Перейти к основному содержанию
У каждой плоскости управления в OrcaRouter две позиции: наблюдение (observe), где шлюз вычисляет и логирует, что политика сделала бы, но никогда не меняет ответ, и применение (enforce), где та же политика действительно блокирует, маскирует или удерживает вызов. Это разделение позволяет наблюдать за фреймворком на вашем реальном трафике неделю, прежде чем хоть один запрос упадёт, — а затем включить применение, когда цифры выглядят правильно. Эта страница — клиентская карта этой границы: какая позиция бесплатна, какая платная, кто может её менять и как прочитать разрыв между двумя позициями до того, как вы зафиксируетесь.

​
1. Почему комплаенс наблюдение применение — это двухшаговый шлюз

Фреймворк комплаенса, который блокирует с первого дня, — это фреймворк, который вы выключаете на второй день. Честная последовательность такая: установить в режиме наблюдения, прочитать цифры would-block на вашем собственном трафике, закрыть пробелы, о которых вы не знали, затем выйти в live. OrcaRouter встраивает эту последовательность в модель позиций, так что вам никогда не приходится гадать. (Установка пакета — это платный шаг только для Admin на каждом плане — наблюдение и применение это две позиции одного и того же платного пакета, а не бесплатный и платный тариф. Бесплатный путь наблюдения живёт на плоскостях Firewall и Guardrails, у которых нет шлюза по плану.)

Наблюдение — бесплатно на Firewall и Guardrails

Поместите политику Firewall в shadow_mode или Guardrail в audit, и шлюз вычислит её на живом трафике и запишет, что она сделала бы, — ни разу не меняя ответ. План не требуется; записи ограничены Developer+. Просмотр каталога комплаенса и чтение свёрток готовности тоже бесплатны для любого участника рабочего пространства.

Пакеты комплаенса — платно, только Admin

Плоскость пакетов комплаенса — установка пакета (даже в режиме наблюдения), настройка контролей и выход в live — требует платного плана и роли Admin рабочего пространства. Выход в live — это момент, когда материализованные правила пакета начинают реально блокировать, маскировать и удерживать вызовы.
Наблюдение — это не урезанный пробник. Оно запускает тот же движок вычисления, что и применение, на том же живом трафике — оно лишь подавляет эффект вердикта. Цифры, которые вы видите в наблюдении, — это те цифры, что вы получите, когда переключите тумблер.

​
2. Как выглядит каждая позиция на разных плоскостях

Двухшаговый шлюз не уникален для пакетов комплаенса — каждая плоскость выставляет эквивалент наблюдения. Везде идея одна: вычислять и логировать, не действовать.
ПлоскостьПозиция наблюденияПозиция применения
Пакет комплаенса (платный)Установлен в режиме observe — материализованные правила только логируютgolive переводит пакет в enforce
Политика Firewallshadow_mode — вердикты логируются как [shadow] would …Живые deny / sanitize / pending_approval
Рабочее пространство Firewallfirewall_observe_mode — логирует непокрытые вызовы как пробелыПолитики вычисляют и действуют на покрытых поверхностях
Уровень автономииpermissive — только наблюдение, нет применяющей политикиbalanced / tight — реальные строки audit и deny
Установка пакета комплаенса пишет реальные, редактируемые политики Guardrails и Firewall в ваше рабочее пространство в позиции наблюдения (политики firewall попадают в shadow_mode). Выход в live — это просто смена позиции на уже существующих строках, а не переустановка.

​
3. Один конкретный разбор

Вот полный цикл от наблюдения к применению для одного фреймворка. Просмотр каталога и чтение свёрток бесплатны; установка пакета (даже в наблюдении) и финальный golive оба требуют платного плана и Admin.
1

Просмотрите каталог (бесплатно, любой участник)

Откройте Compliance в консоли и просмотрите доступные фреймворки. Любой участник рабочего пространства может прочитать каталог, список установленных пакетов и свёртку готовности — план не требуется.
# Read-only, session-authenticated (UserAuth) — done from the console.
GET /api/compliance/catalog
GET /api/compliance/readiness
2

Установите в режиме наблюдения (платный план, Admin)

С карточки фреймворка выберите Install. Установка пакета комплаенса требует платного плана — сервер отклоняет установку на бесплатном плане. Пакет материализует свои правила guardrail и firewall в позиции наблюдения (правила firewall в shadow_mode, действия guardrail приведены к log-only), так что шлюз вычисляет их на вашем живом трафике немедленно и логирует каждый would-block, не меняя ни одного ответа.
# Paid + Admin, server-gated. Done from the console.
POST /api/compliance/packs/{key}/install
3

Прочитайте разрыв (бесплатно, любой участник)

Представление готовности теперь показывает счётчик would-block на фреймворк: сколько реальных запросов в вашем скользящем окне фреймворк остановил бы (атрибутировано строкам guardrail-плоскости пакета). Высокое число — ваш сигнал поправить рабочий процесс до применения, а не после.
4

Выйдите в live (платный план, Admin)

Когда цифры выглядят правильно, Admin на платном плане переводит пакет в применение. Те же правила, что логировали, теперь блокируют, маскируют и удерживают — а политика firewall пакета покидает shadow_mode.
# Paid + Admin, server-gated. Done from the console.
POST /api/compliance/packs/{key}/golive
Маршруты конфигурации (/api/compliance/*, /api/guardrail/*, /api/workspace/firewall/*) аутентифицируются через вашу консольную сессию, а не релейный ключ. Только модельные вызовы /v1/* используют ключ sk-orca-…. Примеры выше показаны как маршруты для наглядности, но вы управляете всеми ими из консоли.

​
4. Граница бесплатное / платное, точно

На плоскости комплаенса бесплатно только чтение вашей позиции; в тот момент, когда вы материализуете пакет, вы на платном пути. Проверка плана применяется на стороне сервера — прямой API-вызов не может её обойти.
Просмотр каталога фреймворков, список установленных пакетов, чтение свёртки готовности, чтение настроенной резидентности данных и список метаданных отчётов открыты каждому участнику бесплатно. Генерация первого отчёта комплаенса вашего рабочего пространства в виде PDF тоже бесплатна.
Установка пакета (даже в наблюдении), настройка контролей, выход пакета в live (golive), генерация дополнительных подписанных отчётов сверх первого и экспорт доказательств в CSV/JSON — всё требует платного плана и роли Admin. У плоскости комплаенса нет бесплатного тарифа наблюдения — сама установка и есть paywall.
Установка резидентности данных ограничена ролью Admin рабочего пространства, но не за платным планом — любой Admin может задать регион.
Отчёты публично проверяемы после генерации — любой, у кого есть артефакт, может подтвердить его подпись без аккаунта через проверку отчёта. Каждый отчёт подписан (PDF, CSV и JSON одинаково); проверка открыта всему миру.

​
5. Прочитайте цифры would-block, прежде чем переключать

Наблюдение существует, чтобы вы могли ответить на один вопрос данными, а не нервами: что сломается, когда это выйдет в live? Две поверхности дают вам ответ.
  • Свёртка готовности — счётчики would-block по фреймворкам для установленных пакетов комплаенса (атрибутированы строкам guardrail-плоскости пакета), так что вы видите, какие фреймворки кусаются сильнее всего на вашем скользящем трафике до применения. Читаема любым участником рабочего пространства.
  • События Firewall — записывают, что каждая политика shadow_mode сделала бы; строка [shadow] would deny — это отказ, которого ещё не было. Лента Events ограничена Developer+ (строки несут происхождение вызова инструмента). Политики firewall, настройки, представление discovered-tools, симулятор автономии и лента аномалий остаются читаемыми любым участником.
  • Совпадения Guardrails — лента совпадений записывает, что каждый guardrail в режиме audit пометил бы. Читаема любым участником.
То же поэтапное развёртывание работает на уровне автономии. Примените permissive (только наблюдение) сначала, понаблюдайте за лентой событий, затем поднимитесь до balanced и tight для поверхностей, которые это заслуживают, — с отменой в один клик из снимка аудита. См. базовый уровень secure-agents.

​
6. Куда дальше

Шлюзование по плану

Какие именно действия комплаенса требуют платного плана и что остаётся бесплатным на каждом тарифе.

Установка пакета

Материализуйте правила guardrail и firewall фреймворка в наблюдении — платный, Admin-первый шаг перед выходом в live.

Режимы применения

Полный словарь позиций — observe, shadow, audit и enforce — на всех плоскостях.

Разделённая ответственность

Что применяет шлюз и что остаётся вашим решением.
Наблюдение — это место, где вы узнаёте, во что вам обойдётся применение. На плоскостях Firewall и Guardrails вы можете наблюдать бесплатно; на плоскости пакетов комплаенса установка и выход в live — это платные шаги только для Admin — сначала прочитайте цифры would-block, затем выводите в live на ваших условиях.