Eine App herunterfahren, starten und isolieren

Der Gefahrenbereich der Registerkarte Settings einer App enthält zwei Aktionen, die auf alles in einem Geltungsbereich gleichzeitig wirken: Shut down stoppt, was läuft, und der Kill switch isoliert die App, sodass nichts von ihr erreichbar ist. Beide stellen genau das wieder her, was sie geändert haben. Der Geltungsbereich ist die gesamte App oder eine Umgebung.

Beide erfordern die Rolle Operator auf der App oder der Umgebung (apps:operate).

Herunterfahren und starten

Shut down öffnet einen Dialog mit dem Geltungsbereich und den Änderungen, live gezählt:

• laufende Container, Deployments und Compose-Projekte werden gestoppt;
• verwaltete Datenbanken und verwalteter Speicher werden pausiert; ihre Daten bleiben erhalten;
• Routen und Pages-Routen zeigen die Wartungsseite.

Ressourcen bleiben bearbeitbar, während die App heruntergefahren ist. Die App und ihre Umgebungen zeigen Stopped.

Start bringt nur zurück, was Shut down geändert hat und was sich noch in dem Zustand befindet, in dem es hinterlassen wurde: Ein Container, den inzwischen jemand von Hand gestartet hat, bleibt unberührt, und eine Ressource, die bereits vorher gestoppt war, bleibt gestoppt. Routen kehren zu ihrem eigenen Wartungszustand zurück.

Kill Switch

Der Kill Switch ist für einen Sicherheitsvorfall gedacht: Er trennt den gesamten Datenverkehr zur und von der App und behält dabei jede Ressource und ihre Daten unverändert bei. Isolate app öffnet einen Dialog mit dem Geltungsbereich und den Änderungen. Geben Sie zur Bestätigung den Namen der App ein.

Während der Isolation:

• zeigt jede Route des Geltungsbereichs und jede Route außerhalb der App, die an einen ihrer Workloads weiterleitet, die Wartungsseite; kein Wartungs-Zugangscode funktioniert;
• werden Container-Links, Datenbank- und Speicherverbindungen sowie Secure Links der Workloads der App getrennt;
• verlieren Container und Compose-Dienste den Netzwerkzugriff; ein Container im Host-Netzwerk wird stattdessen gestoppt;
• werden direkte Datenbank- und Speicherports geschlossen;
• bleiben die Daten unverändert.

Die App zeigt Isolated, und jede ihrer Ressourcen zeigt auf ihrer eigenen Seite einen Hinweis. Isolierte Ressourcen sind eingefroren: Neuerstellen, Aktualisieren, das Ändern von Umgebungsvariablen oder Netzwerken, Bereitstellen, das Anwenden von Compose, Migrieren, das Erstellen von Verbindungen, das Bearbeiten von Routen und das Verschieben von Ressourcen in die oder aus der Umgebung werden abgelehnt. Stoppen, Starten, Neustarten, Logs, Konsole und Löschen funktionieren weiterhin.

Turn off hebt den Kill Switch auf und stellt alles Eintrag für Eintrag in den vorherigen Zustand zurück: dieselben Netzwerke mit denselben Adressen und Aliasen, dieselben Verbindungen, Routen und Ports. Eine inzwischen gelöschte Ressource wird übersprungen. Ein Node, der während der Aufhebung offline ist, wird wiederhergestellt, sobald er sich erneut verbindet. Schlägt ein Schritt fehl, führt der Hinweis ihn auf, und Opfield versucht es weiter.

Die Netzwerkisolation von Containern erfordert auf dem Node einen Docker-Daemon ab 2.12. Bei einem älteren Daemon schlägt dieser Eintrag mit der Aufforderung fehl, den Node zu aktualisieren, und der Rest des Kill Switch gilt trotzdem.

Wissenswertes

• Ein isolierter Geltungsbereich kann nicht heruntergefahren werden; schalten Sie zuerst den Kill Switch aus.
• Eine App oder Umgebung kann nicht gelöscht werden, solange sie heruntergefahren oder isoliert ist.
• Herunterfahren, Starten, Isolation und Aufhebung werden im Audit-Log und auf der Registerkarte Activity der App erfasst.
• Über die API und MCP: POST /api/apps/{id}/shutdown, /start, /isolation und DELETE /api/apps/{id}/isolation; MCP manage_app_incident mit shutdown, start, isolate, release und status.