Trust boundaries, SLO và incident-ready evidence
Capstone production-ready tối thiểu phải biết ai được làm gì, user impact ra sao và operator sửa failure bằng runbook nào.
Security
OIDC/OAuth token validation ở edge/service, scopes/authorization theo resource, service identity, TLS, secret rotation và least DB/broker privilege. Không xử lý real PAN/card secrets.
Telemetry
SLI order creation/payment completion, RED/USE metrics, structured/audit logs, trace HTTP/DB/message với correlation. Bounded labels/sampling/retention và masking.
Alerts/runbooks
Burn-rate/user symptom alerts; runbook scope/dashboard/queries/mitigation/verification/escalation. Dependency saturation, queue lag, outbox age và reconciliation backlog là diagnostics.
Game day
Inject payment latency, DB pool saturation, duplicate event, bad deploy và telemetry outage; incident roles/timeline, recover, postmortem và verified actions.
Management endpoint boundary
Actuator endpoint availability/access và HTTP/JMX exposure là hai quyết định khác nhau. Capstone chỉ expose health payload cần thiết; management endpoints nhạy cảm phải nằm sau network/authorization boundary, sensitive values phải được sanitize và không bật wildcard chỉ vì tiện vận hành.
- Public/cluster health endpoint có payload phù hợp.
- Management endpoint tách port/network policy hoặc authorization.
- Health groups map đúng semantics liveness/readiness.
Graceful termination như một distributed workflow
Pod termination có grace period và stop signal; việc pod rời normal routing không có nghĩa mọi load balancer/client connection biến mất tức thì. Demo phải chứng minh readiness chuyển sang draining trước exit, HTTP ngừng nhận work mới, consumer ngừng fetch và ack/redelivery an toàn, còn outbox relay không để record ở trạng thái không thể phục hồi.