Kubernetes Probe, HPA, RBAC — 상태 점검, 오토스케일링, 접근 제어

spec:
  containers:
    - name: app
      image: myapp:1.0
      ports:
        - containerPort: 8080
      livenessProbe:
        httpGet:
          path: /healthz
          port: 8080
        initialDelaySeconds: 10    # 시작 후 10초 대기 (기본값 0)
        periodSeconds: 15          # 15초마다 체크 (기본값 10)
        failureThreshold: 3        # 3번 연속 실패하면 재시작 (기본값 3)
      readinessProbe:
        httpGet:
          path: /ready
          port: 8080
        periodSeconds: 5
        failureThreshold: 2        # 2번 연속 실패하면 Ready=false
      startupProbe:
        httpGet:
          path: /healthz
          port: 8080
        failureThreshold: 30       # 30번까지 허용 (× periodSeconds = 최대 대기)
        periodSeconds: 10

# 1. HTTP GET — 지정한 경로/포트로 HTTP GET 요청
httpGet:
  path: /healthz
  port: 8080

# 2. TCP 소켓 — 포트 열려있는지만 확인 (DB 등)
tcpSocket:
  port: 3306

# 3. 명령어 실행 — 종료 코드 0이면 성공
exec:
  command: ["pg_isready", "-U", "postgres"]

# 4. gRPC — gRPC 헬스체크 프로토콜 사용
grpc:
  port: 9000

spec:
  containers:
    - name: app
      image: myapp:1.0
      resources:
        requests:
          memory: "256Mi"    # 스케줄러가 이만큼 남은 노드에 배치
          cpu: "250m"        # 0.25 코어
        limits:
          memory: "512Mi"    # 초과 시 OOMKill (종료 코드 137)
          cpu: "1000m"       # 1 코어. 초과 시 쓰로틀링 (죽이진 않음)

# Guaranteed 예시 (requests = limits)
resources:
  requests:
    memory: "512Mi"
    cpu: "500m"
  limits:
    memory: "512Mi"
    cpu: "500m"

# 리소스 사용량 확인
kubectl top pods
kubectl top nodes

# 특정 Pod의 리소스 설정 확인
kubectl get pod <이름> -o jsonpath='{.spec.containers[*].resources}'

apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
  name: web-hpa
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: web-app
  minReplicas: 2           # 최소 2개
  maxReplicas: 10          # 최대 10개
  metrics:
    - type: Resource
      resource:
        name: cpu
        target:
          type: Utilization
          averageUtilization: 70    # CPU 평균 70% 넘으면 스케일 아웃
    - type: Resource
      resource:
        name: memory
        target:
          type: Utilization
          averageUtilization: 80

현재 Pod 3개, 평균 CPU 85%
→ 비율 = 85/70 = 1.214
→ 필요 Pod 수 = ceil(3 × 1.214) = ceil(3.64) = 4개
→ 스케일 아웃

# HPA 생성 (명령어)
kubectl autoscale deployment web-app --min=2 --max=10 --cpu-percent=70

# HPA 상태 확인
kubectl get hpa

# 상세 정보 (현재 메트릭, 타겟, 현재 replica 수)
kubectl describe hpa web-hpa

v1 v1 v1     ← 현재 상태 (3개)
v1 v1 v1 v2  ← 새 Pod 1개 추가
v1 v1 v2 v2  ← 이전 Pod 1개 제거, 새 Pod 1개 추가
v1 v2 v2 v2  ← 반복
v2 v2 v2     ← 완료

spec:
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxSurge: 1          # 원하는 수보다 1개 더 띄울 수 있음
      maxUnavailable: 0    # 동시에 내리는 Pod 0개 (항상 전체 수 유지)

spec:
  containers:
    - name: app
      lifecycle:
        preStop:
          exec:
            command: ["sleep", "5"]    # preStop hook은 TERM 전송 전에 실행됨 (5는 예시값)
  terminationGracePeriodSeconds: 30    # 기본값 30초. 초과하면 강제 종료

1. Pod에 종료 시각과 grace period가 기록됨 (STATUS는 Terminating)
2. kubelet이 로컬 Pod 종료 절차 시작 → preStop hook 실행
   동시에, 컨트롤 플레인이 해당 Pod를 EndpointSlice에서 제거할지 평가
3. preStop 완료 후 컨테이너 PID 1에 TERM 시그널 전송
4. 앱이 graceful shutdown
5. grace period가 끝나도 남아있는 프로세스에는 SIGKILL

문제: EndpointSlice 업데이트 전파보다 preStop이 먼저 끝나면
→ TERM을 받은 뒤에도 이미 라우팅된 트래픽이 들어올 수 있음

# 직전 리비전으로 롤백
kubectl rollout undo deployment/web-app

# 특정 버전으로 롤백
kubectl rollout undo deployment/web-app --to-revision=3

# 배포 히스토리
kubectl rollout history deployment/web-app

사용자/ServiceAccount
        │
        ▼
  RoleBinding / ClusterRoleBinding  (누구에게)
        │
        ▼
  Role / ClusterRole  (무엇을 허용)
        │
        ▼
  리소스 (pods, services, deployments 등)

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: pod-reader
  namespace: dev
rules:
  - apiGroups: [""]
    resources: ["pods", "pods/log"]
    verbs: ["get", "list", "watch"]

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-pods-binding
  namespace: dev
subjects:
  - kind: User
    name: junior-dev
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

apiVersion: v1
kind: ServiceAccount
metadata:
  name: ci-bot
  namespace: dev

# ServiceAccount 목록
kubectl get serviceaccounts -n dev

# 현재 사용자의 권한 확인
kubectl auth can-i create deployments --namespace dev

# 다른 사용자의 권한 확인
kubectl auth can-i delete pods --namespace dev --as junior-dev

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: backend-allow-frontend
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: backend          # 이 정책이 적용되는 대상
  policyTypes:
    - Ingress
  ingress:
    - from:
        - podSelector:
            matchLabels:
              app: frontend   # frontend에서 오는 것만 허용
      ports:
        - protocol: TCP
          port: 8080

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all
  namespace: production
spec:
  podSelector: {}          # 네임스페이스 내 모든 Pod
  policyTypes:
    - Ingress
  ingress: []              # 허용 목록 없음

# NetworkPolicy 목록
kubectl get networkpolicies -n production

# 상세 확인
kubectl describe networkpolicy backend-allow-frontend -n production

spec:
  nodeSelector:
    disk: ssd              # label이 disk=ssd인 노드에만 배치

# 노드에 label 추가
kubectl label node node-1 disk=ssd

# 노드에 taint 추가 (GPU 전용 노드)
kubectl taint nodes gpu-node-1 gpu=true:NoSchedule

# 이 Pod만 gpu 노드에 배치 가능
spec:
  tolerations:
    - key: "gpu"
      operator: "Equal"
      value: "true"
      effect: "NoSchedule"

spec:
  affinity:
    # 노드 어피니티: SSD 노드 선호
    nodeAffinity:
      preferredDuringSchedulingIgnoredDuringExecution:
        - weight: 80
          preference:
            matchExpressions:
              - key: disk
                operator: In
                values: ["ssd"]
    # Pod 안티어피니티: 같은 앱의 Pod끼리 다른 노드에 분산
    podAntiAffinity:
      requiredDuringSchedulingIgnoredDuringExecution:
        - labelSelector:
            matchLabels:
              app: web
          topologyKey: kubernetes.io/hostname