Короткий ответ
Регламент изменений Contoso — короткие правила, не ITIL-книга на 80 страниц. Любое изменение прод-контура: заявка, влияние, окно, согласование owner, rollback, запись кто/что/когда. Исключение — авария P1: сначала стабилизация, затем запись post-factum в тот же журнал.
Окно по умолчанию: например вторник–четверг 21:00–23:00 по локальному времени, не пятница 17:40. Владелец процесса — Иван Петров.
Симптомы и как отличить
Типичная картина:
- «я вчера в конфиге nginx поправил»;
- GPO поехала, никто не знает какая;
- firewall rule появилось без тикета;
- пользователи узнают об отключении 1С по факту.
Отличия:
| Явление | Другой процесс | Статья |
|---|---|---|
| Нет журнала вообще | учёт работ | журнал |
| Есть заявка, нет отката | rollback | rollback plan |
| Авария чинится без окна | инцидент | P1–P4 |
| Обращения в личку | канал заявок | мессенджеры |
Возможные причины
- Команда из одного человека: «зачем писать себе».
- Регламент скопировали из банка, никто не смог исполнить, забросили.
- Подрядчик правит по звонку директора в обход IT.
- Нет различия emergency vs standard.
- Нет владельцев сервисов — некому согласовывать.
- Редко: сознательный обход «чтобы быстрее».
Диагностика
Проверьте последнюю неделю фактов vs заявок.
- Журнал Windows: установки обновлений, перезагрузки.
Get-WinEvent -ComputerName 'FILE01.contoso.example' -FilterHashtable @{LogName='System'; Id=1074,6006,6005; StartTime=(Get-Date).AddDays(-7)} |
Select-Object TimeCreated, Id, Message -First 20- Linux:
sudo grep -E 'reload|restart|dpkg|apt' /var/log/apt/history.log /var/log/auth.log | tail
sudo journalctl --since '7 days ago' | grep -i 'Stopped\|Started nginx' | tail- Членство в админ-группах кто мог менять (не замена аудита, а круг подозреваемых):
Get-ADGroupMember -Identity 'Domain Admins' -Recursive |
Select-Object SamAccountName- Спросите: «покажи последние 5 изменений firewall». Нет тикетов — регламента нет, даже если в wiki есть страница «Change Management» 2021 года.
Решение
Три класса изменений
| Класс | Примеры | Согласование | Окно |
|---|---|---|---|
| Standard | смена пароля svc по чеклисту, новый DNS A для уже согласованного сайта | tech-owner, можно постфактум в тот же день | рабочее, низкий риск |
| Normal | патч FILE01, правило firewall, GPO | owner + Иван Петров, запись заранее | согласованное окно |
| Emergency | P1, дыра, компрометация | дежурный, owner уведомлён ASAP | сейчас |
Минимальный шаблон заявки на изменение
- ID (CHG-… или номер тикета)
- сервис и owner
- что меняем (узлы, команды смыслом, не роман)
- зачем
- риск и пользователей
- окно старт/стоп
- как проверить успех
- как откатиться (ссылка на rollback)
- исполнитель
Храните в том же канале, что обращения — иначе изменения снова уедут в чат.
Окно и коммуникации
Пользователям 1С — объявление за N часов (для Contoso часто 24 ч на normal, 0 на P1). Не обещайте «без простоя», если нужен рестарт NTDS.
Пятница: запрет normal на прод без письменного исключения owner. Патч, который «успеем до выходных», чаще всего откатывают в субботу.
Связь с журналом
Заявка ≠ выполнение. Факт пишите в журнал работ: время, вывод команд, проверка. Регламент без журнала — театр.
Практика первой недели в Contoso
Заведите в тикет-системе очередь change и три шаблона: standard, normal, emergency. Поле rollback обязательное у normal. Иван Петров в понедельник утром смотрит список CHG на неделю и вычёркивает пятничные normal без исключения owner. Подрядчику выдайте тот же шаблон: работы без номера CHG на DC01, FW01 и HV01 не принимаются, VPN подрядчика в это время можно не открывать.
Пример записи normal: «CHG-18, FILE01, KB-патч в окно 21:00–22:00, проверка SMB с двух ПК, откат — restore точки Daily-VMs не original». Emergency: «P1 нет LDAP, перезапуск Netlogon по журналу, запись post-factum через 40 минут». Если за неделю emergency больше двух — это не «гибкость», это сломанный прод, чините причину, а не плодите исключения.
Не смешивайте заявку пользователя «не печатает» с CHG на сервер печати. Первое — тикет, второе — изменение. Иначе регламент снова размажется по личке.
Как проверить, что проблема устранена
- Выборочные 10 прод-правок за месяц имеют ID изменения.
- Emergency имеют запись в течение рабочего дня после аварии.
- Owner 1С подтверждает, что его предупреждали об окне.
- Пятничных «тихо перезалил» нет в логах без CHG (или есть разбор, почему сорвались).
Метрика проще аудита: доля изменений с записью. Цель на старте — 80% normal, не 100% с первого дня.
Если не помогло
- Директор требует «сделать сразу»: оформляйте emergency с его именем в заявке. Скрывать не надо.
- Подрядчик не пишет тикеты: доступ только при наличии CHG, иначе VPN подрядчика режется — жёстко, но работает.
- Слишком много standard: расширьте каталог стандартных, не тащите всё в normal.
- Регламент есть, окна нет: люди будут ломать днём. Зафиксируйте слоты.
Профилактика
- Обзор изменений 15 минут раз в неделю (не комитет на час).
- Связка с SLA: плановые работы не маскируют под инциденты.
- Конфиги под VCS где возможно (firewall, nginx), diff = кандидат в CHG.
- Новый сотрудник читает одну страницу регламента в первый день.
FAQ
Нужен ли ITIL CAB?
Для SMB Contoso — еженедельный 15-минутный разбор Ивана Петрова и owner критичных сервисов. Полноценный CAB — когда объём изменений это оправдывает.
Изменение DNS — всегда normal?
Запись на новый стенд — standard. Смена MX/NS — normal с откатом.
Можно ли патчить DC без заявки, «это же безопасность»?
Нет. Это как раз high-risk normal или согласованное окно. Исключение — активно эксплуатируемая уязвимость = emergency с записью.
Что с автоматическими обновлениями Windows/Unattended-Upgrade?
Это тоже изменение. Либо запрещены на прод-серверах, либо оформлены как постоянное standard с известным окном и rollback (снимок/backup).
Кто имеет право emergency?
Дежурный из реестра доступов, не «кто оказался в чате».
Регламент на одну страницу — серьёзно?
Да. Одна страница, которую исполняют, лучше 40, которые игнорируют. Расширяйте по факту боли.