Capítulo 29 — Segurança quântica e pós-quântica: operações
Mapa da aula
Aula 29 publicada. Mapa, exemplo, EX057.
flowchart TD
N0["29.1 Implantação em estágios"]
N1["29.2 Atividade prática — Laboratório K"]
N2["29.3 Monitoramento"]
N3["29.4 Comunicação"]
N4["29.7 Rollback na prática"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX057"]
Desenho lógico
flowchart LR
N0["29.1 Implantação em estágios"]
N1["29.2 Atividade prática — Laboratório K"]
N2["29.3 Monitoramento"]
N3["29.4 Comunicação"]
N4["29.7 Rollback na prática"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX057"]
[29.1 Implantação em estágios]
|
v
[29.2 Atividade prática — Laboratório K]
|
v
[29.3 Monitoramento]
|
v
[29.4 Comunicação]
|
v
[29.7 Rollback na prática]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX057]
Objetivos de aprendizagem
Você vai (1) planejar uma implantação em estágios com canários; (2) usar limites de confiança nas decisões de promoção; (3) monitorar os algoritmos negociados na produção; e (4) coordenar a mudança com o help desk e os parceiros.
29.1 Implantação em estágios
As operações introduzem a mudança gradualmente: ativar um grupo híbrido para 1 % do tráfego, depois 10 %, depois todos, verificando em cada estágio que as taxas de falha ficam dentro de um orçamento acordado. Cada estágio tem uma duração longa o bastante para mostrar os padrões semanais e um responsável nomeado pela decisão.
O orçamento e as durações dos estágios são acordados antes de o primeiro estágio começar, para que a pressão para terminar não os mude no meio do caminho. A HCU define o seu orçamento em relação à taxa de falhas de referência medida no gateway antes de qualquer mudança, e trata um local com equipamentos incomuns como um estágio próprio, em vez de diluí-lo na média do resto.
29.2 Atividade prática — Laboratório K
# Lab K (ch 29): canary gate for enabling a hybrid group - promote only if failures stay within budget.
import math
def upper95(k, n): # Wilson upper bound
z = 1.96; p = k / n; d = 1 + z*z/n
return ((p + z*z/(2*n)) + z*math.sqrt(p*(1-p)/n + z*z/(4*n*n))) / d
baseline, budget = 5e-4, 4e-4 # baseline failure rate, allowed increase
for stage, k, n in [("1% canary", 3, 5000), ("10% canary", 28, 50000), ("10% canary (proxy site)", 96, 50000)]:
ub = upper95(k, n); ok = ub <= baseline + budget
print(f"{stage:24s} {k}/{n} upper95={ub:.5f} {'PROMOTE' if ok else 'HOLD'}")
Saída esperada:
1% canary 3/5000 upper95=0.00176 HOLD
10% canary 28/50000 upper95=0.00081 PROMOTE
10% canary (proxy site) 96/50000 upper95=0.00234 HOLD
A decisão usa o limite superior de confiança, e não a estimativa pontual. A estimativa pontual do primeiro canário é baixa, mas a amostra é pequena; o limite excede o orçamento, então a equipe espera mais dados. O canário do local com proxy mostra um problema real.
O segundo canário tem uma amostra maior, então o seu limite é estreito o bastante para promover. O terceiro tem o mesmo tamanho de amostra, mas mais falhas, e o seu limite fica bem acima do orçamento, então a equipe segura e investiga o local, em vez de esperar mais dados.
29.3 Monitoramento
O monitoramento da produção deve relatar os grupos de troca de chaves negociados por serviço e local, as parcelas de fallback, as falhas de handshake por tipo de erro e os erros de validação de certificados. Os alertas disparam quando o fallback excede os limiares. O atraso da medição importa: se os dados dos parceiros chegam mensalmente, as decisões de promoção dos fluxos de parceiros não podem ser semanais.
Os painéis devem separar os locais, para que um local com problema não desapareça numa média. O monitoramento da HCU relata a parcela de fallback de cada agência, e foi assim que o problema do proxy na sua implantação foi encontrado rapidamente. O fallback que cresce devagar também é um sinal de alerta.
29.4 Comunicação
Publique uma nota curta em cada estágio: o que mudou, o limite de falhas medido, as exceções conhecidas e a próxima data de decisão. A equipe do help desk que sabe que uma implantação híbrida chegou a um local encaminha rapidamente os chamados relacionados.
As notas são curtas e vão sempre para a mesma lista, para que a equipe saiba onde procurar. A HCU as envia aos gerentes das agências e ao help desk, e as guarda com o registro da implantação como parte da evidência do que mudou e quando. Quando um estágio é segurado, a nota diz isso claramente e dá o motivo, para que ninguém suponha que a implantação avançou em silêncio.
29.5 Exemplo resolvido
A HCU implanta a troca de chaves híbrida no seu gateway web. O estágio 1 (1 %, uma semana) é segurado porque o limite de confiança é largo; o estágio 1 prorrogado para duas semanas é promovido. O estágio 2, em 10 %, revela falhas elevadas vindas de uma agência com um proxy de inspeção legado; essa agência é excluída, o fornecedor do proxy é acionado e o resto prossegue. O monitoramento mostra 0,3 % de fallback depois da implantação completa, todo vindo de clientes antigos.
A agência excluída tem a sua própria data de saída, depois da qual é revista. A nota de cada estágio foi para o help desk no mesmo dia.
29.6 Erros comuns e limites
- Promover com base em estimativas pontuais de amostras pequenas.
- Monitorar apenas as falhas, e não o fallback.
- Mudar a configuração sem que o help desk saiba.
- Tirar a média de todos os locais juntos, de modo que um local com falhas fica escondido.
- Segurar um estágio sem registrar um motivo ou uma nova data de decisão.
- Deixar um local excluído sem responsável nem prazo, de modo que ele nunca volta à implantação.
- Definir o orçamento de falhas depois de ver os dados, e não antes.
Cada um desses transforma uma mudança medida e em estágios numa implantação que ninguém consegue explicar por completo depois.
29.7 Rollback na prática
Todo estágio precisa de um rollback ensaiado: a configuração exata a restaurar, quem pode acioná-lo e quanto tempo leva. Ensaie-o no laboratório antes do primeiro canário. Um rollback que nunca foi testado é uma esperança, e não um controle. Depois de um rollback, registre o que foi observado, guarde a evidência e decida se a causa foi o algoritmo, a implementação ou o ambiente antes de tentar de novo; a maioria dos rollbacks da primeira tentativa em implantações híbridas se deve a problemas do ambiente, como proxies antigos.
Exercícios
- EX057 — Regra de promoção. Explique por que o primeiro canário do Laboratório K é segurado, embora 3/5.000 = 0,06 % esteja abaixo do limiar de 0,09 %. Rubrica: 3 = o limite superior excede o orçamento por causa da amostra pequena.
- EX058 — Conjunto de monitoramento. Liste quatro métricas para monitorar uma implantação híbrida e a condição de alerta de uma delas. Rubrica: 3 = quatro métricas pertinentes, um alerta sensato.
Síntese
As implantações em estágios com portões baseados em limites de confiança, o monitoramento dos algoritmos negociados e uma comunicação clara transformam uma mudança arriscada numa mudança controlada.
Continue estudando — capítulo 29 de 40
← Capítulo 28 · Índice de capítulos do curso · Capítulo 30 →
Siga para a próxima lição escrita.