Capítulo 27 — Implantação e validação
Mapa da aula
Aula 27 publicada. Mapa, exemplo, EX053.
flowchart TD
N0["27.1 Etapas e gates"]
N1["27.2 Validação em produção"]
N2["27.3 Exceções"]
N3["27.4 Encerramento"]
N4["27.5 Caso resolvido"]
N5["27.6 Atividade prática"]
N6["27.7 Congelamento de mudanças e calendário"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX053"]
Desenho lógico
flowchart LR
N0["27.1 Etapas e gates"]
N1["27.2 Validação em produção"]
N2["27.3 Exceções"]
N3["27.4 Encerramento"]
N4["27.5 Caso resolvido"]
N5["27.6 Atividade prática"]
N6["27.7 Congelamento de mudanças e calendário"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX053"]
[27.1 Etapas e gates]
|
v
[27.2 Validação em produção]
|
v
[27.3 Exceções]
|
v
[27.4 Encerramento]
|
v
[27.5 Caso resolvido]
|
v
[27.6 Atividade prática]
|
v
[27.7 Congelamento de mudanças e calendário]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX053]
Objetivos de aprendizagem
Você vai (1) planejar a implantação em produção com etapas, gates e reversão; (2) validar o comportamento de ponta a ponta em produção; (3) lidar com as exceções durante a implantação; e (4) encerrar uma implantação com evidências.
27.1 Etapas e gates
Etapa 1: listener canário ou 1 % do tráfego; etapa 2: 10 %; etapa 3: todos os listeners de nível 1; etapa 4: os listeners restantes. Gates: limite superior da taxa de falhas dentro do orçamento, recuo dentro do esperado, nenhum alerta sem explicação, runbooks prontos. Cada etapa tem uma duração mínima que cobre os padrões semanais.
As etapas da KLS duram pelo menos sete dias, para que os jobs semanais em lote e os envios dos parceiros sejam incluídos. Cada gate é verificado por alguém de fora da equipe que implanta e registrado com os seus números, por exemplo o limite superior de Wilson e a fração de recuo no fim da etapa.
27.2 Validação em produção
Valide com clientes sintéticos em cada região e com os logs de negociação de produção; confirme cada segmento dos fluxos de nível 1. Faça amostragens de certificados e configurações de forma independente da equipe que implanta.
A KLS executa clientes sintéticos a partir de cinco regiões a cada 15 minutos, cada um registrando o grupo negociado na borda da CDN, enquanto os logs da origem mostram o grupo no salto seguinte. Um engenheiro de outra equipe faz a amostragem de dez listeners por etapa, comparando o hash do perfil em produção e o algoritmo do certificado com o inventário. As discordâncias interrompem a etapa até serem explicadas.
27.3 Exceções
Quando uma população de clientes não consegue lidar com a mudança — um proxy antigo, o cliente de um parceiro —, crie uma exceção: escopo, motivo, controle compensatório, dono, data de expiração. Encaminhe a população para um listener compatível com o clássico, se necessário, em vez de enfraquecer o padrão.
Um listener dedicado mantém o perfil padrão intacto para todos os demais: a população da exceção é encaminhada por faixa de endereços para um listener que ainda aceita apenas o X25519, com o seu próprio monitoramento. A data de expiração da exceção é imposta pelo arquivo de exceções do gate de CI, de modo que a configuração do listener reprova no gate quando a data passa.
27.4 Encerramento
Encerre a implantação com um pacote de evidências: as etapas e os resultados dos gates, os resultados da validação, as exceções, o risco residual e o aceite da passagem.
O pacote de encerramento da KLS é uma pasta no registro da mudança com a tabela de etapas, os números de cada gate, os resultados da validação regional, a lista de exceções, as entradas de risco residual e o aceite assinado da passagem pelo SRE. A implantação só é encerrada quando cada item tem um link para a sua evidência. Qualquer pendência vai para um chamado de acompanhamento nomeado, em vez de manter a mudança aberta indefinidamente.
27.5 Caso resolvido
A KLS implanta o kls-modern em todos os listeners voltados para a internet. A etapa 2 mostra o proxy corporativo de um cliente falhando; é criada uma exceção com um listener dedicado para a faixa de IPs desse cliente, expiração em seis meses, cliente avisado. A etapa 3 passa; a validação a partir de cinco regiões mostra o híbrido na borda e na origem. Pacote de encerramento arquivado; risco residual: certificados clássicos.
A exceção manteve o cliente funcionando sem enfraquecer o perfil de mais ninguém, e o cliente recebeu o endpoint de teste para que a atualização do seu proxy pudesse ser verificada antes da expiração. O pacote de encerramento registrou os certificados clássicos restantes como o próximo item do programa.
27.6 Atividade prática
Escreva um plano de implantação com etapas, gates, reversão e processo de exceção para o fluxo do seu ateliê.
Escreva as etapas com a fração de tráfego e a duração mínima; os gates de cada uma, com os limites e a fonte dos dados; a reversão de cada etapa e quanto tempo ela leva; e o processo de exceção, com os campos de que um registro de exceção precisa. Acrescente quem verifica cada gate e como o resultado é registrado. Declare a restrição de calendário do seu fluxo, como evitar o lote de fim de mês de um parceiro no SFTP. Um revisor deve conseguir executar o seu plano sem precisar lhe fazer nenhuma pergunta.
27.7 Congelamento de mudanças e calendário
Evite implantar mudanças criptográficas logo antes dos períodos de pico do negócio — para uma plataforma de logística, os picos de embarque de fim de trimestre — ou durante outras grandes mudanças, porque mudanças sobrepostas tornam as falhas difíceis de atribuir. Agende as etapas quando a equipe responsável estiver com pessoal para acompanhar os painéis, e registre o calendário planejado e o real no pacote de encerramento.
A KLS congela as mudanças criptográficas nas duas últimas semanas de cada trimestre e evita as semanas com atualizações da plataforma.
Na KLS, isso também significa nenhuma mudança no SFTP nos primeiros dias do mês, quando os parceiros fazem os seus maiores envios. Os horários planejados e reais são comparados no pacote de encerramento, e qualquer etapa que atrasou explica o porquê.
27.8 Erros comuns e limites
- Enfraquecer o padrão para acomodar um único cliente.
- Etapas mais curtas do que os ciclos semanais.
- Implantações encerradas sem evidências de validação.
Durante a implantação da KLS, um engenheiro sugeriu tirar o grupo híbrido do perfil padrão para resolver o proxy daquele cliente; o listener dedicado resolveu o problema sem expor todos os outros clientes. Uma etapa planejada para três dias teria perdido o lote semanal dos parceiros que depois produziu as únicas falhas no SFTP. E um encerramento antecipado não tinha validação regional, então uma região da CDN ainda clássica até a origem passou despercebida até que os clientes sintéticos fossem acrescentados.
Exercícios
- EX053 — Lista de gates. Escreva quatro gates para a etapa 3. Rubrica: 3 = gates mensuráveis, com limites.
- EX054 — Exceção. Escreva o registro de exceção para o proxy do cliente do caso resolvido deste capítulo. Rubrica: 3 = escopo, motivo, controle compensatório, dono, data de expiração.
Síntese
A implantação em etapas, com gates, validação em produção, exceções contidas e um encerramento baseado em evidências, entrega a proteção pós-quântica sem enfraquecer os padrões.
Continue estudando — capítulo 27 de 30
← Capítulo 26 · Índice de capítulos do curso · Capítulo 28 →
Siga para a próxima lição escrita.