Ключ подписи — единственная часть узла, потерю которой нельзя откатить.

Ключ подписи — единственная часть узла, потерю которой нельзя откатить.

Работают с ним по нескольким правилам, и все они выстраданы чужими историями.

Разделение ролей. Ключ, которым подписывают, и ключ, которым распоряжаются средствами, — разные сущности, и второй не должен лежать на сервере вовсе.

Резервная копия обязательна, но офлайн. Копия на том же сервере копией не является: она умрёт вместе с диском.

И главное правило, которое нарушают чаще всего: один ключ подписывает в один момент времени только с одной машины. Соблазн «подниму запасной узел с теми же ключами, чтобы не простаивать» приводит к двойной подписи, а это в большинстве сетей наказуемо и необратимо. Запасной сервер держат подготовленным, но без ключей, и переносят ключи вручную, убедившись, что первый узел остановлен.

Спешка при восстановлении обходится дороже простоя. Сначала убеждаемся, что старая машина мертва, потом запускаем новую.