Firewallregel-deployment

Runbook voor operators voor de deployment van een goedgekeurde en gemergete wijziging aan firewallregels of IP groups. Beide zitten in de firewall-layer. Lees het samen met Firewallregels en Pipelines en workflows.

1. Voordat je begint

• De pull request is goedgekeurd en gemerged naar main.
• Je hebt toegang tot de pipelines van het juiste platform en tot het ticket.

2. Draai de pipeline voor canary

1. Open de pipelines van het project en selecteer de hub-pipeline (hub).
2. Draai hem vanaf main. Kies, waar je entry pipeline dat toestaat:
   • omgeving: canary;
   • layer: firewall;
   • regio: de regio van de wijziging (bijvoorbeeld weu), of elke regio die de wijziging raakt.
3. Lees het plan. Alleen de firewall-layer mag wijzigingen tonen, en alleen voor de groups die je hebt aangepast (Controleer het plan).
4. Keur het goed als het klopt en volg de run tot hij klaar is.

Hoeveel je tijdens de run kunt kiezen hangt af van de entry pipeline van je platform: sommige leggen de omgeving, de layer en de modus vast in het entry-bestand (Parameters die je wijzigt).

Stop bij een time-out

Een wijziging met veel rule collection groups kan tegen de apply-time-out aanlopen, omdat Azure geen parallelle updates van dezelfde policy accepteert. Als canary al time-outs toont, ga dan niet door naar productie. Splits de wijziging in kleinere pull requests. Zie Als een grote wijziging een time-out krijgt.

3. Controleer de apply

Nadat de apply-stage groen is:

1. Open het log van de apply-stap.
2. Controleer dat de gevraagde wijziging is uitgevoerd: de rule collection group, de collection of de IP group staat als toegevoegd of gewijzigd in de output.
3. Vertrouw niet alleen op de groene stage. Staat de wijziging niet in de apply-output, los het ticket dan niet op. Onderzoek het en vraag zo nodig een tweede engineer.
4. Controleer in de portal dat de regel aanwezig is, en test het verkeer als de aanvrager kan helpen (Controleren).

4. Draai de pipeline voor prod

Herhaal stap 2 voor prod. Het productieplan wacht op de goedkeuring van een tweede engineer. Controleer het plan opnieuw. Volg daarna de run en controleer de apply zoals in stap 3.

5. Sluit het ticket

1. Open het ticket van de aanvraag. De pull request verwijst ernaar.
2. Voeg een regel aan de discussie toe waarin staat dat de wijziging is gedeployed, in welke omgevingen, en wat de aanvrager kan testen.
3. Wijs het ticket toe aan de aanvrager en zet het op Resolved. De aanvrager valideert het en zet het op Done (Het standaardwijzigingsproces).

Als het misgaat

• Een pipelinefout: lees het log, los de oorzaak op met een nieuwe pull request en draai opnieuw. Een regel die in productie fout is, draai je terug met een pull request (Terugdraaien).
• Already exists na een time-out: importeer de bestaande group in de state. Vernietig hem niet in productie (Veelvoorkomende problemen).