Zusammenfassung

  • RFC 9922 stellt wiederverwendbare YANG-Typen und Groupings für zeitbasierte Zeitpläne bereit. enabled, last-occurrence und upcoming-occurrence beschreiben den Zustand eines Zeitplans, nicht den Beleg einer durchgeführten Aktion.
  • Der Standard trifft keine Annahme über die ausgelöste Aktion und behandelt die Erkennung oder Auflösung von Terminkonflikten nicht. Lokale Autorisierung, Aufruf, Ausführung, Kompensation und Wirkungsnachweis müssen getrennt erhalten bleiben.

Die Kontrollfrage klingt klein: Was genau bestätigt die Zeile im Wartungsbericht? Dort stehen eine bekannte Version, ein aktivierter Wiederholungsplan, ein letzter Termin und ein nächster Termin. Damit lässt sich begründet sagen, dass ein Host eine bestimmte Zeitregel darstellt. Wer daraus „die Änderung ist erfolgt“ macht, fügt Informationen hinzu, die in der Zeile nicht stehen.

Dieses Hinzufügen ist in ruhigen Zeiten verlockend. Ein einzelner Status senkt den Erklärungsaufwand. In einer Störung wird er zum Problem: Es fehlt dann der Nachweis, welcher Verbraucher den Zeitplan an welche Aktion band, welcher Principal welchen Umfang beantragte, welche Richtlinie den Aufruf entschied, welches Ziel antwortete und ob der versprochene Dienstzustand tatsächlich beobachtet wurde.

RFC 9922 verhindert gerade diese Verkürzung nicht durch mehr Prozessvorgaben, sondern durch eine klare Begrenzung. Das IETF-Dokument definiert gemeinsame YANG-Typen und Groupings für Zeitpläne von Ereignissen, Policies, Diensten oder Ressourcen. Es macht grundlegende Wiederholungen, UTC- und Zeitzonenformen, Periodenlisten und aus iCalendar abgeleitete Regeln austauschbar. Der gemeinsame Baustein schafft ein verständliches „wann“. Er legt nicht fest, welches „was“ ein anderes Modul daran knüpft.

Zustand lesen, ohne einen Vollzug hineinzulesen

Die Groupings von schedule-status können Zustand, Version, Zeitplantyp, lokale Hostzeit, letztes Update, Wiederholungszähler, letztes Vorkommnis, nächstes Vorkommnis, letztes fehlgeschlagenes Vorkommnis und Fehlerzähler enthalten. Das sind brauchbare Beobachtungen. Ihre Reichweite endet jedoch dort, wo der konkrete Auftrags- und Vollzugsweg beginnt.

Bei einer Wiederholung ist upcoming-occurrence nur verfügbar, wenn der Zustand aktiviert ist. Das Feld zeigt, dass der Host nach der dargestellten Regel ein nächstes Vorkommnis berechnet hat. Es belegt weder, dass der Ausführer verfügbar sein wird, noch dass Ressourcen frei bleiben, ein Aufruf genehmigt wird, das Ziel ihn akzeptiert oder der beabsichtigte Zustand entsteht. last-occurrence verweist auf ein früheres geplantes Vorkommnis; es ist bewusst von last-failed-occurrence getrennt. Keines von beiden trägt eine unveränderliche Aktionskennung, eine Zielantwort, einen Rückrollstatus oder eine unabhängige Wirkungsbeobachtung.

Auch die Modulstruktur zieht eine Grenze. ietf-schedule definiert selbst Identitäten, Typen und Groupings, aber keine beschreibbaren Datenknoten, keinen nur lesbaren Zustand und keine RPCs. Es ist kein Aktor für Routen, Konfigurationen, Bandbreite, Schlüssel oder Tickets. Ein Modul, das das Vokabular nutzt, muss den Anwendungszusammenhang und seine Sicherheitsfolgen selbst liefern.

RFC 9922 sagt ausdrücklich, dass es die Art durch Zeitpläne ausgelöster Aktionen nicht annimmt; Erkennung und Auflösung von Zeitplankonflikten liegen außerhalb seines Geltungsbereichs. Das ist keine Lücke, die eine Oberfläche durch Vermutung schließen darf. Wenn zwei Fenster konkurrieren, eine Notfallausnahme gilt oder ein Dienst Vorrang erhält, handelt es sich um lokale Entscheidungen dort, wo die Verantwortung für Schaden und Abwägung liegt.

Ein Zeitwert ist erst der erste von vier Nachweissträngen

Wer eine geplante Änderung als erfolgt bezeichnen will, braucht mindestens vier unterscheidbare Stränge. Erstens die Zeitdefinition: Regel, Version, Ausnahmen, Zeitzone, Zeitquelle und errechnetes Vorkommnis. Zweitens die Autorisierungsentscheidung: Identität, beantragter Umfang, zum Aufrufzeitpunkt geltende Policy und deren Ergebnis. Drittens den Ausführungsbeleg: unveränderliche Aktions-ID, Ziel, Beginn, Ende, Antwort oder Fehler sowie Rücknahme oder Kompensation. Viertens den Wirkungsbeleg: eine vom Planer und der Antwort unabhängige Beobachtung des angekündigten Ressourcen- oder Dienstzustands.

Jeder Strang kann zutreffen, ohne den nächsten zu erzeugen. Eine schlechte Zeitsynchronisation berechnet einen falschen Intervallzeitpunkt. Der Plan kann aktiviert bleiben, während der aufrufende Worker ausfällt. Eine lokale Policy kann den pünktlich eintreffenden Aufruf ablehnen. Ein Ziel kann eine Anfrage bestätigen und eine spätere Validierung kann trotzdem den gewünschten Zustand verwerfen. RFC 9922 warnt deshalb vor ungenauer Zeit, übermäßig häufigen Wiederholungen, die Anomalien im Erwarteten verstecken, und fehlenden detaillierten Auslöse- und Ergebnisprotokollen.

RFC 8413 macht die gleiche Trennung in einem benachbarten Rahmen sichtbar. Ein geplanter Ressourcenstand kann eine künftige LSP-Berechnung unterstützen; bei der Anforderung ist die Verfügbarkeit jedoch nur best effort, die Betreiber-Policy kann die Berechnung ablehnen, und spätere Instanziierung und Signalisierung sind eigene Schritte. Das ist keine Umsetzung von RFC 9922, sondern ein konkretes Gegenmittel gegen die Gleichsetzung von Planung, Policy und verwirklichtem Zustand.

Eine geschützte Managementsitzung schließt die Lücke ebenfalls nicht. RFC 9922 erwartet sicheren Transport und gegenseitige Authentisierung für YANG-Management. RFC 8341 NACM kontrolliert den Zugriff auf Operationen, Daten, Aktionen und Benachrichtigungen jeweils getrennt. Eine Sitzung, die einen Zeitplan lesen darf, hat damit keine pauschale Aktionsbefugnis; eine erlaubte Protokolloperation ist kein universeller Wirkungsnachweis.

Heng Lus Vorrang des laufenden Codes liefert die nützliche Führungsperspektive. Modell, Dashboard und Statuslabel gehören zur Darstellungsschicht. Operative Wirklichkeit entsteht erst im Pfad, der die richtige Zeit bewertet, beim Aufruf die lokale Policy prüft, eine Aktions-ID bis zum Ziel trägt, die Antwort festhält und die Wirkung kontrolliert. Eine dünne gemeinsame Schicht ist belastbar, wenn niemand sie in einen erfundenen Vollzugsbericht verwandelt.

Quellen