Checklist de verificação pós-provisionamento antes de entregar um servidor

Objetivo

Oferecer ao agente que entrega um servidor recém-provisionado uma sequência fixa e repetível de verificações, para que "provisionamento concluído" e "pronto para entrega" não sejam tratados, sem que ninguém perceba, como a mesma coisa.

Pré-requisitos

Acesso administrativo ao novo host; acesso aos sistemas de monitoramento, backup e inventário que a organização já utiliza, de modo que a inclusão do novo host em cada um deles possa ser confirmada em vez de presumida.

Passos

1. Sincronização de hora: confirme que o relógio do host está sincronizado e que o serviço de sincronização está ativo, por exemplo com timedatectl ou chronyc tracking no Linux e w32tm /query /status no Windows. Um host com o relógio errado falha na validação de certificados e gera timestamps enganosos em todos os logs seguintes.
2. Resolução de nomes: confirme que o host resolve o próprio hostname previsto e que os outros sistemas conseguem resolvê-lo (DNS direto e, onde for usado, DNS reverso), de acordo com o registro criado na etapa de nomenclatura/inventário.
3. Nível de patches: confirme que o host está na linha de base de atualizações que a organização espera no momento da entrega: ou totalmente atualizado, ou fixado de propósito em uma linha de base conhecida, com um motivo documentado e uma data posterior para aplicar os patches.
4. Monitoramento: confirme que o host realmente aparece no sistema de monitoramento como um nó ativo que envia dados, e não apenas que "deveria ter sido incluído pela automação de provisionamento". Um agente de monitoramento que falhou em silêncio ao se registrar é uma falha de provisionamento comum e fácil de passar despercebida.
5. Inclusão no backup: confirme que o host (ou os dados nele que precisam de proteção) está de fato incluído em um job de backup e que existe, de forma geral, a capacidade de fazer uma restauração de teste para esse mecanismo de backup, sem que seja necessário, já no primeiro dia, um teste completo de restauração deste host específico.
6. Acesso: confirme que o caminho de acesso administrativo previsto funciona de ponta a ponta (login com chave SSH ou passkey, RDP com a credencial/política de PAM correta, ou o que for o padrão da organização) a partir de um local que reproduza a forma como o acesso será feito depois, e não apenas a partir do próprio host de provisionamento.
7. Varredura de segurança de linha de base: execute a verificação de hardening ou de vulnerabilidades de linha de base que a organização exigir antes de o tráfego de produção chegar ao host e registre o resultado junto à entrada do inventário, para que auditorias futuras tenham um ponto de partida para comparação.
8. Registro da conclusão: marque a entrada do inventário como verificada, com a data e o responsável pela verificação, para que "provisionado" e "verificado e pronto" sejam estados distinguíveis no registro.

Resultado esperado

Cada item acima tem uma resposta concreta e verificada (não "deve estar tudo bem") antes de o host ser descrito como pronto; o registro de inventário distingue um host que apenas terminou o provisionamento de um que passou por este checklist.

Limites e base de verificação

Este é um checklist proposto, sintetizado a partir de práticas operacionais amplamente documentadas, e não um padrão publicado por um único fornecedor; as organizações devem adaptar as ferramentas citadas em cada passo aos sistemas de monitoramento, backup e gerenciamento de patches que de fato utilizam. Ele não substitui os processos de gestão de mudanças ou de revisão de segurança que uma organização específica possa exigir adicionalmente antes da entrega para produção.