권한 모델
핵심
- CI 는 foundation 이 만든 apply 역할을 OIDC 로 잠깐 빌린다
- apply 역할은 eks-platform 의 역할 11개를 만들 수 있지만, 반드시 천장(권한 경계)을 붙여야 한다
- 역할의 실제 권한 = 역할에 붙인 정책 ∩ 천장
- 천장은 관리자만 적용한다 → CI 가 자기 권한을 키울 수 없다
실제 권한 = 역할에 붙인 정책 ∩ 천장 — CI 는 천장을 고칠 수 없고, 천장은 관리자만 적용한다
진행 중
- 천장 하나를 역할 종류별 셋(controller · app · lgtm)으로 나누는 중 (PR #123)
- 나누면 controller 천장에 “호스팅 · GPU 리소스 거부"를 넣을 자리가 생긴다
정보
이 레포가 맡는 것
- AWS 계정 공통 기반: Terraform state, CI 가 쓰는 역할과 권한 경계
- kukie-dev 클러스터: 네트워크, 데이터베이스, EKS, 클러스터 안 공통 구성
- 앱 배포 설정은 맡지 않는다 → kukie-manifest 레포
색 = 적용 방식
- 관리자 로컬 관리자가 자기 컴퓨터에서
terraform apply. CI 가 자기 권한을 키울 수 없게 권한 · 기반은 여기서만 바꾼다 - /apply 댓글 PR 병합 뒤 최종 plan 을 확인하고 댓글로 적용. root 마다 apply 역할이 따로다
- ArgoCD 자동 main 에 병합하면 ArgoCD 가 클러스터를 그대로 맞춘다
- CI 보라는 plan · apply 를 실행하는 쪽(워크플로 · 러너)
아이콘
- 보라 Terraform 로고 = Terraform root · 주황 Argo 로고 = ArgoCD 차트 · 파랑 CI · 초록 스크립트 · 호박색 폴더 · 회색 파일
관련 글