Операциялар жана башкаруу → Конфигурацияны текшерүү

Конфигурацияны текшерүү

1) Максаты жана баалуулугу

Конфигурациялардын аудити өзгөрүүлөрдүн далилденген жоопкерчилигин жана кайталанышын камсыз кылат: ким, качан жана эмнени өзгөрттү; эмнеге негиздүү; текшерилген; кантип түшүрүү керек. Бул инциденттердин, сырлардын ачыкка чыгуу, комплаенс жана "жашыруун" оңдоолордун бузулуу коркунучун азайтат.

• Бир чындык булагы (SoT) конфигурациялар үчүн.
• Толук өзгөрүүлөр (end-to-end).
• Алдын ала релиздер жана тез кайтаруу.
• Ченемдик талаптарга жана коопсуздук саясатына шайкештик.

2) камтуу аймагы

Инфраструктура: Terraform/Helm/Ansible/K8s манифесттери, ACL/WAF/CDN тармактары.
Прикладные конфиги: файлдар 'yaml/json/properties', фича-желектер, лимиттер/квоталар.
Сырлар жана ачкычтар: vault/kms, сертификаттар, токендер, сырсөздөр.
Маалымат пайплайндары: схемалар, трансформациялар, ETL/агымдардын графиктери.
Интеграциялар: PSP/KYC/провайдерлер, вебхактар, retry/timeout саясаты.
байкоо: Alert эрежелери, Dashboard, SLO/SLA.

3) Принциптер

Config as Data: декларативдик, версиялануучу, сыналуучу экспонаттар.
Иммутабелдүүлүк жана демпотенттүүлүк: коддон чөйрөнүн кайталануучулугу.
Схемалар жана келишимдер: катуу валидация (JSON-Schema/Protobuf), back/forward-шайкештиги.
Кол менен оңдоолорду минималдаштыруу: MR/PR аркылуу гана өзгөртүү.
Милдеттерди бөлүштүрүү (SoD) жана 4-eyes: Author! = деплоер; милдеттүү ревю.
Атрибуция жана кол тамгалар: коммиттердин/релиздердин кол тамгалары, артефакттарды аттестациялоо.

4) Аудит архитектурасы

1. SCM (Git) SoT сыяктуу: репозиторийдеги бардык конфигалар, 'main' бутагы корголгон.

• Config Registry (конфигурациялардын каталогу, ээлик кылуу, SLA, айлана-чөйрө),
• Schema Registry (конфигурациялардын/иш-чаралардын схемаларынын версиялары),
• Policy Engine (OPA/Conftest) - текшерүү топтому.
• 3. CI/CD-Гейтс: формат/схема → статикалык текшерүү → policy текшерүүлөр → жашыруун сканер → dry-run → өзгөртүү планы.
• 4. Delivery: GitOps (мисалы, ArgoCD/Flux) drift detector жана текшерүү колдонмолору менен.
• 5. Evidence Store: аудит артефакттарын сактоо (план, логи, кол тамгалар, билды, SBOM).
• 6. Иш журналы: өзгөрүлбөс журнал (append-only) окуялар 'CREATE/APPROVE/APPLY/ROLLBACK/ACCESS'.

5) Аудит маалыматтарынын модели (минималдуу)

Сущности: `ConfigItem(id, env, service, owner, schema_version, sensitivity)`

События: `change_id, actor, action, ts, diff_hash, reason, approvals[]`

Артефакты: `plan_url, test_report_url, policy_report, signature, release_tag`

Communications: RFC/TICATE, PR, deploy (sha), релиз-жазуу, SLO мониторинг.

6) Өзгөртүү процесси (аркылуу)

1. RFC/билети → максаты, тобокелдик, backout.
2. PR/MR → линтинг, схемалык валидация, policy-текшерүү, жашыруун сканерлөө.
3. План/алдын ала → dry-run/план, diff ресурстары, баа/таасир.
4. Approve (4-eyes/SoD, жогорку тобокелдик менен CAB белгиси).
5. Deploy (терезе/календар боюнча) → GitOps колдонот; drift-alerting кирет.
6. Текшерүү → smoke/SLO-gardrails, натыйжасын тастыктоо.
7. далилдерди архивдөө → evidence store; конфигурациялардын сөздүгүн жаңыртуу.

7) Саясаттар жана эрежелер (мисалдар)

SoD: PR жазуучу эмес.
Убакыт чектөө: "freeze" тышкары прод-деплой тыюу салынат.
Scope: сезимтал ачкычтарды өзгөртүү Security/Compliance тартып 2x Апруверс талап кылат.
Сырлар: реподо сактоого тыюу салынат; гана vault-жол шилтемелер + кирүү ролу.
Тармактар: ingress менен '0. 0. 0. 0/0 'убактылуу кошпогондо жана TTL жок тыюу салынат.
Alerty: CAB жок P1 критикалык азайтуу үчүн тыюу салынат.

8) Сырларды көзөмөлдөө

Vault/KMS сактоо, кыска TTL, автоматтык айлануу.
CI Secret scanning (ачкыч үлгүлөрү, жогорку-entropy).
Айлана-чөйрө/ролдор боюнча сырларды изоляциялоо; минималдуу зарыл артыкчылыктар.
Шифрлөө "зымда" жана "тынч"; Жашыруун аудит-логдор.

9) Инструменттер (өзгөрмөлүү)

Lint/Schema: `yamllint`, `jsonschema`, `ajv`, `cue`.
Policy: OPA/Conftest, Checkov/tfsec/kube-policies.
GitOps: ArgoCD/Flux (drift detection, audit, RBAC).
Secrets: HashiCorp Vault, cloud KMS, cert-менеджерлер.
Сканерлер: trufflehog, gitleaks (сырлар); OPA/Regula (эрежелер).
Отчеттуулук: DWH/BI журналдарды экспорттоо, окуя жана өзгөрүү системасы менен байланыш.

10) Эрежелердин жана артефакттардын мисалдары

JSON-чеги конфигурациясы үчүн

json
{
"$schema": "http://json-schema. org/draft-07/schema#",
"title": "limits",
"type": "object",
"required": ["service", "region", "rate_limit_qps"],
"properties": {
"service": {"type":"string", "pattern":"^[a-z0-9-]+$"},
"region": {"type":"string", "enum":["eu","us","latam","apac"]},
"rate_limit_qps": {"type":"integer","minimum":1,"maximum":5000},
"timeouts_ms": {"type":"integer","minimum":50,"maximum":10000}
},
"additionalProperties": false
}

Conftest/OPA (rego) - тыюу салуу '0. 0. 0. 0/0` в ingress

rego package policy. network

deny[msg] {
input. kind == "IngressRule"
input. cidr == "0. 0. 0. 0/0"
msg:= "Ingress 0. 0. 0. 0/0 is not allowed. Specify specific CIDRs or throw an exception with TTL"
}

Conftest/OPA - SoD

rego package policy. sod

deny[msg] {
input. env == "prod"
input. pr. author == input. pr. merger msg: = "SoD: PR author cannot hold in prod."
}

SQL (DWH) - ким бир айдын ичинде Алерт сындырууну төмөндөтүү

sql
SELECT actor, COUNT() AS cnt
FROM audit_events
WHERE action = 'ALERT_SEVERITY_CHANGED'
AND old_value = 'P1' AND new_value IN ('P2','P3')
AND ts >= date_trunc('month', now())
GROUP BY 1
ORDER BY cnt DESC;

Мисал Git commit message (милдеттүү талаалар)

feat(config/payments): raise PSP_B timeout to 800ms in EU

RFC: OPS-3421
Risk: Medium (PSP_B only, EU region)
Backout: revert PR + restore timeout=500ms
Tests: schema ok, conftest ok, e2e ok

11) Мониторинг жана алертинг

Drift Detect: ≠ Git → P1/P2 сигнал + auto-remediation (reconcile).
Жогорку тобокелдик өзгөртүү: тармактарды/сырларды/саясатты өзгөртүү - -ops #security эскертүү.
Missing evidence: план/кол/отчеттор жок деплой - блок же алерт.
Expired assets: күбөлүктөрдүн/ачкычтардын мөөнөтү → pro-активдүү алерталар.

12) Метрика жана KPI

Audit Coverage% - схемалардын/саясаттардын/сканерлердин астындагы конфигурациялардын үлүшү.
Drift MTTR - drift жоюу орточо убакыт.
Policy Compliance% - PR боюнча саясат өтүү.
Secrets Leak MTTR - агып/кайра чакыртып алуу.
Backout Rate - кайра өзгөрүүлөрдүн үлүшү.
Mean Change Size - саптар/ресурстар боюнча орточо дифф (азыраак - жакшыраак).

13) Отчеттуулук жана шайкештик

Аудиттин издери: сактоо ≥ 1-3 жыл (талаптар боюнча), өзгөрүлбөгөн сактоо.
Жөнгө салуучу: ISO 27001/27701, SOX сыяктуу SoD, GDPR (PII), тармактык талаптар (iGaming: GGR/NGR эсептөөлөрдүн өзгөрүшүн эсепке алуу, лимиттер, бонус эрежелери).
Айлык отчеттор: топ-өзгөрүүлөр, саясаттын бузулушу, дрейф, мөөнөтү өтүп бара жаткан сертификаттар, ротация статусу.

14) Playbook

A. Сууда сүзүү табылган

1. жабыр тарткан кызматы үчүн auto-deploy бөгөт коюу.
2. Учурдагы абалдын снапшотун алып салуу.
3. менен салыштыруу Git, баштоо 'reconcile' же артка.
4. P2 окуя түзүү, drift булагын көрсөтүү (кол кубектл/консол).
5. Коргоону күйгүзүү: түздөн-түз өзгөртүүгө тыюу салуу (PSP/ABAC), ээлерине кабарлоо.

B. Мөөнөтү өтүп кеткен PSP сертификаты

1. Резервдик/PSP жолуна өтүү, убакытты/ретрацияны төмөндөтүү.
2. PKI жараяны аркылуу жаңы күбөлүк чыгаруу, Git аркылуу жаңыртуу.
3. Smoke сыноо, трафикти кайтарып, окуяны жаап, пост-мортем өткөрүү.

C. жашыруун PR келди

1. Ачкычты/токенди чакыртып алуу, ротацияны колдонуу.
2. Тарыхты кайра жазуу/кэшден артефактты алып салуу, RCA уюштуруу.
3. Жашыруун сканерге эреже кошуу, команданы үйрөтүү.

15) Анти-үлгүлөрү

Кол түзөтүүлөр "прод" изи жок жана артка кайтарылат.
Конфиги схемалары жок жана валидациясы жок.
KMS/Vault жок Git/CI өзгөрмөлүү сырлар.
Monorepo барабар менен "дүйнөлүк супер-мыйзам".
"Дүлөй" GitOps drift-alerts жана колдонмо журналдары жок.
Чоң PR "баары жана бир эле учурда" - бүдөмүк атрибуция жана жогорку тобокелдик.

16) Чек-баракчалар

Перед мерге

• Схема жана линтерлер өттү
• OPA/Conftest саясаты "жашыл"
• Secret-scan - "таза"
• План/дифф тиркелген, тобокелдик бааланган, backout даяр
• 2 Апруа (прод) жана SoD сакталат

deploy алдында

• Релиз терезеси жана календары текшерилди
• Drift мониторинг активдүү
• SLO-Гардрейл орнотулган, smoke тесттер даяр

Ай сайын

• Графикке ылайык ачкычтарды/сертификаттарды айлантуу
• Ээлеринин жана укуктарынын инвентаризациясы
• ORA/өзгөчөлүктөр Review эрежелери (TTL)
• Playbook окуя сыноо (fire-drill)

17) Дизайн кеңештери

Өзгөрүүлөрдү майда диффтерге бөлүңүз; бир PR - бир максат.
RFC/тобокелдик/артка чегинүү менен милдеттүү PR/коммит шаблондору.
Динамикалык конфигурациялар үчүн аудит жана rollback менен "конфигурация борборлорун" колдонуңуз.
Схемаларды чыгаруу; көчүрүү жок breaking тыюу.
"Конфигурациялардын картасын" визуалдаштырыңыз: эмне, кайда, ким тарабынан башкарылат.

18) Өзгөрүүлөрдү жана инциденттерди башкаруу менен интеграциялоо

PR, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC, RFC.
Auto Privyazka Metrics (SLO/бизнес) чыгарылышка конфигурациялар.
Эски желектерди/өзгөчөлүктөрдү (TTL) алып салуу тапшырмаларын Auto түзүү.

19) Жыйынтык

Конфигурациялардын аудити - бул "кагаз отчеттуулугу" эмес, ишенимдүүлүктүн операциялык механизми: конфиги - маалыматтар, өзгөртүүлөр - контролдонуучу жана текшерилүүчү, сырлар - кулпу астында, ал эми бүткүл тарых - ачык-айкын жана текшерилүүгө мүмкүн. Ошентип, туруктуу, компленттүү жана алдын ала боло турган платформа курулат.