Visão geral
De 20+ clusters AWS ECS para um único cluster OKE: o problema, a solução e o que está em produção hoje.
A Prophub opera uma plataforma SaaS de gestão de risco financeiro para os tenants dos clientes, cada um com 3-4 serviços: frontend Nuxt.js (fsvc), backoffice Directus (bsvc) e Risk Engine (resvc/re2svc).
Situação de origem (AWS ECS)
A infraestrutura anterior rodava em AWS ECS Fargate com 20+ clusters independentes — um por tenant:
- Criados manualmente, sem IaC nem padronização entre stacks.
- IAM tasks com
AdministratorAccess, secrets em plaintext no Git, Security Groups permissivos. - 54+ ALBs com custo fixo; escala operacional linear (~$200/mês por tenant só de overhead).
- Sem observabilidade centralizada.
Destino (OCI + OKE)
A migração para Oracle Kubernetes Engine (OKE) foi decidida em abril/2026 — motivada por custo (control plane gratuito, ARM ~60% mais barato), pela eliminação de problemas estruturais de segurança e pela consolidação de todos os tenants em um único cluster com isolamento programático:
- Um cluster OKE ENHANCED consolidando os tenants, com isolamento por namespace por tenant.
- Crossplane provisiona infraestrutura por tenant via YAML versionado (building blocks).
- ArgoCD sincroniza Git → cluster — nenhuma mudança sem PR aprovado (GitOps).
- Vault + ESO eliminam secrets em plaintext.
- Cilium entrega rede isolada por tenant (NetworkPolicy + observabilidade eBPF).
O que está em produção hoje
| Fase | Entregável | Status |
|---|---|---|
| Fase 1 — Fundação | OKE + Cilium + ArgoCD + Karpenter | ✅ Concluída |
| Fase 2 — Plataforma | Crossplane + Vault + Traefik + cert-manager + ESO | ✅ Concluída |
| Fase 3 — Observabilidade | LGTM fora do Core (RFC-0003) | ↩ Re-escopada — fase posterior |
| Fase 4 — Primeiro Tenant | Building blocks Crossplane + tenant piloto | 🟡 Em andamento |
| Fase 5 — Migração | tenants dos clientes do ECS para OKE | ⏳ Pendente |
Escopo
No escopo (V1): cluster OKE com NPN/Cilium/ArgoCD; dual-pool ARM + x86 (Karpenter); NodePool data dedicado; building blocks Crossplane; Vault + ESO; Traefik + TLS automático; migração dos tenants dos clientes; conectividade privada com a Nelogica.
Destino / roadmap (não é estado atual)
Fora do V1 e tratados como fase posterior: observabilidade (LGTM) fora do cluster de workloads (Observabilidade); isolamento forte via vCluster, se algum tenant exigir (Isolamento); agentes de IA operacionais (AI Ops); Backstage; Vault HA com Kubernetes auth; SSO Google Workspace.