Skrypty operacyjne

Jede Infrastruktur hat eine Schicht Arbeit, die genau bis zu dem Moment langweilig ist, in dem sie kritisch wird. Ein Zertifikat, das an einem Sonntag abläuft. Ein Backup, das seit einem Monat ins Leere feuert. Ein Secret, versehentlich in ein Repo committet. Ein belegter Port, der nicht lauschen sollte. Nichts davon schreit, bis es zu spät ist.

Wir haben diese Kontrollen in ein gutes Dutzend kleiner Skripte gesammelt und hinter einem Befehl versteckt. Das Ziel war nicht technisch, sondern menschlich: die Infrastrukturhygiene soll nicht mehr davon abhängen, ob jemand daran gedacht hat, sie zu erledigen. Denn das Gedächtnis ist, wie sich in der Praxis herausstellt, der schlechteste Sicherheitsmechanismus, den man wählen kann.

Infrastrukturhygiene ist die Art von Arbeit, die man immer morgen erledigen kann. Langweilig, solange alles läuft, also weicht sie höflich den Dingen mit einer Frist. Das Problem ist, dass sie selbst keine Frist hat - bis sie plötzlich eine harte hat: das Zertifikat läuft heute ab, das Backup wurde gestern gebraucht.

Das ist kein technisches Problem. Jede dieser Kontrollen lässt sich von Hand in einer Minute erledigen. Das Problem ist, dass sie verlangen, dass sich jemand an sie erinnert, regelmäßig, im Hintergrund anderer Arbeit - und genau das machen Menschen schlecht. Je mehr Dinge zu merken sind, desto sicherer fällt eines heraus, meist genau das, das diesmal etwas gefangen hätte.

Also haben wir die ganze Routine auf einen einzigen Befehl reduziert, der von niemandes Gedächtnis abhängt. Sie führen ihn von Hand vor einem Deploy aus oder klinken ihn in einen Zeitplan ein und vergessen ihn - und das ist genau der beabsichtigte Effekt.

Damit sich irgendetwas in CI oder cron einklinken lässt, muss es in einem Exit-Code sprechen, nicht in einem Absatz Text. Null heißt sauber, alles andere heißt: Schauen Sie nach. Das ist der ganze Vertrag, und genau seine Einfachheit macht das Werkzeug ohne jede Tricks automatisierbar.

Derselbe Befehl hat zwei Gesichter. Für einen Menschen gibt er einen lesbaren Bericht aus - was geprüft wurde, was bestanden hat, was Aufmerksamkeit braucht. Für eine Maschine gibt er JSON zurück, das sich parsen und an einen Alarm hängen lässt. Ein Eingang, zwei Ausgabeformen, kein für Menschen gedachter Text, der eine Schnittstelle für Maschinen vortäuscht.

Der schwerste Teil eines solchen Werkzeugs sind nicht die Kontrollen selbst, sondern die Schwellenwerte. Ein Alarm, der immer klingelt, ist so viel wert wie ein abgeschalteter Alarm - die Leute hören einfach auf, ihn zu lesen, und dann verpasst er das eine Mal, in dem wirklich etwas nicht stimmt. Das ist der häufigste Weg, auf dem Monitoring verstummt: nicht durch Ausfall, sondern durch Lärm.

Deshalb hat jede Kontrolle einen Schwellenwert, so gewählt, dass der Befehl schweigt, wenn es gut steht. Ein Zertifikat, das in einem halben Jahr abläuft, ist kein Alarm. Ein Zertifikat, das in einer Woche abläuft, schon. Ein Backup von vor einer Stunde ist in Ordnung, eines von vor einem Monat nicht mehr. Schwellenwerte gibt es, damit Stille etwas bedeutet.

Es ist kein spektakuläres Werkzeug, und es muss es nicht sein. Es gibt kein Dashboard, keine Diagramme, nichts, was man in einem Screenshot zeigen könnte. Sein ganzer Wert liegt darin, dass die Routine nicht mehr von irgendjemandes Gedächtnis abhängt - sie läuft von selbst, und wenn sie schweigt, dann bedeutet dieses Schweigen wirklich sauber.

Der Unterschied ist, dass die Klasse von Problemen, die früher erst beim Ausfall zutage trat, jetzt früher zutage tritt - bei einem einfachen Durchlauf vor einem Deploy oder zu einer festen Zeit aus cron. Ein ablaufendes Zertifikat meldet sich eine Woche vorher, nicht an einem Sonntag um drei Uhr morgens. Das ist die ganze Arbeit dieses Werkzeugs: Stille aus Unwissen in Stille aus Gewissheit zu verwandeln.