Melhores Práticas de Implantação

Artefatos imutáveis, tags semver e runbooks de rollback.

Aplique estas práticas em templates de serviço, pipelines de CI e runbooks de plantão para que cada implantação de Go seja rastreável, reversível e segura sob carga.

Como Usar Esta Lista

• Marque os itens à medida que o template de serviço Go da sua organização os adota.
• Codifique os controles da Camada A na CI (testes, govulncheck, scan de imagem) e nos portões de implantação.
• Mapeie os itens da Camada B aos seus processos de gerenciamento de mudanças e resposta a incidentes.
• Revise ao adicionar frotas de borda (edge fleets), ambientes air-gapped ou novos controladores de ingresso (ingress controllers).

A - Higiene de Build e Artefatos

• Compile com CGO_ENABLED=0 a menos que uma dependência exija cgo. Mantém binários Linux portáteis para imagens scratch/distroless.
• Incorpore versão, commit e tempo de build via -ldflags -X. Logs e métricas se conectam à saída exata da CI durante incidentes.
• Armazene binários de produção stripped (removidos de símbolos) e retenha símbolos de depuração separadamente. Suporta simbolização de crash sem inchar as imagens de runtime.
• Execute go test -race ./... em filas de merge (merge queues) para serviços concorrentes. Captura data races antes que elas apareçam sob carga de produção.
• Execute govulncheck ./... na CI e falhe em CVEs alcançáveis que violam a política. Bloqueia grafos de dependência conhecidamente vulneráveis.
• Faça commit do go.sum e execute go mod verify na CI. Detecta adulteração de módulos no momento do download.
• Nunca implante tags latest sem rótulo em ambientes compartilhados. Tags flutuantes tornam rollbacks e auditorias não confiáveis.

B - Imagens de Contêiner

• Use Dockerfiles multi-stage; copie apenas o binário mais os arquivos CA/timezone necessários. Reduz o tempo de pull e a superfície de CVE.
• Execute contêineres como não-root (USER nonroot ou UID numérico). Limita o impacto de quebra de contêiner.
• Fixe imagens base por digest em pipelines de produção. Evita mutação silenciosa da imagem base.
• Escaneie tags de imagem final com Trivy, Grype ou seu scanner de registro. Pacotes do SO em distroless/base ainda precisam de monitoramento.
• Assine imagens com cosign (ou equivalente) e verifique na implantação. Portão de cadeia de suprimentos para artefatos promovidos.
• Exporte SBOM junto com cada release. Conformidade e análise mais rápida de impacto de CVE.

C - Manifestos Kubernetes

• Defina requisições de CPU e memória a partir de medições de teste de carga, não de suposições. HPA e schedulers dependem de requisições precisas.
• Defina limites de memória a partir de perfis de pico de RSS; evite surpresas de OOMKill. O crescimento do heap do Go depende da carga de trabalho.
• Configure liveness em /healthz de baixo custo; readiness em /readyz com verificações de dependência. Evita rotear para pods frios ou quebrados.
• Use maxUnavailable: 0 (ou baixo) com readiness gates para rollouts sem tempo de inatividade. Mantém a capacidade durante atualizações de imagem.
• Defina terminationGracePeriodSeconds >= timeout de http.Server.Shutdown. Drena HTTP em trânsito antes do SIGKILL.
• Defina PodDisruptionBudgets para serviços com SLOs. Drenagens de nó respeitam a disponibilidade mínima.
• Mantenha revisionHistoryLimit >= 3 para kubectl rollout undo rápido. ReplicaSets recentes permanecem para reversão de emergência.

D - CI/CD e Promoção

• Compile uma vez por commit; promova o mesmo digest através de staging para produção. Recompilações no momento da implantação divergem os bytes dos artefatos testados.
• Bloqueie a implantação se os testes de rollout de staging ou smoke tests falharem. /readyz e testes de integração de caminho crítico controlam a promoção.
• Registre o digest da imagem, SHA do git e ator da implantação em tickets de mudança. Trilha de auditoria para conformidade e postmortems.
• Use GitOps ou repositórios de manifestos para o estado desejado do cluster. Mudanças de infraestrutura revisadas por humanos separadas da velocidade do código do aplicativo.
• Automatize a implantação de staging no main; exija aprovação para produção. Equilibra velocidade com controle operacional.

E - Configuração de Runtime e Segredos

• Injete configuração via variáveis de ambiente ou segredos montados, não embutidos nas imagens. Paridade do Doze Fatores entre ambientes.
• Falhe o início do processo quando variáveis de ambiente necessárias estiverem faltando. Evita pods semi-configurados que passam na liveness apenas para falhar na primeira requisição.
• Monte materiais TLS do cert-manager ou integrações de KMS da nuvem. Nenhuma chave privada em camadas de contêiner.
• Separe a configuração por ambiente com overlays kustomize ou valores Helm. Mesma imagem, diferentes arquivos de ambiente.

F - Observabilidade e Operações

• Exponha métricas Prometheus e logs estruturados com IDs de requisição. Rollouts e experimentos de caos precisam de sinais antes/depois.
• Monitore o sucesso do rollout: taxa de erro, latência p99, contagem de réplicas prontas. Aborte a implantação quando a taxa de queima (burn rate) disparar.
• Documente o runbook de rollback: kubectl rollout undo, digest anterior e passos de verificação. O plantão executa sem procurar no histórico do Slack.
• Execute game days com exclusão de pods e injeção de latência em staging trimestralmente. Valida PDBs, sondas e timeouts de cliente.
• Pratique o procedimento de atualização de edge/air-gap com verificação de checksum e assinatura. Atualizações de campo correspondem à postura de segurança da CI.

G - Específicos de Edge e Air-Gap

• Compile cruzado por GOOS/GOARCH alvo em matriz de CI. Uma build de laptop não é suficiente para frotas de edge ARM.
• Envie manifestos SHA-256 e assinaturas com cada pacote de campo. Binários adulterados nunca reiniciam unidades systemd.
• Use renomeação atômica de binário ou scripts de instalação stop-then-copy. Evita a execução de arquivos parcialmente escritos.
• Empacote raízes de CA corporativas quando HTTPS de saída for necessário sem internet pública. Binários estáticos não incluem trust stores automaticamente.

Relacionados

• Deploying Go: Single Binary as a Superpower - por que binários imutáveis importam
• Deployment Basics - primeira build, imagem e caminho kubectl
• CI/CD Pipelines for Go Services - template de pipeline
• Probes, HPA & Pod Disruption Budgets - controles de disponibilidade
• Single-Binary Edge & Air-Gapped Deployments - padrões de envio offline

Versões de Stack: Esta página foi escrita para Go 1.26.x (GC padrão Green Tea, go fix modernizers - verifique o patch na build), chi (última - verifique na build), gin (última - verifique na build), echo (última - verifique na build), google.golang.org/grpc (última - verifique na build), sigs.k8s.io/controller-runtime (última - verifique na build), kubebuilder (última - verifique na build), tinygo (última - verifique os alvos de placa na build), wazero (última - verifique na build) e golangci-lint (última - verifique o conjunto de linters na build).

pbqrthvqrf.vb|ptvb400|202607