Revisionsposten: svaret på "hvem gjorde det", ikke på "hvad skete der"

Overvågning og revisionspost er to forskellige ting, og de forveksles. Overvågning besvarer "hvad skete der": disken blev fuld, en tjeneste faldt, belastningen steg. Revisionsposten besvarer hvem der gjorde det. Værdien af det andet viser sig på dage, man aldrig håber på.

Tre øjeblikke

Noget er ændret, og ingen husker at have ændret det. Svaret er som regel "dig, for tre uger siden", og det er en lettelse snarere end en anklage: en ukendt ændring bekymrer langt mere end en kendt.

To personer arbejder på den samme maskine, og hver antager, at det var den anden. I den situation er det kun posten, der afslutter diskussionen.

Noget gik virkelig galt, og du har brug for begivenhedernes rækkefølge. Sluttilstanden siger, hvad der skete; rækkefølgen siger hvordan. Uden det andet gentager det samme sig.

"Root gjorde det" er ikke et svar

Logger alle ind med den samme konto, er navnet i posten det samme for alle. Posten bliver ved med at besvare "hvad skete der", men holder op med at besvare "hvem gjorde det". Derfor er en revisionspost uden betydning i en enkeltmandsopsætning og bliver kritisk den dag, person nummer to kommer.

Hvad der ikke må stå i posten

Anmodningens indhold. Adgangskoder, nøgler og poletter går derigennem. En post, der fanger alt, betyder et nyt sted, hvor dine hemmeligheder bor, og det sted er som regel dårligere beskyttet, fordi det tæller som "bare en log".

En revisionspost har brug for fem ting: hvem, hvad, hvornår, mod hvad, og resultatet. Vil du tilføje en sjette, så spørg først, om den bærer en hemmelighed.

Hvor den ligger, afgør, om den er bevis

En post, som kun programmet kan skrive og skrive om, er en dagbog, ikke et bevis. Bliver programmet selv overtaget, retter det også posten.

Derfor skal posten også lande dér, hvor programmet ikke når. Systemets egen log findes til det: programmet skriver dertil, men kan ikke slette derfra.

Opbevaringstid

En revisionspost, der gemmes i tre dage, besvarer "hvem gjorde det i går" og intet andet. Men de fleste af disse spørgsmål kommer uger senere, fordi virkningen af en ændring som regel ikke ses med det samme. Gem revisionsposten efter en anden logik end dine sikkerhedskopier: den fylder lidt og bliver ved med at være værdifuld længe.

Hvad Atlas gør

Atlas skriver kun fem ting til revisionsposten: hvem, hvad, hvornår, mod hvad, resultat. Anmodningens indhold skrives aldrig, for en login-anmodning bærer en adgangskode, og der er ingen gavn i, at den adgangskode findes endnu en gang i en logfil.

Posten lander to steder på én gang. Det ene er systemets egen log: Atlas skriver dertil, men kan ikke tage derfra eller ændre. Det andet er en fil i produktets datamappe, som opdateringer ikke sletter. Du behøver altså ikke gå ned i systemloggen for at læse den, men den er der, når du får brug for den.

En lille, men betydningsfuld detalje: tidsstemplet skrives allersidst i posten. Sådan kan den side, der laver posten, ikke overskrive det, selv hvis den sender sit eget tidsstempel med. Intet forsøger det i dag, men i en revisionspost hører den rigtige rækkefølge til sagens natur.

Og afviste anmodninger registreres også, ikke kun dem, der blev udført. Oplysningen "nogen forsøgte, og det gik ikke" står altså også i posten; som regel er det netop den sætning, du ledte efter.