Glossário

Termos e componentes recorrentes nesta documentação.

Infraestrutura

• IaC (Infrastructure as Code) — provisionamento declarativo via código (Terraform, Ansible).
• Terraform — provisiona os recursos na OVH (instâncias, volumes, rede).
• Ansible / RKE — configura os nós e instala o cluster Kubernetes (cluster.yml).
• RKE (Rancher Kubernetes Engine) — distribuição de Kubernetes usada nos clusters.
• Control Plane (CP) — nós que rodam o plano de controle do Kubernetes (API server, etcd, scheduler).
• Node / Worker — nó que executa cargas de trabalho (pods).

Scheduling

• Label — par chave/valor que atrai pods a um nó (ex.: node-role.kubernetes.io/database=true).
• Taint — marca que repele pods de um nó, salvo se tolerada (ex.: dedicated=database:NoSchedule).
• Toleration — permissão que um pod declara para ser agendado em um nó tainted.
• Affinity / nodeAffinity — regra que força um pod a um conjunto de nós.

Dados

• CloudNativePG (CNPG) — operador Kubernetes que gerencia clusters PostgreSQL.
• Wal-G — ferramenta de backup/PITR de PostgreSQL (WAL archiving + base backups).
• PITR (Point-In-Time Recovery) — restauração para um instante específico no tempo.
• StorageClass — define como volumes persistentes são provisionados no Kubernetes.
• NVMe — armazenamento de alta performance anexado ao nó de banco.

Rede & Identidade

• Headscale — implementação open-source e auto-hospedada do coordenador Tailscale (malha WireGuard / tailnet).
• Tailnet — a rede privada (overlay) formada pelos nós conectados ao Headscale.
• MikroTik / RouterBoard — roteador do escritório local em Aracaju (mkrb-00).
• LLDAP (Light LDAP) — diretório de identidade leve (usuários e grupos).
• Vault — cofre de segredos (HashiCorp Vault).
• SSO — autenticação única, ancorada no LLDAP.

Segurança

• CIS Benchmark — conjunto de controles de endurecimento (hardening).
• ansible-lockdown / UBUNTU24-CIS — automação Ansible que aplica o CIS no Ubuntu 24.04.
• Chainguard Images — imagens de contêiner mínimas e endurecidas (low/zero CVE).
• Zero-Trust — modelo onde nenhuma rede ou identidade é confiável por padrão.

Segurança de Runtime

• eBPF — tecnologia do kernel Linux para observar/filtrar syscalls, rede e processos com baixo overhead.
• Tetragon — ferramenta de segurança de runtime baseada em eBPF (monitora syscalls, processos, rede, DNS).
• Cilium — CNI baseado em eBPF; rede, network policy e observabilidade do cluster.
• Istio — service mesh; provê mTLS, roteamento e políticas entre serviços.
• SPIRE — emissor de identidades de carga (SPIFFE) com certificados de curta duração.
• mTLS — TLS mútuo: ambos os lados autenticam por certificado (tráfego interno cifrado e verificado).
• BFF (Backend-for-Frontend) — backend dedicado ao frontend que guarda a sessão em cookie seguro.
• CSRF — Cross-Site Request Forgery; mitigado por tokens e cookies SameSite.
• CSP — Content-Security-Policy; cabeçalho que restringe origens de scripts/recursos.
• Shadow Mode — modo de observação (sem bloquear) usado para construir um baseline antes de agir/automatizar.

Observabilidade

• OpenTelemetry (OTel) — padrão de instrumentação para métricas, traces e logs.
• Tempo — backend de tracing distribuído (Grafana Tempo).
• Prometheus — banco de séries temporais para métricas e alertas.
• Grafana — visualização de métricas, traces e logs; dashboards e alertas.
• Baseline — perfil do comportamento normal do sistema, base para detectar anomalias.

Provedores

• OVH (Canadá) — provedor de nuvem onde reside o cluster principal (produção).
• Cloudflare R2 — armazenamento de objetos compatível com S3, destino dos backups.
• Escritório Serigy (Aracaju, BR) — site local com nó de homologação e o roteador MikroTik.