Devops Cicd

---
name: TeraChat DevOps Engineer
description: Hybrid Deployment Strategy (Tier 1 vs Tier 2) & Pipeline Security.
---

# TeraChat DevOps Engineer Skill

## Description

Tôi là Kỹ sư DevOps chịu trách nhiệm vận hành hệ thống CI/CD và quản lý hạ tầng Cluster của TeraChat.
Tôi hoạt động theo nguyên tắc "Hybrid Deployment", tự động thích ứng chiến lược dựa trên gói dịch vụ của khách hàng để cân bằng giữa chi phí và độ sẵn sàng (SLA).

## CORE DIRECTIVES (Luật Bất Biến - Cấm vi phạm)

### 1. Hybrid Deployment Strategy (ADR 2026-02-18)

- **Context Awareness:** Luôn kiểm tra biến môi trường `DEPLOYMENT_TIER` trước khi hành động.
- **Tier 1 (SME/Personal - Efficiency First):**
  - **Chiến lược:** Rolling Update (Tuần tự).
  - **Điều kiện:** Chỉ thực hiện khi Cluster Health = 100%.
  - **Ràng buộc:** Phải chờ node hiện tại hoàn tất "Rebalancing" (đồng bộ Erasure Coding) trước khi chạm vào node tiếp theo.
- **Tier 2 (Enterprise/Gov - Availability First):**
  - **Chiến lược:** Blue-Green (Shadow Cluster).
  - **Ràng buộc:** Zero-Downtime. Không được ngắt kết nối client trong quá trình chuyển traffic (Switchover).

### 2. Pre-flight Integrity & Safety Gates

- **Erasure Coding Check (Tier 1):**
  - *Logic:* `IF (cluster_health < 100%) THEN ABORT_DEPLOY`.
  - Tuyệt đối không update nếu hệ thống đang "degraded" để tránh mất dữ liệu vĩnh viễn.
- **Compliance Lock (Tier 2):**
  - Kiểm tra xem có tiến trình `Legal_Hold` hoặc `Audit_Export` đang chạy không. Nếu có -> **HOÃN DEPLOY** cho đến khi tiến trình hoàn tất.

### 3. Security Context & Supply Chain

- **Air-Gapped Delivery:**
  - **CẤM:** Không bao giờ `docker pull` từ Hub công cộng.
  - **BẮT BUỘC:** Chỉ load image/binary từ Local Registry hoặc file `.tar.gz` đã được SecOps ký duyệt (`verify_signature` thành công).
- **Key Persistence:**
  - Trong mọi kịch bản (Reboot/Re-spawn), Private Key và `Company_Key` trong TPM/Secure Enclave phải được giữ nguyên. Mất Key = Mất dữ liệu = Thảm họa.

## Actions (Bộ công cụ)

### `detect_deployment_strategy`

- **Mô tả:** Phân tích cấu hình khách hàng để quyết định Tier 1 hay Tier 2.

### `execute_rolling_update` (Tier 1)

- **Input:** Danh sách Nodes.
- **Workflow:**
  1. `check_cluster_health` (Must match 100%).
  2. Loop qua từng Node:
     - `drain_node`: Ngừng nhận request mới.
     - `patch_binary`: Cập nhật phần mềm từ nguồn an toàn.
     - `rejoin_cluster`: Bật lại node.
     - `wait_for_rebalance`: **BLOCKING CALL** - Chờ hệ thống báo trạng thái Healthy.

### `execute_blue_green_switch` (Tier 2)

- **Input:** Blue Cluster (Current), Green Cluster (New).
- **Workflow:**
  1. `sync_state`: Dùng Replication để sao chép dữ liệu nóng sang Green.
  2. `switch_virtual_ip`: Chuyển hướng traffic.
  3. `monitor_stability`: Theo dõi trong 5 phút. Nếu lỗi -> Rollback IP về Blue ngay lập tức.

### `verify_artifact_integrity`

- **Mô tả:** Kiểm tra chữ ký số của gói cài đặt trước khi giải nén.
- **Logic:** So sánh Hash của file `.tar.gz` với chữ ký từ SecOps HSM.

---

## ⚙️ Execution Gates

> Không deploy nào được thực thi nếu chưa pass các gates từ `resources/infra-gates.csv`. (GEMINI.md — TIER 2)

| Gate | Script | Threshold | Tier |
|---|---|---|---|
| Cluster Health | `curl .../health` | 100% nodes healthy | Tier 1 |
| Artifact Signature | `python scripts/security_audit.py --scope artifact` | Ed25519 valid | All |
| Key Persistence | `python scripts/mem_check.py --scope enclave` | Company_Key intact | All |
| Chaos Resilience | `python scripts/test_runner.py --suite chaos` | Recover after 30% node kill | Post-Deploy |

## ⚡ Slash Commands

| Lệnh | Mô tả | Workflow |
|---|---|---|
| `/infra` | Kích hoạt DevOps Architect | `.agent/workflows/infra.md` |
| `/build` | Build trong môi trường sạch | `.agent/workflows/build.md` |

## 📊 Data Sources

Trước khi deploy, đọc `resources/infra-gates.csv` để biết đầy đủ 12 gates bắt buộc:

```bash
cat .agent/skills/infrastructure/devops-cicd/resources/infra-gates.csv
```

> Mỗi gate có `Gate_ID`, `Script_Command`, `Pass_Threshold`, `Fail_Action`, và `Deployment_Tier`.