Mejores Prácticas de Despliegue

Artefactos inmutables, etiquetas semver y runbooks de reversión.

Aplica estas prácticas en las plantillas de servicio, pipelines de CI y runbooks de guardia para que cada despliegue de Go sea rastreable, reversible y seguro bajo carga.

Cómo Usar Esta Lista

• Marca los elementos a medida que la plantilla de servicio Go de tu organización los adopte.
• Codifica los controles de Nivel A en la CI (pruebas, govulncheck, escaneo de imágenes) y en las puertas de despliegue.
• Mapea los elementos de Nivel B a tus procesos de gestión de cambios y respuesta a incidentes.
• Revisa al añadir flotas de borde, entornos aislados o nuevos controladores de entrada.

A - Higiene de compilación y artefactos

• Compila con CGO_ENABLED=0 a menos que una dependencia requiera cgo. Mantiene los binarios de Linux portátiles para imágenes scratch/distroless.
• Incrusta la versión, el commit y la hora de compilación mediante -ldflags -X. Los logs y métricas se vinculan a la salida exacta de CI durante incidentes.
• Almacena binarios de producción despojados y conserva los símbolos de depuración por separado. Admite la simbolización de fallos sin hinchar las imágenes en tiempo de ejecución.
• Ejecuta go test -race ./... en colas de fusión para servicios concurrentes. Detecta carreras de datos antes de que aparezcan bajo carga de producción.
• Ejecuta govulncheck ./... en CI y falla ante CVEs alcanzables que violan la política. Bloquea grafos de dependencias vulnerables conocidos.
• Confirma go.sum y ejecuta go mod verify en CI. Detecta manipulación de módulos en el momento de la descarga.
• Nunca despliegues etiquetas latest sin etiquetar en entornos compartidos. Las etiquetas flotantes hacen que las reversiones y auditorías no sean fiables.

B - Imágenes de contenedor

• Usa Dockerfiles multi-etapa; copia solo el binario más los archivos CA/zona horaria requeridos. Reduce el tiempo de descarga y la superficie de CVE.
• Ejecuta contenedores como no-root (USER nonroot o UID numérico). Limita el impacto de la ruptura del contenedor.
• Fija las imágenes base por digest en los pipelines de producción. Evita la mutación silenciosa de la imagen base.
• Escanea las etiquetas de imagen finales con Trivy, Grype o el escáner de tu registro. Los paquetes del SO en distroless/base todavía necesitan ser monitoreados.
• Firma las imágenes con cosign (o equivalente) y verifica al desplegar. Puerta de la cadena de suministro para artefactos promovidos.
• Exporta SBOM junto con cada lanzamiento. Cumplimiento y análisis más rápido del impacto de CVE.

C - Manifiestos de Kubernetes

• Establece solicitudes de CPU y memoria a partir de mediciones de pruebas de carga, no de suposiciones. HPA y los planificadores dependen de solicitudes precisas.
• Establece límites de memoria a partir de perfiles de RSS pico; evita sorpresas de OOMKill. El crecimiento del heap de Go depende de la carga de trabajo.
• Configura liveness en /healthz barato; readiness en /readyz con comprobaciones de dependencias. Evita el enrutamiento a pods fríos o rotos.
• Usa maxUnavailable: 0 (o bajo) con readiness gates para despliegues sin tiempo de inactividad. Mantiene la capacidad durante las actualizaciones de imagen.
• Establece terminationGracePeriodSeconds >= tiempo de espera de http.Server.Shutdown. Drena las solicitudes HTTP en curso antes de SIGKILL.
• Define PodDisruptionBudgets para servicios con SLOs. Los drenajes de nodos respetan la disponibilidad mínima.
• Mantén revisionHistoryLimit >= 3 para kubectl rollout undo rápido. Los ReplicaSets recientes permanecen para la reversión de emergencia.

D - CI/CD y promoción

• Compila una vez por commit; promueve el mismo digest a través de staging a producción. Las reconstrucciones en el momento del despliegue divergen de los artefactos probados.
• Bloquea el despliegue si fallan las pruebas de despliegue en staging o las pruebas de humo. /readyz y las pruebas de integración de rutas críticas controlan la promoción.
• Registra el digest de la imagen, el SHA de git y el actor del despliegue en los tickets de cambio. Pista de auditoría para cumplimiento y postmortems.
• Usa GitOps o repositorios de manifiestos para el estado deseado del clúster. Los cambios de infraestructura revisados por humanos se separan de la velocidad del código de la aplicación.
• Automatiza el despliegue en staging en la rama principal; requiere aprobación para producción. Equilibra la velocidad con el control operativo.

E - Configuración en tiempo de ejecución y secretos

• Inyecta la configuración a través de variables de entorno o secretos montados, no incrustados en las imágenes. Paridad de doce factores entre entornos.
• Falla el inicio del proceso cuando faltan las variables de entorno requeridas. Evita que los pods medio configurados pasen la liveness solo para fallar en la primera solicitud.
• Monta materiales TLS desde integraciones de cert-manager o KMS en la nube. Sin claves privadas en las capas del contenedor.
• Separa la configuración por entorno con superposiciones de kustomize o valores de Helm. Misma imagen, diferentes archivos de entorno.

F - Observabilidad y operaciones

• Expón métricas de Prometheus y logs estructurados con IDs de solicitud. Los despliegues y experimentos de caos necesitan señales de antes/después.
• Panel de control de éxito de despliegue: tasa de error, latencia p99, recuento de réplicas listas. Aborta el despliegue cuando aumenta la tasa de quemado.
• Documenta el runbook de reversión: kubectl rollout undo, digest anterior y pasos de verificación. El personal de guardia ejecuta sin buscar en el historial de Slack.
• Ejecuta jornadas de juego con eliminación de pods e inyección de latencia en staging trimestralmente. Valida PDBs, sondas y tiempos de espera del cliente.
• Practica el procedimiento de actualización de borde/aislado con verificación de checksum y firma. Las actualizaciones de campo coinciden con la postura de seguridad de CI.

G - Específicos de borde y aislados

• Compila cruzado por GOOS/GOARCH de destino en la matriz de CI. Una compilación de portátil no es suficiente para flotas de borde ARM.
• Envía manifiestos SHA-256 y firmas con cada paquete de campo. Los binarios manipulados nunca reinician las unidades systemd.
• Usa renombrado atómico de binarios o scripts de instalación de detener y copiar. Evita la ejecución de archivos parcialmente escritos.
• Empaqueta las raíces de CA corporativas cuando se requiere HTTPS saliente sin internet público. Los binarios estáticos no incluyen almacenes de confianza automáticamente.

Relacionados

• Despliegue de Go: Binario Único como Superpoder - por qué importan los binarios inmutables
• Conceptos Básicos de Despliegue - primera compilación, imagen y ruta de kubectl
• Pipelines de CI/CD para Servicios Go - plantilla de pipeline
• Sondas, HPA y Presupuestos de Interrupción de Pods - controles de disponibilidad
• Despliegues de Borde y Aislados con Binarios Únicos - patrones de envío sin conexión

Versiones de Stack: Esta página fue escrita para Go 1.26.x (Green Tea GC por defecto, go fix modernizers - verifica el parche en la compilación), chi (última - verifica en la compilación), gin (última - verifica en la compilación), echo (última - verifica en la compilación), google.golang.org/grpc (última - verifica en la compilación), sigs.k8s.io/controller-runtime (última - verifica en la compilación), kubebuilder (última - verifica en la compilación), tinygo (última - verifica los objetivos de la placa en la compilación), wazero (última - verifica en la compilación), y golangci-lint (última - verifica el conjunto de linters en la compilación).

pbqrthvqrf.vb|ptvb400|202607