Case Study
Plataforma Kubernetes multi-cloud com GitOps para fintech regulada
EKS + AKS + OKE, App of Apps, ApplicationSets, OPA Gatekeeper, sigstore, drift detection, promoção dev→staging→prod com aprovação.
K8sArgoCDGitOpsMulti-cloud
O Desafio
Fintech em expansão internacional, workloads em 3 clouds (AWS, Azure, OCI) por requisitos de latência, soberania e custo. Deploy manual, drift constante, ausência de auditoria, compliance PCI-DSS e BACEN exigindo rastreabilidade total.
Gaps
- Deploy inconsistente: Helm manual, valores diferentes por env, sem versionamento
- Drift silencioso: Mudanças diretas no cluster, sem rastro, auditoria falha
- Multi-cloud complexity: 3 CNIs, 3 CSI, 3 IAM, 3 formas de fazer o mesmo
- Compliance gap: PCI-DSS exige change control, evidências, segregação
- Rollback doloroso: Helm rollback não cobre CRDs, configmaps, secrets externos
A Solução: GitOps Multi-cloud com ArgoCD
Single source of truth no Git. ArgoCD como control plane unificado. Policy-as-code para governança. Promoção por PR + aprovação.
Estrutura do Repositório (App of Apps)
- repo/platform: bootstrap ArgoCD, projects, RBAC, repositórios repo/infra: operators, CRDs, cert-manager, external-dns, sealing repo/apps: ApplicationSets por domínio (payments, core, risk, platform) repo/envs: overlays kustomize dev/staging/prod por cluster Mono-repo com CODEOWNERS, branch protection, required reviews
Policy-as-Code (OPA Gatekeeper)
- Constraints: resources limits, no privileged, hostNetwork/hostPID denied Image verification: sigstore/cosign, keyless signing, SBOM (Syft) Label enforcement: cost-center, owner, environment, compliance tags Namespace isolation: NetworkPolicies default-deny, egress controlado Audit mode → enforce progressivo, dashboards de violação
Promoção & Pipeline (GitHub Actions + ArgoCD)
- PR → build image → sign → push registry → update kustomize tag ArgoCD ApplicationSet: gera Applications por cluster/env automaticamente Sync windows: dev auto-sync, staging manual, prod manual + approval Pre-sync hooks: DB migration, cache warmup, canary analysis (Flagger) Post-sync: smoke tests, notification Teams/Slack, update CMDB
Drift Detection & Remediação
- ArgoCD: comparison live vs Git, diff visual, auto-heal opcional Kyverno / Gatekeeper: validate admission, mutate, audit logs Drift alerts: PagerDuty, runbook auto-remediate (revert to Git) Compliance report: weekly PDF, evidence para auditoria PCI/BACEN
Multi-cloud Unificado
- Cluster API (CAPI): provisionamento EKS/AKS/OKE via Git CNI unificado: Cilium (eBPF) em todos — network policy, observability CSI unificado: AWS EBS CSI, Azure Disk CSI, OCI Block Volume CSI Identity: IRSA (AWS), Workload Identity (Azure), OCI Auth — mapped to K8s SA
Observabilidade & FinOps
- OpenTelemetry Operator: auto-instrumentação Java, Go, Node, Python Grafana Stack: Loki (logs), Tempo (traces), Mimir (metrics), Pyroscope (profiling) SLO/SLI: error budget, burn rate alerts, SLI per service Kubecost / OpenCost: showback por namespace, team, environment
Resultados Mensuráveis
15minlead time deploy
0drift não detectado
99.95%disponibilidade
100%auditoria PCI/DSS
Depoimento do Platform Lead: "GitOps mudou nossa cultura: infra é código, change é PR, auditoria é git log. O ArgoCD ApplicationSet elimina toil — novo cluster = commit no repo/platform."
Tecnologias & Ferramentas
ArgoCD
ApplicationSets
OPA Gatekeeper
sigstore/cosign
Cilium
Cluster API
Grafana Stack
Kubecost
Resumo do Case
- Cliente
- Fintech (Brasil + LatAm)
- Setor
- Serviços Financeiros
- Clusters
- 12 (4 por cloud x 3 envs)
- Clouds
- EKS, AKS, OKE
- Apps gerenciadas
- 200+
- Compliance
- PCI-DSS, BACEN, LGPD
- Duração
- 5 meses
- Equipe IT Cloud
- 4 platform engineers + 1 sec
Próximos Passos
- Service Mesh: Istio Ambient para mTLS zero-config
- GitOps para infra (Terraform → ArgoCD via Crossplane)
- Policy testing: Conftest no CI, OPA unit tests
Seu próximo case começa com uma conversa.
Tem desafio parecido? Vamos entender seu contexto e mostrar o caminho mais curto para o resultado.
Falar com a IT Cloud