Review Portainer Stack

Executa uma auditoria completa do arquivo

portainer.yaml

e reporta conformidade, problemas e sugestões.

Instruções de Execução

Quando esta skill for invocada, siga exatamente este roteiro:

Passo 1 — Ler o arquivo

Leia o arquivo

portainer.yaml

completo.

Passo 2 — Executar todos os checks abaixo

Execute cada bloco de verificação e registre os resultados (✅ OK / ⚠️ Atenção / ❌ Erro).

Passo 3 — Gravar o resultado

Grave o relatório completo em um arquivo chamado portainer.audit.md.

Checks de Verificação

1. Imagens

Verifique as imagens dos serviços:

Agent:

Deve usar

portainer/agent:sts

ou versão estável (

portainer/agent:<versão>

)

Alertar se estiver usando tag instável em produção

Portainer CE:

Deve usar
```
portainer/portainer-ce:sts
```
ou versão estável
Verificar se a tag
```
sts
```
(Short Term Support) é adequada ou se
```
lts
```
(Long Term Support) é mais apropriado para produção

2. Serviços Obrigatórios

Verifique se todos estes serviços estão presentes:

Serviço	Obrigatório
`agent`	Sim
`portainer`	Sim

3. Comando do Portainer

Verifique o comando do serviço

portainer

Deve conter
```
-H tcp://tasks.agent:9001
```
— aponta para o serviço agent via DNS do Swarm
Deve conter
```
--tlsskipverify
```
— permite comunicação sem TLS entre portainer e agent (aceitável em rede interna)
Alertar se a URL do agent não usar
```
tasks.agent
```
(nome de serviço do Swarm)

4. Modo de Deploy

Agent:

Deve usar
```
mode: global
```
— garante que um agent roda em cada nó do Swarm
Alertar se não for
```
global
```
(agents ausentes em alguns nós)

Portainer:

Deve usar
```
mode: replicated
```
com
```
replicas: 1
```
Alertar se tiver mais de 1 réplica (Portainer CE não suporta HA nativo)

5. Placement Constraints

Agent:

Deve ter
```
node.platform.os == linux
```
— garante compatibilidade com nós Linux
Não deve ter
```
node.role == manager
```
(agent deve rodar em todos os nós)

Portainer:

Deve ter
```
node.role == manager
```
— interface web acessível apenas no manager

6. Volumes do Agent

Agent:

```
/var/run/docker.sock:/var/run/docker.sock
```
— obrigatório para comunicação com Docker

/var/lib/docker/volumes:/var/lib/docker/volumes

— obrigatório para gerenciamento de volumes

Alertar se algum desses volumes estiver ausente no agent.

7. Volume do Portainer

```
portainer_data
```
— deve ser declarado como
```
external: true
```
Verificar se está montado em
```
/data
```
Alertar se o volume não for externo (dados de configuração perdidos em redeploy)

8. Portas Expostas

Portainer:

```
9000:9000
```
— porta HTTP do Portainer
Verificar se esta porta é necessária ou se apenas Traefik (HTTPS) é suficiente
Alertar se porta 9000 exposta e Traefik também configurado (redundante)

Agent:

Não deve ter portas expostas publicamente (comunicação apenas interna via Swarm)

9. Rotas Traefik

Para o serviço

portainer

, verifique:

Âncora de endereço (
x-portainer-app-url
):

A âncora
```
x-portainer-app-url
```
deve existir e conter um domínio válido (não placeholder como
```
painel.seudominio.com.br
```
)
O domínio na âncora deve ser idêntico ao domínio dentro de
```
Host(...)
```
na label
```
traefik.http.routers.portainer.rule
```
Se não forem iguais, reportar como ❌ Erro: inconsistência entre
```
x-portainer-app-url
```
e a regra Traefik

Labels obrigatórias:

```
traefik.enable=true
```

traefik.swarm.network=network_swarm_public

traefik.http.routers.portainer.rule

— deve conter

Host(...)

com domínio válido e coincidir com

x-portainer-app-url

traefik.http.routers.portainer.entrypoints=websecure

traefik.http.routers.portainer.tls.certresolver=letsencryptresolver

traefik.http.routers.portainer.service=portainer

traefik.http.services.portainer.loadbalancer.server.port=9000

traefik.http.routers.portainer.priority=1

— verificar se é adequado

Regras:

O
```
agent
```
não deve ter labels Traefik (serviço interno)

10. Redes

Agent:

Deve estar na rede
```
network_swarm_public
```

Portainer:

Deve estar na rede
```
network_swarm_public
```
A rede deve ser declarada como
```
external: true
```

11. Segurança

```
--tlsskipverify
```
na comunicação portainer-agent — aceitável em rede interna, mas documentar
Porta 9000 exposta + Traefik: considere remover a exposição de porta direta
Portainer CE por padrão não tem autenticação além do login — garanta senha forte no primeiro acesso
Verificar se o domínio configurado no Traefik tem acesso restrito (recomendado proteger com IP allowlist)

Formato do Relatório de Saída

Ao final, produza um relatório estruturado:

# Relatório de Auditoria — portainer.yaml
Data: <data atual>

## Resumo
- Total de checks: X
- ✅ OK: X
- ⚠️ Atenções: X
- ❌ Erros: X

## Resultados por Categoria

### 1. Imagens
✅ portainer/agent:sts: tag definida
⚠️ Tag `sts` (Short Term Support): considere `lts` para ambientes de produção estáveis
...

### 2. Serviços
✅ agent: presente
✅ portainer: presente

### 3. Comando
✅ portainer: -H tcp://tasks.agent:9001 --tlsskipverify correto
...

### 4. Modo de Deploy
✅ agent: mode global (correto para todos os nós)
✅ portainer: mode replicated, 1 réplica
...

### 5. Placement
✅ agent: node.platform.os == linux
✅ portainer: node.role == manager
...

### 6. Volumes Agent
✅ docker.sock: montado
✅ docker volumes: montado
...

### 7. Volume Portainer
✅ portainer_data: volume externo em /data
...

### 8. Portas
⚠️ Porta 9000 exposta e Traefik configurado — considere remover exposição direta de porta
...

### 9. Rotas Traefik
✅ portainer: rota Host correta, TLS ok
✅ agent: sem Traefik (correto)
...

### 10. Redes
✅ network_swarm_public: configurado como external
...

### 11. Segurança
⚠️ --tlsskipverify: documentar que comunicação interna é confiável
⚠️ Configure senha forte no primeiro acesso ao Portainer
⚠️ Considere adicionar IP allowlist no Traefik para o Portainer
...

## Ações Recomendadas (por prioridade)

### Crítico (fazer antes do deploy)
1. ...

### Recomendado
1. ...

### Opcional
1. ...

promovaweb-devops-review-portainer-stack

NPX Install

Tags

SKILL.md Content

Review Portainer Stack

Instruções de Execução

Passo 1 — Ler o arquivo

Passo 2 — Executar todos os checks abaixo

Passo 3 — Gravar o resultado

Checks de Verificação

1. Imagens

2. Serviços Obrigatórios

3. Comando do Portainer

4. Modo de Deploy

5. Placement Constraints

6. Volumes do Agent

7. Volume do Portainer

8. Portas Expostas

9. Rotas Traefik

10. Redes

11. Segurança

Formato do Relatório de Saída