA in esecuzione e la configurazione runtime deve restare coerente con la preview.
| Scenario | Scelta | Conseguenza da controllare nella preview |
|---|---|---|
| Prima coorte, senza ripartizioni particolari | Solo strato predefinito con peso 100% | La selezione usa i criteri generali e il massimo della policy. |
| Distribuzione controllata fra tenant/categorie | Aggiungere strati e redistribuire tutti i pesi | Minimi, massimi e pesi influenzano la composizione; la somma dei pesi deve restare 100%. |
| Escludere un solo Finding | Target esclusione finding | L'esclusione è legata all'UUID indicato. |
| Escludere il soggetto stabile | Target cohort_subject | L'esclusione segue la chiave stabile del soggetto, non soltanto un record. |
| Limitare il cambiamento rispetto alla coorte attuale | Abbassare limiti di aggiunte/rimozioni/churn | La preview può diventare bloccata: verificare il diff, non aumentare i limiti senza esaminarlo. |
| Tornare a una composizione precedente | Prepara rollback sullo snapshot in cronologia | Produce una preview da verificare e attivare; non modifica subito la coorte. |
Policy di selezione
| Campo | Vincoli | Significato |
|---|---|---|
| Nome policy | 1–120 caratteri dopo trim | Etichetta leggibile della policy. |
| Tenant | Elenco separato da virgole; almeno uno, fino a 500, senza duplicati | Perimetro della selezione. Usare gli ID tenant, non i nomi visualizzati. |
Dimensione massima (maxMembers) | Intero 1–100 | Massimo di membri della coorte, inclusi quelli soggetti a regole di selezione. |
| Seed stabile | 1–120 caratteri | Stabilizza l'ordinamento deterministico dei candidati a parità di dati e policy; cambiarlo può cambiare la composizione. |
| Stati ammessi | Almeno uno tra open, acknowledged, in_review | Stati operativi eleggibili. Gli stati terminali non sono opzioni del form. |
| Categorie | Elenco separato da virgole o vuoto | Filtro sulle categorie; vuoto non impone questo filtro. |
Origini (sourceKinds) | Elenco o vuoto | Filtro sul tipo di sorgente, per esempio semantic_alert_cluster. |
| Famiglie algoritmo | Elenco o vuoto | Filtro sulla famiglia che ha prodotto il Finding. |
| Rischio minimo | Intero 0–100 o vuoto | Soglia minima del rischio; vuoto significa nessuna soglia aggiuntiva. |
| Confidence minima % | 0–100 o vuoto | Confidenza minima; la UI converte percentuale in punti base (percentuale × 100, arrotondata). |
| Freshness massima | Intero 1–8.760 ore o vuoto | Finestra rispetto all'ultima osservazione del Finding; vuoto non impone una freschezza massima. |
Il form nuovo propone dimensione 10, tutti e tre gli stati, nessun filtro facoltativo e un seed iniziale. Sono valori iniziali della UI, da adattare al perimetro reale; non sono la configurazione di ogni installazione.
Strati e distribuzione
Uno strato definisce una quota di selezione per un sottoinsieme del corpus. Puoi configurarne fino a 50, oltre allo strato predefinito.
| Campo di uno strato | Vincoli / uso |
|---|---|
| ID strato | 1–80 caratteri; univoco nella policy. |
| Tenant, categorie, famiglie algoritmo | Elenchi separati da virgole; vuoto lascia il criterio aperto. Gli strati non hanno il campo Origini. |
| Minimo membri | Intero 0–100; non superiore al massimo dello stesso strato. |
| Massimo membri | Intero 0–100. |
| Peso % | 0–100; percentuale usata nella distribuzione della selezione. |
Lo strato predefinito ha minimo, massimo e peso, senza filtri. La somma dei minimi di tutti gli strati deve essere al massimo maxMembers. La somma dei pesi, incluso lo strato predefinito, deve essere 100%. Il form iniziale propone per lo strato predefinito minimo 0, massimo 10 e peso 100%; aggiungendo altri strati occorre redistribuire i pesi.
Esclusioni e pin
Un'esclusione rimuove un elemento dalla selezione governata.
| Campo esclusione | Vincoli |
|---|---|
| Tenant | Deve appartenere alla policy. |
| Tipo | finding per un Finding specifico; cohort_subject per il soggetto stabile. |
| Valore | UUID del Finding nel primo caso; chiave stabile non vuota, massimo 500 caratteri, nel secondo. |
| Motivazione | 3–500 caratteri dopo trim. |
| Scadenza ISO | Facoltativa; data/ora ISO, per esempio 2026-12-01T00:00:00Z. Vuoto = nessuna scadenza registrata. |
Il contratto ammette fino a 500 esclusioni senza duplicati della stessa coppia tenant/target. Un pin è un'inclusione governata di un soggetto stabile, con Finding sorgente, motivazione ed eventuale scadenza. Il form di nuova policy crea una lista pin vuota; i pin esistenti sono consultabili e rimovibili creando una nuova revisione. La rimozione non cambia immediatamente la coorte attiva.
Un pin non più eleggibile blocca la preview. Rimuovilo nella revisione corretta e ricalcola l'anteprima, senza presumere che il pin possa superare i criteri di eleggibilità.
Limiti di ricambio
| Campo | Range | Effetto |
|---|---|---|
| Aggiunte massime | Intero 0–100 | Limita i nuovi membri rispetto alla generazione attiva. |
| Rimozioni massime | Intero 0–100 | Limita i membri rimossi. |
| Churn massimo % | 0–100 | Limita il ricambio complessivo valutato dal selettore. |
La UI iniziale propone 10 aggiunte, 10 rimozioni, 100% churn. Valori zero possono intenzionalmente bloccare variazioni della composizione: non equivalgono a “senza limite”. Il diff dell'anteprima è il riferimento per capire il risultato della policy sul corpus corrente.
Anteprima, attivazione e rollback
- Crea la policy o una revisione. La revisione conserva la relazione con versione e digest precedenti.
- Genera la preview deterministica. Esamina membri selezionati, aggiunti, rimossi, mantenuti e sostituiti tramite lineage; controlla distribuzione per tenant/categoria/algoritmo, motivi di selezione e blocchi di ricambio.
- Controlla scadenza, task in esecuzione e impatto massimo potenziale indicato. Un costo non determinato non equivale a zero.
- Attiva la preview. La UI chiede conferma perché la nuova generazione sostituisce la coorte corrente.
- Verifica generazione e parità DB/Redis. L'attivazione non accoda automaticamente analisi.
L'attivazione verifica digest della policy e del corpus, generazione/hash runtime di base e snapshot proposto. Se corpus o runtime sono cambiati, rigenera la preview. I task FIA in esecuzione bloccano l'operazione (block_if_running): attendi la loro conclusione prima di riprovare.
Importa coorte legacy produce una preview della generazione runtime esistente conservandone i membri. Prepara rollback, dalla cronologia attivazioni, crea una nuova preview a partire dallo snapshot scelto: controlla il diff e attivala con lo stesso processo. Non è un ritorno istantaneo senza verifica.
La ricerca candidati permette di scegliere un tenant della policy e cercare i Finding; gli esiti spiegano eleggibilità ed esclusione. Un elenco vuoto dopo errore di caricamento non certifica l'assenza di candidati.
Verifica finale e recupero
La configurazione è conclusa quando la generazione attiva corrisponde alla preview approvata e il portale riporta la parità DB/Redis. Conserva riferimento della revisione, generazione e snapshot; non usare il solo numero dei membri come prova d'identità della coorte.
| Problema | Intervento |
|---|---|
| Somma pesi diversa da 100% o minimi maggiori della dimensione massima | Correggi gli strati, incluso quello predefinito, e salva una revisione coerente. |
| Preview bloccata da churn | Esamina membri aggiunti/rimossi; modifica intenzionalmente policy o limiti, poi rigenera. |
| Pin non più eleggibile | Crea una revisione senza quel pin e ricalcola; il pin non supera i criteri di eleggibilità. |
| Corpus/runtime cambiato o preview scaduta | Genera una nuova preview sulla revisione corrente. |
| Task FIA in esecuzione | Attendi la conclusione e riprova l'attivazione applicabile. |
| Parità runtime non verificata | Rileggi stato ed errore; non considerare la sola scrittura della policy una conferma dell'attivazione. |
Verifica sorgente: card coorti, contratto coorte e selettore server; snapshot del 10 novembre 2026. Nessuna coorte è stata attivata durante la preparazione della documentazione.