Compliance 模块管理
启用框架评估、检查缺口、创建关联规则、记录 attestation 并导出证据。
Compliance 模块评估 AIFW 安装中可证明的技术控制。它读取当前规则配置，评估选定框架，记录缺口和 attestation，并生成证据报告。
该模块与规则引擎分离：规则引擎执行流量策略，Compliance 评估配置并报告结果。合规缺口不是流量判定。
此模块不构成法律建议或认证，也不替代组织控制。请查看框架原始来源并向合格专业人员确认适用性。
启用模块
打开 AI Firewall -> Agent Config -> Compliance。关闭时不运行评估或计划任务，侧栏隐藏 Compliance。
| 设置 | 默认值 | 含义 |
|---|---|---|
| Enable the compliance module | Off | 开启评估和证据生成。 |
| Frameworks | 未选择 | 选择要评估的框架，逗号分隔存储。 |
| Report schedule | weekly | off、daily、weekly、monthly。 |
| Assessment interval | 1440 分钟 | 范围 15-10080 分钟。 |
| Evidence retention | 部署设置 | UI 接受 30-3650 天。 |
| Raise drift events | 部署设置 | 规则影响已评估控制时记录事件。 |
| Attestation expiry | 部署设置 | 手动 attestation 的有效期，1-3650 天。 |
查看 Compliance 页面#
启用后从侧栏打开 Compliance。页面显示管理框架、评估控制、开放缺口和姿态分数；首次评估前为 Not measured。使用 Run assessment 评估所选范围。空状态不代表通过。
管理框架和控制
框架表显示状态、控制数、缺口和分数，可用 Enable/Disable 调整范围。控制表支持 Status、Severity 和 Mandatory 筛选。每个控制展示要求、严重性、状态、关联规则、attestation 和证据。规则缺失或关闭视为缺口。
创建并关联规则
如果框架提供 rule pack，选 Control、Template，输入 Pattern or keywords 并选择 Create and link。模块填入方向、操作和严重性；生产使用前请检查模式。
Attestation#
需要人工声明时使用 Attest，记录依据、责任人、到期日和可选备注。失效时用 Withdraw；过期或撤回不算已证明控制。
评估结果
| 结果 | 含义 |
|---|---|
| Compliant | 控制通过检查。 |
| Unknown | 无法验证配置或身份覆盖。 |
| GapMissing | 缺少预期规则/控制。 |
| GapDisabled | 规则已禁用。 |
| GapMisconfigured | 配置不符合预期。 |
| AttestationExpired | 所需 attestation 已过期。 |
无法读取规则清单为 unknown，不视为空清单。
证据与 drift#
每个框架可导出 JSON/CSV 证据，包括控制和规则状态、设置及清单信息，不含 prompts/responses 内容。启用 Raise drift events 后，规则变化会记录受影响控制、变更及 actor；修复后重新评估。
A2A 身份前提#
身份控制需要认证 Agent 流量。若 a2a_auth_mode 为 off，页面标记 UNKNOWN 并说明前提。在 AI Firewall -> Agent Config -> Access & Identity 启用 A2A 认证。