Ga naar inhoud

IP-groep wijzigen

Runbook voor operator en reviewer voor de standaardwijziging Een IP-groep aanmaken of wijzigen. De bestanden, de JSON, de naamgeving en de verificatie staan in IP-groepen. Deze pagina geeft de volgorde van het werk en de checks. De deployment is dezelfde als voor firewallregels (Firewallregels deployen), omdat beide in de firewall layer zitten.

Operator: een groep aanmaken

  1. Controleer de aanvraag. Je hebt het doel nodig, de adressen (CIDR of losse IPv4-adressen), de workload die eigenaar is van de groep en welke regels de groep gebruiken of gaan gebruiken. Controleer dat de groep nog niet bestaat.
  2. Maak een branch vanaf main in de configuratierepository, met het ticketnummer in de naam.
  3. Kies de naam. Volg het naamgevingsschema van je platform (Naamgeving). De naam moet uniek zijn.
  4. Maak het bestand <name>.json in de map ip_groups van de canary-omgeving (globale map, of de regiomap als de groep regionaal is). Gebruik de structuur van IP-groep-JSON.
  5. Valideer het bestand met het schema in je editor (JSON-bestanden bewerken met schemaondersteuning). Controleer elk adres en elke prefix. Voeg geen adressen toe die niet voor dit doel zijn afgesproken.
  6. Kopieer het bestand naar de map ip_groups van de prod-omgeving (en naar elke regiomap die het nodig heeft).
  7. Commit, push en open een pull request naar main. Koppel het ticket en beschrijf het doel en de gebruikers van de groep.
  8. Deploy na de review: eerst canary, controleer de apply, daarna prod (Firewallregels deployen). In de plan wordt alleen azurerm_ip_group als toegevoegd getoond.

Operator: een groep wijzigen

  1. Maak een branch vanaf main.
  2. Bewerk het bestand in canary. Kijk welke regels de groep gebruiken: de wijziging geldt voor al die regels.
  3. Zorg dat het bestand in prod dezelfde inhoud krijgt. Kopieer het gevalideerde bestand over het bestaande heen als de twee gelijk moeten zijn.
  4. Commit, push, pull request. Beschrijf het effect op de regels.
  5. Review, deploy canary, verifieer, deploy prod.

Gebruik voor een hernoeming of een verwijdering twee pull requests: wijzig of verwijder eerst de verwijzingen in de regels en deploy, en hernoem of verwijder daarna de groep (twee stappen).

Checklist voor de reviewer

Begin met de algemene checks. Daarna, voor elk bestand:

Check Waarom
Het bestand staat in een map met de naam ip_groups, in zowel canary als prod De config tests en de deployment vinden groepen aan de hand van de mapnaam.
De bestandsnaam is gelijk aan de groepsnaam, en de naam volgt het naamgevingsschema Leesbaarheid en traceerbaarheid.
De JSON heeft ip_group met name en cidrs en niets anders Het schema weigert andere properties.
Elke entry in cidrs is een geldig IPv4-adres of CIDR-bereik, in dezelfde notatie geschreven Notatiefouten laten de deployment falen.
De adressen horen bij elkaar en zijn afgesproken voor het doel Een groep met niet-verwante subnets opent meer dan bedoeld.
Geen overlap met andere groepen waardoor een regel onduidelijk wordt Regels moeten duidelijk laten zien wat ze openen.
De wijziging in canary en prod is gelijk, of het verschil is uitgelegd Anders raken omgevingen uit elkaar.
Bij hernoeming of verwijdering: geen enkele regel verwijst nog naar de oude naam Een regel met een ontbrekende groep laat de deployment falen.
De pull request noemt de regels die de groep gebruiken en het effect van de wijziging Een groepswijziging verandert elke regel die de groep gebruikt.

Keur goed als alle checks in orde zijn. Stuur hem anders terug (hoe).

Troubleshooting

  • Schema- of formaatfouten. Vergelijk het bestand met het schema. Typische oorzaken: een ontbrekend octet, een prefix boven /32, een andere property dan name en cidrs, een lijst die als één string is geschreven.
  • Conflicten in IP-adressen. Vraag de eigenaar van het IP-plan welke bereiken zijn afgesproken. Niet gokken.
  • Commitproblemen. Lees het validatieresultaat van de pipeline en ga terug naar de validatiestap.