Planificar el despliegue

Planifica las oleadas antes de instalar la primera máquina. La lista de la oleada 1, el canal de las oleadas 2 y 3 y el responsable de la marcha atrás son todas respuestas de la lista de comprobación de requisitos previos; esta página las convierte en un calendario.

Tres oleadas

Tres oleadas de dos semanas, cada una demostrando algo de lo que depende la siguiente. La oleada 1 demuestra la instalación y la clave en máquinas reales. La oleada 2 demuestra tu herramienta de despliegue. La oleada 3 demuestra el perímetro. No amplíes nunca una oleada hasta que la anterior cumpla sus criterios de salida.

Cada oleada, piloto incluido, se inscribe con una clave de organización, así que las personas de las máquinas no necesitan ninguna cuenta de consola. Desplegar el cliente contiene las rutas.

Atributo	Oleada 1	Oleada 2	Oleada 3
Alcance	Unas diez máquinas	Unas cincuenta máquinas	El perímetro completo
Ruta de instalación	Clave de organización, a mano en cada máquina o con una primera receta	Clave de organización, desatendida, con tu herramienta de despliegue	Clave de organización, desatendida, con tu herramienta de despliegue
Duración	Dos semanas	Dos semanas	Dos semanas
Actividad	Inscribir cada máquina con la clave de la oleada, verificarla, perseguir los agentes que siguen pendientes de la persona que los usa y anotar los problemas encontrados	Empaquetar la instalación, demostrarla en una máquina de cada sistema operativo, ejecutarla desatendida y leer el informe que recoge	Ejecutar el mismo paquete en todo el perímetro y perseguir las máquinas que nunca envían datos
Criterios de entrada	La organización está configurada y la clave de organización de la oleada está creada	La oleada 1 cumplió sus criterios de salida, y la receta se ejecuta limpia en una máquina de cada sistema operativo	Tu herramienta de despliegue está demostrada en cada sistema operativo del parque, y el tipo de proxy está confirmado en cada subred del alcance
Criterios de salida	Cada máquina inscrita envía datos a la consola en las 24 horas siguientes a la instalación; la comprobación propia del cliente no informa de ningún problema en ninguna; ningún agente queda pendiente de la persona que lo usa; la ruta del proxy está confirmada en cada sistema operativo de la oleada	Los mismos cuatro, más cada máquina instalada sin que un desarrollador abra un terminal	Los mismos cuatro, más la decisión de pasar a operación habitual
Marcha atrás	openlatch uninstall en la máquina afectada; la CA de relé sigue siendo de confianza salvo que añadas --purge	Lo mismo, entregado por la herramienta que lo instaló	Lo mismo, entregado por la herramienta que lo instaló

Figura 1. Seis semanas, tres oleadas: lo que demuestra cada una y la puerta entre ellas.

Verificar cada máquina y cada oleada explica cómo se demuestra una máquina, y después una oleada, frente a estos criterios.

Esfuerzo y calendario

El esfuerzo se concentra en la primera semana, cuando se prepara la organización y se demuestra la ruta en una máquina de cada sistema operativo del parque. Después, cada oleada repite un procedimiento que ya funcionó.

Fase de trabajo	Oleada 1	Oleada 2	Oleada 3	Esfuerzo habitual
Preparar la consola	Conectar SAML, definir los dominios permitidos y la conservación de la auditoría, invitar al equipo de despliegue, crear la clave de organización de la oleada 1	Crear la clave de organización de la oleada 2	Crear la clave de organización de la oleada 3 y traspasar la rutina de operación	Un día la primera semana, luego unas horas por semana
Preparar la red	Aprobar la entrada de tráfico saliente y confirmar la ruta del proxy	Revisar la ruta por tu herramienta de despliegue	Ningún cambio más	Media jornada la primera semana
Preparar las máquinas	Demostrar la instalación en una máquina por sistema operativo e inscribir diez máquinas con la clave de la oleada	Llevar la instalación al canal que ya utilizas y lanzar la oleada	Extender el mismo canal a las máquinas restantes	Unos minutos por máquina tras la primera
Confirmar y operar	Confirmar que cada máquina instalada aparece en el registro de agentes de la consola, con un propietario donde hay un directorio conectado	Revisión semanal y revisión de la herramienta de despliegue	Revisión semanal y, después, la decisión de pasar a operación habitual	Una revisión semanal durante todo el despliegue

Una clave por oleada

Cada oleada se inscribe con su propia clave de organización, creada con Host enrollment, así que una clave que haya que revocar solo afecta a una oleada. Una máquina solo necesita la clave para inscribirse: la cambia por una credencial de host propia, que sigue funcionando después de revocar o rotar la clave.

Momento	Qué hacer con la clave
Antes de la oleada	Como admin u owner, créala en Settings › API keys con Host enrollment, ponle el nombre de la oleada y guárdala en tu almacén de secretos. Pertenece a la organización, así que sigue funcionando si te marchas
Durante la oleada	Entrégala a cada máquina como archivo de clave, con --api-key-file u OPENLATCH_API_KEY_FILE, o como OPENLATCH_API_KEY en el entorno en el que se ejecuta la instalación, nunca en una línea de comandos. openlatch init borra un archivo de clave una vez inscrita la máquina
Antes de la oleada 1, opcional	Haz que se confíe en el certificado de relé de tu organización en toda la máquina, y comprueba una máquina por sistema operativo con openlatch doctor. Cada oleada entrega después el mismo bundle junto a su propia clave
Después de la oleada	Consérvala solo para las inscripciones que faltan. Las máquinas inscritas que ejecutan el cliente actual ya no la usan; una máquina con un cliente anterior se autentica con ella hasta que se actualiza
Para retirarla	Espera a que la fecha de último uso de la clave deje de moverse tras la última inscripción de la oleada y luego bórrala, lo que la revoca. Una gestión de equipos que vuelve a ejecutar la instalación en máquinas aún sin inscribir necesita una clave válida mientras siga funcionando

Marcha atrás

Designa al responsable de la marcha atrás antes de la oleada 1: la persona que puede pausar una oleada y retirar el cliente de una máquina. La eliminación es openlatch uninstall, ejecutado en la máquina o entregado por la herramienta que lo instaló, y deja cada agente como estaba. Conserva la CA de relé, todavía de confianza; añade --purge para retirarla. Desinstalar cubre la eliminación por completo.

En resumen

• Tres oleadas de dos semanas, todas inscritas con una clave de organización: unas diez máquinas, unas cincuenta con tu herramienta de despliegue y, después, el perímetro. Amplía solo cuando la oleada anterior cumpla sus criterios de salida.
• La primera semana concentra la mayor parte del esfuerzo: la organización, la entrada de tráfico saliente y la instalación demostrada en una máquina por sistema operativo.
• Una clave de organización por oleada, creada con Host enrollment. Una máquina solo la necesita para inscribirse; revócala una vez inscrita la oleada con el cliente actual.
• Designa a un responsable de la marcha atrás antes de la oleada 1. La eliminación es openlatch uninstall, máquina a máquina; la CA de relé sigue siendo de confianza salvo que añadas --purge.