06 · Ambientes, agentes e infraestrutura
Os ambientes são recursos protegidos do Azure DevOps, e é neles, não no pipeline, que ficam as regras de entrada.
Environments
| Ambiente | Entrada | Checks |
|---|---|---|
dev | Automática a cada merge na main | Nenhum além do CI |
hml | Automática após dev saudável | Required template, scan de vulnerabilidades, exclusive lock |
prd | Promoção do mesmo artefato | Required template, aprovação (quando exigida), business hours / freeze, DAST, verificação de assinatura |
Agentes
- Self-hosted em scale set (VMSS) ou containers, com tear down after each use: build limpo e sem vazamento de segredo.
- Pools separados por zona de confiança (build vs deploy em produção), com permissão por projeto.
- Imagem do agente versionada e construída por pipeline, com as ferramentas pré-instaladas e pinadas.
- Rede de saída restrita: apenas feeds internos, registry e alvos de deploy.
Infraestrutura como código
- Terraform (ou Bicep) em repos
*-infra, com o mesmo fluxo de PR, scan e plano revisado antes doapply. planpublicado como artefato do PR;applysó por pipeline, nunca da máquina de alguém.- Detecção de drift agendada, com alerta.
- Paridade entre ambientes: mesma definição, parâmetros diferentes.
Indicadores: D5 · Ambientes, agentes e IaC