Equipes
Modo offline
O que o zn-gate faz sem rede, com uma política expirada ou rejeitada, e depois que uma instalação é revogada. Ele nunca roda sem uma política.
O zn-gate aplica a política da organização localmente, então a programação continua funcionando em um avião ou atrás de um proxy com defeito. A regra é simples: uma máquina nunca roda sem uma política, e, na dúvida, ela fica mais restrita, não mais permissiva.
| Situação | O que o zn-gate faz |
|---|---|
| Sem rede, política em cache ainda válida (até 7 dias) | Aplica a política em cache. O registro de auditoria permanece em ~/.zn/audit.jsonl e é enviado quando a rede voltar |
| Sem rede e a política em cache expirou | Modo estrito: as regras deny da última política continuam valendo, as permissões que a organização tinha liberado são retiradas (voltam as configurações locais mais restritas), e zn team status e o hook do agente informam isso |
| Assinatura inválida, chave desconhecida ou versão anterior | Rejeita a política, mantém a última política válida e registra policy:rejected |
| Instalação revogada | Para de enviar. Aplica a política em cache até ela expirar, depois modo estrito. O aviso diz "removed from org" |
| Desvio de relógio | Até ±5 minutos de tolerância nos horários de emissão e expiração da política |
| Lacuna ou reprodução no envio | O zn retoma a partir do último registro que confirmou. Um registro adulterado é rejeitado e aparece no painel |
Verificando uma máquina
zn team statusmostra a versão da política, quando ela foi verificada pela última vez, se o modo estrito está ativo e quantos registros de auditoria estão aguardando envio. zn team sync tenta novamente agora.
No painel, Membros → Installs lista cada máquina com a última vez em que foi vista, para que proprietários e administradores identifiquem instalações desatualizadas ou sem atividade.
A trilha de auditoria é à prova de adulteração
Cada máquina encadeia seus registros de auditoria com um HMAC (seq, prev, mac). O zn os envia em ordem e verifica a cadeia, de modo que um registro ausente, reordenado ou editado fica visível no painel e em todas as exportações.