Princípios de Governança

Toda decisão técnica na Serigy é guiada pelos princípios abaixo. Eles são inegociáveis: o agente autônomo os aplica em código e qualquer exceção exige um ADR explícito.

1. Tudo é Infraestrutura como Código (IaC)

Nenhum recurso é criado ou alterado manualmente. Servidores nascem do Terraform (provisionamento na OVH) e são configurados por Ansible/RKE. Mudanças manuais (ssh + edição) são consideradas drift e devem ser revertidas.

Fonte de verdade = repositório Git.
Mudança = commit revisado, não comando ad-hoc.
Reprodutibilidade = qualquer nó pode ser recriado do zero.

2. GitOps

O estado desejado do cluster vive no Git. O agente reconcilia a realidade contra o Git, não o contrário. Pull requests são o mecanismo de mudança e de auditoria.

3. Zero-Trust

Nenhuma rede é “confiável” por padrão. O acesso é mediado por identidade (LLDAP) e pela malha privada Headscale. Não expomos portas administrativas à internet pública.

4. Menor Privilégio (Least-Privilege)

Cada identidade, serviço e pod recebe apenas as permissões necessárias. Segredos são entregues sob demanda pelo Vault, nunca embutidos em imagens ou manifests.

5. Infraestrutura Imutável

Não consertamos servidores em produção — nós os substituímos. Imagens base endurecidas (CIS e, quando disponível, Chainguard) são reconstruídas e reimplantadas, não remendadas em execução.

6. Separação de Cargas (Stateful vs Stateless)

Dados críticos vivem em um nó dedicado e isolado (rke-db-00), protegido por taints. Aplicações stateless rodam em nós descartáveis. Isso é detalhado em Computação & Scheduling.

7. Tudo é Documentado

Se uma decisão importa, ela vira um ADR. Se um procedimento se repete, ele vira um Runbook. A ausência de documentação é tratada como um defeito.

8. Segurança orientada a baseline, IA com humano no loop

Defesa antes de automação inteligente. Primeiro instrumentamos e observamos (eBPF/Tetragon, observabilidade) em Shadow Mode para construir um baseline do que é normal. Só com esse baseline em mãos consideramos IA para detecção.

E quando a IA atua sobre a infraestrutura, ela é semi-autônoma: o fluxo é detecta → alerta → aguarda aprovação → executa, nunca “detecta e destrói”. O agente não derruba nem deleta recursos de produção por conta própria em resposta a um sinal de segurança.