Migration · Manuel
Manuel de basculement
Une seule vague de migration, du gel de deux semaines à la rétrospective. Les durées ci-dessous supposent une fenêtre de week-end et une vague de 10–30 baies ; les vagues plus grandes sont scindées plutôt qu'étirées. Deux choses font de ceci un manuel plutôt qu'un plan : chaque étape a un responsable désigné, et les critères go/no-go sont décidés des semaines avant la nuit où personne n'a les idées claires.
| T | Quand | Action | Responsable | Détail |
|---|---|---|---|---|
| T-14d | Deux semaines avant | Changement approuvé, vague verrouillée | Responsable de migration | Demande de changement approuvée, contenu de la vague gelé. Tout ce qui n'est pas sur la liste à T-14 ne se déplace pas dans cette vague — les ajouts tardifs sont la façon dont une vague propre devient un incident. |
| T-7d | Une semaine avant | Cible en baie, câblée, alimentée, accessible | Ingénierie de terrain | Le matériel de remplacement ou de réception est installé à la cible, sur les bons circuits, avec accès hors-bande prouvé depuis l'extérieur du réseau d'entreprise. |
| T-72h | Mardi | Exécution à blanc du script de validation | Responsables d'application | Exécutez les vérifications post-déplacement par rapport au domaine de production actuel. Si une vérification échoue maintenant, ce n'est pas un échec de migration à 2 h du matin samedi — c'est une vérification cassée. |
| T-48h | Mercredi | TTL DNS abaissus à 300s | Ingénierie réseau | Abaissus suffisamment à l'avance pour que chaque résolveur ait adopté le TTL court avant le basculement. |
| T-24h | Jeudi | Sauvegarde complète effectuée et restauration testée | Équipe de sauvegarde | Vérifiée restaurable, pas seulement effectuée. Une sauvegarde que personne n'a jamais restaurée est une croyance, pas un contrôle. |
| T-4h | Vendredi 17:00 | Gel des changements engagé, appel bridge ouvert | Responsable migration | Tous les changements non liés arrêtés dans tout le parc. Appel bridge ouvert avec les responsables infrastructure, réseau, applications et l'équipe sur site. |
| T-0 | Vendredi 21:00 | Décision go/no-go #1 | Responsable migration + responsable métier | Critères vérifiés à haute voix : sauvegarde validée, cible accessible, équipe complète, aucun P1 actif ailleurs. Un seul non suffit à arrêter. Reporter coûte un week-end ; poursuivre sur un non fragile coûte le trimestre. |
| T+0:15 | Vendredi 21:15 | Arrêt gracieux, synchronisation delta finale | Responsables applications | Applications arrêtées dans l'ordre des dépendances, dernier delta de réplication purgé, systèmes source marqués en lecture seule pour qu'aucune écriture ne vise un site sur le point d'être vidé. |
| T+1:00 | Vendredi 22:00 | Désaffectation de la source, chargement, transport | Ingénierie terrain | Rails et câbles étiquetés à la sortie. Photographies avant et arrière de chaque baie avant tout débranchement — l'aide la plus rapide au retour en arrière. |
| T+4:00 | Samedi 01:00 | Réception, mise en baie, câblage, mise sous tension | Ingénierie de terrain | Mettez sous tension par étapes plutôt que d'un seul coup : ainsi, un disjoncteur déclenché s'identifiera plutôt que de mettre toute la rangée hors ligne. |
| T+7:00 | samedi 04:00 | Go / no-go #2 — délai limite de retrait | Responsable de la migration | Le dernier moment où un retrait rentre encore dans la fenêtre. Si le site n'est pas alimenté et accessible à cette heure fixe, effectuez un retrait — la décision a été prise à T-14, pas maintenant. |
| T+8:00 | samedi 05:00 | Basculement réseau, DNS réorienté | Ingénierie réseau | Routage réorienté, politique de pare-feu activée, enregistrements DNS réorientés. La surveillance doit passer au vert depuis le nouveau site avant que quiconque soit informé que cela a fonctionné. |
| T+10:00 | samedi 07:00 | Passage de validation automatique | Propriétaires des applications | Le même script de l'exécution à blanc, maintenant contre la cible. Succès ou échec, pas d'opinion. |
| T+14:00 | samedi 11:00 | Validation métier et approbation | Sponsor métier | Les utilisateurs nommés exécutent des transactions réelles. L'approbation est écrite, par application, et appartient au propriétaire plutôt qu'à l'équipe de migration. |
| T+24:00 | dimanche 21:00 | Gel levé, support critique commence | Responsable de la migration | Gel libéré, support renforcé pendant cinq jours ouvrables, et l'environnement source laissé intact jusqu'à la fermeture du support critique. |
| T+7d | vendredi suivant | Rétrospective, procédure mise à jour | Responsable de la migration | Les corrections sont écrites dans le runbook tant que le détail est frais. Chaque vague suivante en hérite. |
Critères d'arrêt
Convenus lors de l'approbation du changement, lus à haute voix à chaque go/no-go. N'importe lequel constitue un arrêt. L'intérêt de les noter d'avance est qu'à 4h du matin, le débat est déjà tranché.
- Sauvegarde non vérifiée restaurable
- Site cible inaccessible en hors bande
- Responsable désigné absent de l'appel
- P1 actif n'importe où dans le parc
- Circuit opérateur non confirmé en service
- Procédure de retour non testée depuis le dernier changement
L'horloge limite
Un retour en arrière n'est viable que s'il tient dans la fenêtre restante. Chronométrez-le en pilot : durée pour ré-équiper, recâbler, mettre sous tension et re-pointer le DNS vers le site source. Déduisez cette durée de la fin de la fenêtre pour obtenir une heure limite fixe — le deuxième go/no-go. L'atteindre sans une cible alimentée et accessible implique un retour en arrière, peu importe le sentiment de proximité. Les équipes qui sautent cette étape n'évitent pas les retours ; elles découvrent à 7h qu'elles n'avaient plus l'option.
À apporter le soir
- Schémas d'élévation et diagrammes de câblage, imprimés — le réseau que vous consulterez peut être celui que vous déplacez
- Photographies de la face avant et arrière de chaque baie, prises avant de débrancher quoi que ce soit
- Optiques de rechange, câbles de brassage, rails, PDU et au moins un de rechange pour toute pièce à source unique
- Identifiants d'accès hors bande testés depuis un partage de connexion mobile, pas le réseau de bureau
- L'arborescence d'escalade avec numéros mobiles, y compris le service de mains distantes de l'opérateur
- Le script de validation, déjà éprouvé contre la production en essai blanc
Avant le runbook, le plan
Une migration ne se passe bien que si la découverte s'est bien passée. Commencez par la liste de contrôle de migration, modélisez le programme avec le calculateur de coûts, et présélectionnez la cible à partir du catalogue de centres de données.
Devis pour le site cible
Indiquez la taille de la vague et le marché — nous vous retournons les centres de données qui conviennent et les prix de référence.