Salud de la plataforma, qué se monitorea

El estado de un servidor, su procesador y su memoria, dicen poco sobre si la plataforma PAM cumple su trabajo. Lo que la define son otras señales: que cada conector siga hablando con la bóveda (el latido), que la cola de rotaciones pendientes no crezca, que el espacio del almacén de grabaciones alcance, que los registros de la bóveda sigan llegando al SIEM, que los proxies respondan y que los inicios de sesión fallidos en la consola no se disparen. Cualquiera de esas señales puede estropearse con el servidor aparentemente sano.

Para cada indicador hay que decidir tres cosas: el umbral, a quién se avisa y qué hace esa persona al recibirlo. Un indicador sin destinatario es un indicador apagado.

Lee indicadores. La columna monitoreado dice si el indicador está activo y la columna del umbral qué lo dispara. Una fila con «no» es un espacio ciego: ocurra lo que ocurra en ese componente, no habrá aviso. El almacén de grabaciones es un lugar clásico para eso, porque se llena despacio y el día que no queda espacio las sesiones nuevas dejan de grabarse o, peor, el proxy las rechaza todas.

Un indicador puede estar activo, con su umbral bien puesto, y aun así no servir si su alerta se envía a un destinatario que no existe: un buzón que ya no se lee o un grupo vacío. Lee eventos_salud y cruza lo que pasó con la columna alerta_enviada, y busca el componente que estuvo sin latido y del que no salió ninguna alerta. Después revisa en indicadores a quién estaba configurado para avisar.

El impacto de un conector caído se mide en tiempo: durante ese rato no se rotan contraseñas, no se verifican y, según el diseño, tampoco se entregan. Toma del registro la hora en que el conector perdió el latido y la hora en que volvió, ambas del mismo componente, y calcula cuántos minutos estuvo sin servicio. La hora de pérdida es la del evento «sin latido» y la de regreso es la del evento «latido restablecido».

Tener respaldo y poder restaurar son cosas distintas, y solo se sabe cuál es cuál probando. Con la bóveda, la diferencia es la más grave de la plataforma: si se pierde y la copia no sirve, se pierden a la vez todos los secretos y la forma de volver a entrar en los sistemas. Lee respaldos y busca el componente cuya copia nunca se ha restaurado en una prueba.