ServiceNow-Integration
OpenFactory enthält standardmäßig deaktivierte ServiceNow-Integrationsmodule für Change Management, CMDB, Incident Management, Event Management und GRC-Evidenz-Lieferung. Jedes Modul und jeder automatische Hook muss explizit aktiviert werden.
Das ist eine Operator-Integration, kein Image-Feature. Das Hinzufügen des Build-Features
servicenow betrifft Software im Image und konfiguriert nicht die hier beschriebene
Control-Plane-Integration.
Voraussetzungen
- genehmigte ServiceNow-Instanz und OAuth-Client;
- dedizierter Least-Privilege-Service-Account/Application;
- ausgehender Netzwerkzugriff auf die erwartete Instanz beschränkt;
- explizites Mapping für Tabellen, Felder, States, Assignment und Ownership;
- stabiler Platform-Settings-Verschlüsselungsschlüssel; und
- Nicht-Produktions-ServiceNow-Umgebung für Abnahmetests.
Das Client-Secret ist Fernet-verschlüsselt in gespeicherten Platform Settings und fehlt in normalen Responses. Wechselt oder geht der Platform-Verschlüsselungsschlüssel verloren, kann das gespeicherte Secret nicht entschlüsselt werden und muss ersetzt werden.
Schichtweise konfigurieren
- Instanz-URL, Client-ID und Secret über Admin-Integration-Settings setzen.
- Integration-Health-Check ausführen und jedes Einzelcheck-Ergebnis behalten.
- Ein Modul ohne automatische Hooks aktivieren.
- Dessen manuellen Endpoint gegen einen Test-Record ausführen.
- Resultierenden ServiceNow-Record, OpenFactory-Link, Idempotenz und Fehlerverhalten prüfen.
- Einen automatischen Hook aktivieren und den Test wiederholen.
Aktivieren Sie nie alle Hooks als ersten Integrationstest.
Module
| Modul | Aktuelle Oberfläche | Wichtige Grenze |
|---|---|---|
| Change Management | Manuelle Change-Request-Erstellung/Status-Refresh, Polling oder Webhook-Approval-Updates, Live-Deploy-Gate | Ein verlinkter Request bedeutet nicht, dass ein Approval eingegangen ist; mappen Sie States und Rejection-Verhalten explizit. |
| CMDB | Manuelle Machine-Sync/Retire plus Fleet-Snapshots und Diffs | Ein erfolgreicher API-Write beweist keine CI-Reconciliation oder Relationship-Vollständigkeit. |
| Incident Management | Manuelle Incidents und optionale Drift-, Attestation- oder CVE-Hooks; begrenzte Feedback-Aktionen | Eingehende Webhooks müssen authentifiziert sein und jede Aktion separat autorisiert. |
| Event Management | Gepufferte/manuelle Event-Lieferung und ausgewählte Build/Live-State-Hooks | Puffer sind kein garantiertes Audit-Log; Delivery, Verlust, Duplikate und Retry-Verhalten überwachen. |
| GRC | Build-Test-/Attestation-Evidenz-Push mit konfigurierbarem Mapping | Technische Ergebnisse sind Evidenz, kein automatischer Control- oder Compliance-Schluss. |
Alle Modul-Settings und operativen Endpoints sind Administrator-Oberflächen, sofern ein Endpoint keinen engeren internen Consumer dokumentiert.
Approval-Sicherheit
Bevor ServiceNow Deployments gated, testen:
- approved, rejected, canceled, expired, unknown und unreachable States;
- doppelte Webhooks und out-of-order Updates;
- HMAC-Validierung, wo konfiguriert;
- Polling-Recovery nach verpassten Webhooks;
- fail-closed Verhalten, wenn Policy Approval verlangt; und
- Operator-Recovery-Pfad, der die accountable Entscheidung nicht still umgeht.
Behalten Sie OpenFactory Build/Deploy-ID und ServiceNow sys_id/Nummer zusammen.
Operativer Nachweis
Überwachen Sie Integration-Health-Endpoint, modulspezifischen Recent Status, Background-Task-Logs, Puffer-Tiefe, fehlgeschlagene Deliveries, stale Lifecycle-Findings und Secrets/Key-Rotation. Ein grüner Connection-Test beweist nur die Checks, die er zu diesem Zeitpunkt ausführte.
Nutzen Sie Sandbox-Instanz und synthetische Records für Abnahme. Prüfen Sie exakte ServiceNow-ACLs, Business Rules, Data Residency, Retention und Licensing mit dem Instanz-Owner vor Produktiv-Aktivierung.