キャプチャ

キャプチャは証拠の境界です。選択したワークロードのソケットのライフサイクルイベントと順序付けられたペイロード断片を観測しますが、それらをそのままアプリケーションの操作だとは扱いません。

ワークロードを選択する

公開されている record コマンドは 3 つの scope に対応します。

chronicle record -- ./my-app
chronicle record --pid 12345
chronicle record --cgroup /sys/fs/cgroup/my-service

command mode はコマンドを監視します。PID mode と cgroup mode は既存のワークロードを観測するだけで、終了させません。--name で記録に安定した人間向けの名前を付け、--duration で短い上限付きの期間を指定できます。

境界を越えるデータ

Linux アダプターは Aya と kernel ABI の詳細を非公開に保ちます。アプリケーション層が受け取るのは、ソケットの identity、エンドポイントの証拠、方向、ペイロード断片を含む正規化されたキャプチャイベントです。エンドポイント情報のないペイロード断片を解釈する前に、エンドポイントと active/passive role の証拠が到着します。

現在、HTTP/1.1 decoder に利用できるのは平文 TCP payload だけです。TLS 暗号文は解釈できません。キャプチャの欠損は時間範囲を持つ loss evidence として表現され、曖昧な欠損をまたいで完全な操作を作り出すことはありません。

なぜ計測コードが不要なのか

Chronicle はコマンド、プロセス、または cgroup の外側から接続します。アプリケーションに Chronicle SDK の呼び出し、パッチ、専用モードでの再起動、プロトコル固有のテストフックを追加する必要はありません。これにより本番統合を小さく保ちながら、正規化された証拠の境界を通じて fixture と eBPF キャプチャが同じ下流パイプラインを利用できます。

上限は契約の一部

明示的な duration を指定しない場合、記録はアプリケーションの終了または停止まで続きます。WAL の物理容量上限は epoch ごとに 4 GiB で、親 recording に合計上限はありません。キャプチャキューには上限があり、取り込めない証拠は黙って破棄せず、欠損として確認できるようにします。

次の境界については WAL、ETL、ローカルデプロイ を読んでください。