Documentation

Exploiter une vigie : drain, quarantaine, mise à jour

Une vigie s'opère sans cérémonie : on la vide de son trafic, on l'isole si besoin, on la retire, on la met à jour. Le principe qui rend tout cela simple est qu'une vigie est jetable — son état se reconstruit rapidement — et que sa portée reste liée à votre seul espace de travail. Cette page décrit le cycle d'exploitation courant.

Cycle d'exploitation

Le cycle de vie opérationnel d'une vigie tient en trois gestes qui s'enchaînent : drain, quarantaine, décommission. Chacun préserve les sessions en cours autant que possible et évite toute coupure brutale.

1
DrainOn cesse d'attribuer de nouvelles connexions à la vigie et on laisse les sessions en cours se terminer ou migrer. La vigie se vide progressivement, sans rompre le trafic actif.
2
QuarantaineOn isole la vigie du service : elle n'accepte plus de trafic mais reste observable, le temps d'inspecter un comportement suspect ou de préparer une intervention.
3
DécommissionUne fois vidée et vérifiée, la vigie est retirée du parc. Comme son état est reconstructible, ce retrait ne détruit aucune donnée irremplaçable.

Mises à jour

Une mise à jour de vigie suit le même cycle : on draine la vigie visée, on la retire du service, on déploie la nouvelle version, puis on la réintègre. Le parc reste servant pendant l'opération, car les autres vigies absorbent le trafic drainé.

La vigie est jetable

Une vigie ne détient pas d'état irremplaçable. Elle relaie et coordonne, mais l'état de service qu'elle porte peut être reconstruit à partir de la source de vérité du parc. La perdre n'est donc pas un incident de données, seulement un remplacement.

Cette propriété est ce qui rend le drain, la quarantaine et la décommission peu coûteux : à tout moment, remplacer une vigie est une opération normale, pas une reprise après sinistre.

Supervision

Chaque vigie expose un point de contrôle de santé sur /healthz. Un superviseur l'interroge pour décider d'attribuer du trafic, de déclencher un drain ou de sortir une vigie du service ; c'est le signal de base sur lequel s'appuie le cycle d'exploitation.

La portée privée reste liée à votre espace de travail

Exploiter une vigie ne franchit jamais la frontière de votre espace de travail. Une vigie sert un seul espace de travail : son trafic, ses sessions et son état ne se mêlent pas à ceux d'un autre. Drainer, isoler ou remplacer une vigie n'affecte donc que votre propre périmètre.

Lire ensuiteRéférence des ports →

In English

Operating a vigie follows a simple cycle — drain it of traffic, quarantine it if a behaviour looks suspicious, then decommission it — and updates use the same path: drain, remove, deploy, reintegrate, while the rest of the fleet keeps serving.

A vigie is disposable: it holds no irreplaceable state, and our design target — a target, not a measurement — is that its state rebuilds in under 60 seconds, so replacing one is a routine operation rather than disaster recovery.

Each vigie exposes a /healthz endpoint that drives these decisions, and its private scope stays bound to a single workspace; see /docs/depannage-diagnostics and /docs/vigie-privee.