5.4Checklist de producción y certificaciones
Lo esencial en 30 segundos
- Ocho síes o no hay prod : tags inmutables, imágenes escaneadas y non-root, reinicio + healthchecks, volúmenes guardados y restauración probada, secretos fuera de git, un solo puerto publicado, logs con rotación, CI única fábrica.
- Solo se opera lo que se ve : métricas en directo, alertas antes que clientes, espacio disco vigilado — un disco lleno lo detiene todo.
- Tras esta guía : certificación Docker genérica primero (corona esta guía), certificación Kubernetes después si rumbo Kubernetes — con labs prácticos, con validación senior/DSI antes de toda prod real.
Mini-caso hilado — Idir audita antes de la prod
Último episodio : Idir, devops junior en Alger, debe poner en producción el stack de su estructura. En lugar de desplegar rápido, imprime la checklist y audita : un tag movedizo en prod, un secreto en el repositorio, ninguna copia probada, ningún monitoreo disco. Corrige un punto tras otro, prueba la restauración, saca los secretos del repositorio, activa la rotación de los logs — luego hace validar el conjunto por su referente senior antes de abrir la prod. Último episodio de los casos 5.1-5.3 — Idir cierra orquestación y producción con la auditoría.
Último episodio de los casos 5.1-5.3 — Idir corrige y hace validar antes de la prod.
1. La checklist antes de prod
Tags inmutables (nunca tag movedizo en prod), imágenes escaneadas y non-root, reinicio + healthchecks en cada servicio duradero, volúmenes guardados con restauración probada, secretos fuera de git (archivo de ejemplo versionado, valores reales en otro lado), un solo puerto publicado (el proxy), logs con rotación, Compose versionado, CI única fábrica de imágenes. Idir marca cada casilla : un solo «no» = no hay prod.
La checklist es una puerta, no un decorado : se corrige cada «no» uno por uno, con prueba, antes de abrir. Idir imprime la suya y la hace marcar de a dos.
2. Supervisar el mínimo vital
Métricas de los contenedores en directo, sondas de alerta (disponibilidad, disco), espacio disco vigilado : imágenes acumuladas, logs sin rotación y volúmenes huérfanos llenan los discos — un disco lleno lo detiene todo. Solo se opera bien lo que se ve : alertas antes que clientes.
Copias y escaneos automatizados (no manuales), restauración probada (una copia no probada no es una copia), rotación de los logs ajustada desde el Compose. Idir programa la alerta disco antes de la primera prod.
3. ¿Y después? Certificaciones y validación
De forma genérica : una certificación Docker valida esta guía (imágenes, redes, volúmenes, Compose, Swarm, seguridad), una certificación Kubernetes certifica el paso siguiente. Ambas se preparan con labs : repita cada nivel a ciegas, nunca empollando.
Y sobre todo : un junior no pone solo en producción — Idir hace validar su auditoría por su referente senior / la DSI antes de abrir la prod, con copias, secretos y monitoreo verificados. La práctica guiada supera al memorismo solitario.
🔎 Ejemplo concreto — La auditoría exprés del stack de Idir
Ocho casillas, cero excusa.
[ ] tags inmutables, nada de movedizo en prod
[ ] non-root + scan sin crítica
[ ] restart + healthcheck en cada duradero
[ ] volúmenes : copia + restauración probada
[ ] secretos fuera de git, ejemplo versionado
[ ] solo el proxy publica los puertos
[ ] logs con rotación, disco alerta
[ ] CI única fábrica, compose versionadoLectura : Idir marca cada casilla con prueba (test, log, restauración).
Lección : imprímala : es su puerta de salida hacia la prod.
Vocabulario de la sección
- Checklist prod
- Los ocho síes exigidos antes de toda puesta en producción.
Ejemplo sencillo: Idir rechaza la prod mientras una casilla esté en no.
Lo que no es: un despliegue «ya veremos» sin auditoría.
Reflejo: ¿tengo ocho síes probados antes de abrir?
- Rotación de logs
- El límite de tamaño y crecimiento de los diarios de contenedores.
Ejemplo sencillo: Idir ajusta tamaño máx y archivos máx en su Compose.
Lo que no es: diarios que crecen hasta el disco lleno.
Reflejo: ¿mis logs están acotados y vigilados?
- Supervisión
- Ver y alertar : métricas, sondas de dispo, espacio disco.
Ejemplo sencillo: Idir es alertado antes que los clientes cuando el disco se llena.
Lo que no es: descubrir el fallo por las llamadas clientes.
Reflejo: ¿soy alertado antes que mis usuarios?
- Copia probada
- Una copia cuya restauración se ha repetido con éxito.
Ejemplo sencillo: Idir restaura sus volúmenes en un sandbox antes de la prod.
Lo que no es: un archivo nunca repetido.
Reflejo: ¿he repetido mi restauración este mes?
- Validación senior
- La relectura de la auditoría por un referente antes de abrir la prod.
Ejemplo sencillo: Idir hace validar checklist, secretos y monitoreo por su senior.
Lo que no es: una puesta en prod solitaria de junior.
Reflejo: ¿quién ha releído y validado mi auditoría?
En la práctica — Auditar su stack
- Imprima la checklist y audite su stack actual.
- Corrija cada «no» uno por uno, con prueba.
- Pruebe copia + restauración, saque los secretos del repositorio.
- Haga validar por su referente senior / DSI, luego planifique la certificación con labs.
Guion listo para decir — pedir la validación antes de prod
«Antes de abrir la prod en Alger, aquí está mi auditoría : tags fijados, imágenes escaneadas non-root, healthchecks, copias con restauración probada, secretos fuera del repositorio, logs con rotación y monitoreo disco. Me quedan dos casillas por corregir — les propongo revisarlas juntos y validar la apertura una vez obtenidos los ocho síes.»
Para decir al referente senior / DSI para hacer validar la auditoría antes de toda puesta en producción.
Modelo copiar-pegar — ficha auditoría prod
FICHA AUDITORÍA PROD — stack : ___ · fecha : ___
[ ] tags inmutables (movedizo prohibido) · [ ] scan OK + non-root
[ ] restart + healthcheck por duradero · [ ] solo proxy publica
[ ] copia OK + restauración probada el : ___
[ ] secretos fuera de git (ejemplo versionado) · [ ] logs rotación + disco alerta
[ ] CI única fábrica · compose versionado
VALIDADO POR (senior/DSI) : ___ · fecha : ___ · ¿GO PROD? SÍ / NOSolo / presupuesto reducido
Idir solo : la checklist impresa + una restauración probada valen más que ninguna auditoría.
TPE / equipo reducido
Auditoría de a dos : uno marca, el otro verifica las pruebas antes de validar.
PYME en Alger
Idir fija en Alger una revisión prod : auditoría proyectada, cada no planificado antes de abrir.
Equipo que empieza
Binomio : uno corrige los no, el otro repite restauración y alertas.
✓ Buenas prácticas
- Imprima la checklist, marque de a dos con pruebas.
- Automatice copias + escaneos, pruebe la restauración.
- Prepare las certificaciones con labs repetidos, no de memoria.
✗ Errores frecuentes
- «Ya se verá en prod» con casillas en no.
- Supervisar tras el fallo en lugar de alertar antes.
- Preparar las certificaciones empollando.
Puntos clave
- Ocho síes = prod, un no = se corrige y se reprueba.
- Se ve (supervisión, alertas, disco) antes de operar.
- Copia probada + secretos fuera de git + CI única fábrica.
- Certificaciones con labs, prod validada por el senior/DSI.
Reto 48h — aplique mañana
Rellene la ficha auditoría prod (modelo anterior) para su stack real : cada no se vuelve una corrección planificada, luego hágala releer antes de toda prod.
- Puedo citar las ocho casillas de la checklist.
- Mi stack está auditado, corregido y validado.
- Sé preparar la certificación con labs, no de memoria.
Preguntas frecuentes
¿Qué rotación para los logs?
Por defecto los diarios crecen sin fin : limite tamaño y número de archivos (opciones de rotación en el Compose / la config de journalización) y centralice pronto. Un disco lleno lo detiene todo — combine rotación, limpieza de imágenes y volúmenes huérfanos, y alertas disco.
¿Por qué certificación empezar?
De forma genérica : primero la que corona exactamente esta guía (Docker : imágenes, redes, volúmenes, Compose, Swarm, seguridad), luego la de Kubernetes solo si Kubernetes es su objetivo. Ambas exigen labs prácticos regulares — repita cada nivel a ciegas — y una validación guiada antes de toda producción real.
Un punto de la checklist está en «no». ¿Qué hacer?