Cuestionario de operaciones y seguridad: parte 5
Comprueba los límites operativos y de recuperación de Airflow 3.3.1.
- ¿Separar el procesador de DAG elimina toda contención en la base de datos del scheduler de Airflow 3?
Mostrar respuesta
Respuesta: No. Airflow 2 también admitía alta disponibilidad; la versión 3 aún requiere comprobar los bloqueos de la base de datos, las conexiones y la capacidad de ejecución.
Explicación: replicas=2 no proporciona automáticamente diversidad de ubicación, conmutación por error de la base de datos ni alta disponibilidad del servicio completo.
- ¿Detener los schedulers, procesadores y triggerers detiene todos los escritores de la base de datos antes de una migración?
Mostrar respuesta
Respuesta: No. Coordina también el tráfico de entrada, el drenaje y las escrituras de los workers, las tareas, los servidores de API y la automatización externa.
Explicación: Prueba la restauración de la base de datos y la recuperación de Fernet/datos externos; usa una sola ruta de migración y un plan de reversión verificado.
- ¿Todos los componentes de Airflow deben usar el mismo prefijo de Secrets Manager?
Mostrar respuesta
Respuesta: No. Los backends específicos de los workers y la resolución de Execution API pueden ser intencionales.
Explicación: Verifica el orden de búsqueda real, los permisos, la alternativa y el almacenamiento en caché. Algunas rutas registran excepciones; no todos los fallos son silenciosos.
- ¿
remote_logging=Trueen S3 carga de inmediato cada línea de todos los componentes?
Mostrar respuesta
Respuesta: No. Configura los registros de tareas; según el comportamiento verificado, el supervisor los carga cuando termina la ejecución de la tarea.
Explicación: La salida estándar/error del servicio puede requerir una recopilación aparte. Una terminación forzada antes de la carga puede hacer que se pierdan los registros recientes.
- ¿Todos los valores de Connection/Variable en un metastore configurado con Fernet están en texto sin cifrar?
Mostrar respuesta
Respuesta: No. Los campos password/extra y los valores de Variable se cifran, pero no todos los metadatos ni los registros.
Explicación: Conserva y rota las claves de Fernet. Los backends externos son una opción; AWS Secrets Manager no es la única alternativa de producción obligatoria.
- ¿Contar todas las tareas en cola o en ejecución basta para una consulta de KEDA para Celery?
Mostrar respuesta
Respuesta: No. Ten en cuenta las colas, los ejecutores, los alias, la concurrencia de los workers y los límites de réplicas.
Explicación: Los workers pueden usar Deployments o StatefulSets, y que escalen a cero depende de la configuración real.
- ¿Por qué no se puede aplicar sin cambios el escalado del grupo de workers de Celery a KubernetesExecutor?
Mostrar respuesta
Respuesta: KubernetesExecutor crea directamente pods para las tareas y no tiene un grupo fijo de workers equivalente.
Explicación: Esto no significa que KEDA solo admita Deployments. Comprueba por separado la capacidad del escalador de nodos, las cuotas y las restricciones de interrupción.
- ¿Asignar un rol de IAM a un worker de Celery compartido aísla automáticamente los permisos de AWS de cada tarea?
Mostrar respuesta
Respuesta: No. Varias tareas que se ejecutan en ese worker pueden compartir sus permisos de ejecución.
Explicación: Cuando necesites límites reales, usa pools o ejecutores separados, o pods creados por KPO, e inspecciona las fuentes de credenciales.
- ¿Cómo debería la automatización de limpieza de la base de datos obtener una vista previa de los cambios y detectar fallos?
Mostrar respuesta
Respuesta: Primero usa --dry-run con una fecha de corte y tablas revisadas; usa --error-on-cleanup-failure e inspecciona los registros.
Explicación: Ejecuta la eliminación por separado. Los archivos de respaldo predeterminados ocupan espacio en la base de datos y las eliminaciones en cascada importan; la limpieza no siempre libera espacio en disco ni acelera todas las migraciones.
- ¿Basta con una NetworkPolicy y un endpoint OTLP para garantizar la seguridad y la observabilidad?
Mostrar respuesta
Respuesta: No. Verifica la aplicación de políticas del CNI, las rutas permitidas reales, la autenticación, los receptores/exportadores del Collector, el almacenamiento y las alertas.
Explicación: NetworkPolicy no sustituye a IAM/RBAC/TLS. Prometheus no recopila métricas simplemente haciendo scraping de un endpoint OTLP/HTTP.