パート 5: 運用とセキュリティのクイズ
Airflow 3.3.1 の運用と復旧に関する制約を確認します。
- DAG プロセッサを分離すると、Airflow 3 のスケジューラによるデータベース競合はすべてなくなりますか？
回答を表示
回答: いいえ。Airflow 2 も HA をサポートしていました。バージョン 3 でもデータベースのロック、接続、実行容量を確認する必要があります。
解説: replicas=2 にするだけでは、配置の多様性、データベースのフェイルオーバー、またはサービス全体の HA が自動的に実現するわけではありません。
- 移行前にスケジューラ、プロセッサ、トリガーを停止すれば、すべてのデータベース書き込みを停止できますか？
回答を表示
回答: いいえ。ワーカー/タスク、API サーバー、外部自動化からの書き込みも含め、イングレス、処理のドレイン、書き込みを調整してください。
解説: データベースの復元と Fernet/外部データの復旧をテストしてください。移行経路は 1 つにし、検証済みのロールバック計画を用意します。
- Airflow の全コンポーネントで、同一の Secrets Manager プレフィックスを使う必要がありますか？
回答を表示
回答: いいえ。ワーカー固有のバックエンドと Execution API による解決が意図した構成の場合もあります。
解説: 実際の検索順序、権限、フォールバック、キャッシュを確認してください。一部の経路では例外がログに記録されるため、すべての失敗が通知されずに処理されるわけではありません。
- S3 の remote_logging=True を設定すると、すべてのコンポーネントの全行がすぐにアップロードされますか？
回答を表示
回答: いいえ。これはタスクログを設定するもので、確認した実装では supervisor がタスク実行終了後にアップロードします。
解説: サービスの stdout/stderr には別途収集が必要な場合があります。アップロード前に強制終了すると、直近のログが失われることがあります。
- Fernet を構成したメタストアにある Connection/Variable の値は、すべて平文ですか？
回答を表示
回答: いいえ。password/extra フィールドと Variable の値は暗号化されますが、すべてのメタデータやログが暗号化されるわけではありません。
解説: Fernet キーを保持し、ローテーションしてください。外部バックエンドも選択肢です。AWS Secrets Manager だけが必須の本番環境向け選択肢ではありません。
- Celery の KEDA クエリでは、キューに入ったタスクと実行中のタスクをすべて数えれば十分ですか？
回答を表示
回答: キュー、エグゼキューター、エイリアス、ワーカーの並列数、レプリカ上限を考慮してください。
解説: ワーカーには Deployment と StatefulSet を使えます。また、ゼロへのスケーリングが可能かは実際の構成によります。
- Celery ワーカープールのスケーリングを KubernetesExecutor にそのまま適用できないのはなぜですか？
回答を表示
回答: KubernetesExecutor はタスク用ポッドを直接作成し、同等の固定ワーカープールを持たないためです。
解説: これは KEDA が Deployment しかサポートしないという意味ではありません。ノードオートスケーラーの容量、クォータ、中断の制約は別途確認してください。
- 共有 Celery ワーカーに IAM ロールを割り当てると、各タスクの AWS 権限は自動的に分離されますか？
回答を表示
回答: いいえ。そのワーカー上の複数のタスクが、同じ実行権限を共有する場合があります。
解説: 必要に応じて、別々のプール、エグゼキューター、KPO 子リソースなど、実際の境界を使用し、認証情報の取得元を調査してください。
- db clean の自動化で、削除内容をプレビューし、失敗を検知するにはどうすればよいですか？
回答を表示
回答: まず、確認済みの cutoff/tables を指定して --dry-run を使い、--error-on-cleanup-failure を有効にしてログを確認してください。
解説: 削除は別途実行します。デフォルトのアーカイブはデータベース容量を消費し、カスケードも影響します。クリーンアップしても、常にディスクが解放されたり、すべての移行が速くなったりするわけではありません。
- NetworkPolicy と OTLP エンドポイントだけで、セキュリティとオブザーバビリティを完了できますか？
回答を表示
回答: いいえ。CNI の適用、実際に許可された経路、認証、Collector の receiver/exporter、ストレージ、アラートを確認してください。
解説: NetworkPolicy は IAM/RBAC/TLS に代わるものではありません。Prometheus が OTLP/HTTP エンドポイントを単純にスクレイプするわけでもありません。