Équipes
Mode hors ligne
Ce que fait zn-gate sans réseau, avec une politique expirée ou rejetée, et après la révocation d'une installation. Il ne fonctionne jamais sans politique.
zn-gate applique la politique de l'organisation localement, afin que le développement continue de fonctionner dans un avion ou derrière un proxy défaillant. La règle est simple : une machine ne fonctionne jamais sans politique, et en cas de doute, elle devient plus stricte, jamais plus permissive.
| Situation | Ce que fait zn-gate |
|---|---|
| Pas de réseau, politique en cache encore valide (jusqu'à 7 jours) | Applique la politique en cache. La piste d'audit reste dans ~/.zn/audit.jsonl et est envoyée dès que le réseau revient |
| Pas de réseau et politique en cache expirée | Mode strict : les règles deny de la dernière politique restent appliquées, les permissions que l'organisation avait ouvertes sont retirées (les paramètres locaux plus stricts reviennent), et zn team status ainsi que le hook de l'agent l'indiquent |
| Signature invalide, clé inconnue ou version inférieure | Rejette la politique, conserve la dernière politique valide et journalise policy:rejected |
| Installation révoquée | Arrête l'envoi. Applique la politique en cache jusqu'à son expiration, puis le mode strict. La notification indique « removed from org » |
| Décalage d'horloge | Tolérance de ±5 minutes sur les dates d'émission et d'expiration de la politique |
| Lacune ou rejeu dans l'envoi | zn reprend à partir du dernier enregistrement confirmé. Un enregistrement altéré est rejeté et apparaît dans le tableau de bord |
Vérifier une machine
zn team statusaffiche la version de la politique, la date de la dernière vérification, si le mode strict est activé et le nombre d'enregistrements d'audit en attente d'envoi. zn team sync relance la synchronisation immédiatement.
Dans le tableau de bord, Membres → Installs liste chaque machine avec la dernière date à laquelle elle a été vue, afin que les propriétaires et administrateurs puissent repérer les installations obsolètes ou silencieuses.
La piste d'audit est inviolable
Chaque machine chaîne ses enregistrements d'audit avec un HMAC (seq, prev, mac). zn les envoie dans l'ordre et vérifie la chaîne : un enregistrement manquant, réordonné ou modifié est donc visible, dans le tableau de bord comme dans chaque export.