ロールバックは、それ自身のリスクを伴う 2 番目の変更です。インシデントが発生する前は正しかったDNS値も、別の管理者が介入した後は安全でなくなる可能性があります。エージェントの実稼働書き込みアクセスを許可する前に、停止制御と条件付き復旧計画の両方を設計します。
停止と復元を分離する
停止コントロールは新しいアクションを防ぎます。これは、表示されるチャット セッションだけでなく、キューに入れられたジョブ、再試行、代替ワーカーにも適用される必要があります。ロールバックにより状態が変更されます。停止しても、プロバイダーによってすでに受け入れられたアクションは取り消されません。また、1 つのレコードを復元しても、すでに送信されたメッセージは取り消されません。
ワークフローを誰が停止できるか、停止が実行者にどれくらい早く届くか、ワークフローが有効になったことを裏付ける証拠を定義します。取り消しとキャンセルの確認は、検証するための観察として扱います。 OWASP では、エージェントの機能、権限、自律性を制限することを推奨しています。停止パスは、より広範な設計内での運用上の安全手段です。 OWASP LLM06.
回収契約書を準備する
正確な古い状態、意図された新しい状態、影響を受けるサービス、および回復トリガーをキャプチャします。逆の変更を承認する権限のある人、および狭義に定義されたロールバックが事前承認されているかどうかを特定します。 「問題を解決してください」という広範な指示が、コントロールを削除したり、無関係なレコードを上書きしたりする許可になるべきではありません。
計画的に DKIM ローテーション、リカバリは、署名者を保持者に戻すことを意味する場合があります。 セレクタ。新しいキーをすぐに削除すると、そのキーですでに署名されているメッセージが中断される可能性があります。 DNS caches and queued mail complicate timing, so recovery should consider the mail path rather than assume that restoring a TXT value instantly restores every receiver's view. RFC 6376.
同時変更を保護する
ロールバックする前に、現在の状態と失敗した変更によって生成された状態を比較します。別の管理者が変更した場合は、停止して調整してください。緊急修正を行って、むやみに以前のスナップショットを復元しないでください。サポートされている場合は、プロバイダー側の条件付き更新を使用します。それ以外の場合は、残りのレースウィンドウを文書化して管理します。
Suppose a failed planned change produced state B from approved baseline A. Before recovery, another administrator has intentionally applied state C. The proposed rollback should stop for reconciliation rather than overwrite C with A. The actual state may contain a necessary emergency repair.これらの抽象的な状態は、実行されたレコード値や推奨される値ではなく、決定境界を示しています。 DMARC ポリシー。
現在の状態が依然として B と一致する場合でも、条件付きリカバリを適用する前に、A の復元が引き続き許可され、適切であることを確認してください。バイトが一致しても、古いサービスや資格情報がまだ利用可能であることは証明されず、ロールバックによって侵害された既知のシークレットが復元されるべきではありません。
停止パスを練習する
提案された停止テストでは、新しいジョブ、キューに入れられたジョブ、保留中の再試行、および不確実な実行中のリクエストをカバーする必要があります。ローカル フラグや一時停止したチャットだけでは、分散エグゼキュータが停止したことを示すことはできません。この記事ではリファレンス ゲートやキャンセル テストは実行しません。
Test the deployed system with a queued but unexecuted authorized change, a retry waiting after a timeout and an in-flight request whose result is uncertain.どのアクションが阻止されたのか、どのアクションが実行された可能性があるのか、何が調整されたのかを確認します。アーキテクチャと測定がサポートしていない限り、即時グローバル停止を要求しないでください。
回復を確認し、慎重に再開する
ロールバックが承認されたら、結果の構成と影響を受ける送信フローを確認します。以前に配信されたメッセージや外部に公開されたレポートなど、取り消すことができない暴露を記録します。原因が理解され、ベースラインが調整され、権限のある所有者が再開を承認した後にのみ、自動化を復元します。
インシデントと変更履歴を関連付けたままにします。ロールバックが成功しても、元の失敗は解消されません。 Use it to improve the guard, test coverage or approval process that allowed the problem, without turning a single failure into uncontrolled permanent permission expansion.