摘要

  • draft-ietf-ivy-entitlement-inventory-05 提出一套只读 YANG 模型，用来描述软件权利、设备能力及限制；它仍是活跃的互联网草案，不是 RFC，也不是部署报告。
  • 草案中的 installed entitlement 既可能表示设备本地已经激活，也可能只是中央系统把权利逻辑分配给某项资产。因此，字段来源本身就是事实的一部分。
  • allowed、in-use 与实际服务执行是三类不同证据。清单能把它们放进一张图，却不能替它们相互作证。

假设两个系统都返回同一句话：权利 ent-47 已安装在路由器 r9 上。第一个系统的依据是设备本身：许可证已下发、被验证，并从本地状态中读出。第二个系统的依据是资产数据库：r9 被分配了这项权利，但设备依赖外部商业协议，甚至从未保存过许可证。两条记录长得一样，执行层含义却完全不同。

这种差异并非对草案的外部想象。修订版 05 的范围部分明确说，所谓“已安装权利”是分配给特定网络资产的权利；安装动作可以是直接向设备或组件配置，也可以只是中央系统中的逻辑分配。术语部分又把它描述为已在网络设备本地激活、可供该设备能力使用的权利。与其把这视为文字矛盾，不如把它视为一个设计事实：一个可移植字段覆盖了多条证据路径。

草案列出的三种部署模式进一步说明了这一点。权利可以在设备本地安装并执行；可以驻留在外部许可证服务器，由设备动态查询；也可以仅存在于商业协议中，合规检查完全发生在设备之外，设备甚至不知道该权利。网络设备、许可证服务和汇聚监控系统都可能输出同一棵模型树的一部分，但任何一个来源都不天然拥有全部真相。

模型因此被设计成允许不完整实现。第一级只列出组织拥有或管理的权利；第二级把权利映射到资产；第三级报告资产能力；第四级建立能力与支撑权利的联系，并增加 allowed 与 in-use；第五级再表达全局限制和能力级限制，例如安装数量、吞吐量或连接数。

这五级不是成熟度奖章，而是回答问题的边界。第一级能回答“组织有什么”，不能回答“哪台设备收到什么”。第二级完成资产分配，仍不能证明设备能做什么。第三级列出能力，却未说明哪项权利支持它。第四级建立许可关系，第五级才补上数量与使用限制。消费者若把一个二级实现渲染成完整的五级事实，就是在替数据生产者编造证据。

presence container 用来表达“本系统能够报告这一部分”。容器缺失意味着系统无法报告，不等于现实中不存在相关权利、能力或限制。这里最容易发生自动化事故：把缺失改写为 false，可能停掉原本可用的能力；把缺失改写为 true，可能让没有充分证据的工作继续执行。准确的状态往往是“未知”。

即使到了第四级，两个布尔值也不能被过度解释。某项能力依赖多个权利时，allowed 应反映所有必要权利的合并结果；只要有一项缺失、过期或被撤销，它就应为假。in-use 则报告能力是否处于运行状态。但它们仍只是只读清单里的报告值，不是配置事务、激活命令、独立遥测轨迹，更不是证明客户服务成功的不可变凭据。

草案自己已经预设各层可能发生分叉。它要求实现者检测中央权利记录、本地已安装权利与实际能力使用之间的不一致。若三者可以互相替代，就不需要同步检查。模型真正的价值，正是允许运营者同时看到三种陈述，而不是强迫它们合并成一个绿色状态灯。

能力名称还有另一层不确定性。能力粒度由厂商决定：一方可以只给出笼统的 Advanced Services，另一方则分别列出 MPLS、BGP 与 QoS。因此，allowed: true 必须与能力定义、厂商语义和资产范围一起读取。统一模型规范的是关系，不是所有厂商的商业功能边界。

当前草案不负责自动发现。权利关系可以由许可证服务器预置、由设备管理接口报告，也可以由资产盘点人员手工录入。到期通知也不在范围内：模型只暴露日期，另一个系统必须负责发现临近到期并真正发送告警。日期不是告警送达凭据，分配也不是本地激活凭据。

安全章节给出了同样的边界。NETCONF 或 RESTCONF 可以在受保护会话中传输数据，NACM 可以限制谁有权读取敏感的合同、目录和能力信息。这些机制保护的是报告的访问路径，不证明外部许可证服务器或资产平台写入的状态正确。草案明确警告，若外部通道被攻击者利用，虚假状态可以让能力看起来被允许或被限制，而实际组织权利并非如此。

标准状态也必须被准确描述。修订版 05 日期为 2026 年 9 月 29 日，目标是标准轨道，但它仍是互联网草案。YANG 结构、校验结果或未来的注册条目可以建立共同词汇，却不能证明 IETF 已批准、厂商已实现、数据完整且新鲜，或某个具体网络正处于该状态。

这份草案的价值不是消灭不确定性，而是给不确定性一个明确位置。组织目录、资产分配、本地激活、允许状态、报告中的使用、限制与实际运行都可以成为独立陈述。真正的运营错误，发生在仪表盘把这些层压成一个写着“已许可”的绿色勾号时。

来源