Running customer Helm charts in a dedicated pod — why it left the shared agent, what helm reads from a chart, process limits, matching Argo CD’s render conditions, and a NetworkPolicy controller that had been off all along.
Keeping a deploy robot from growing its own power — short-lived OIDC credentials instead of stored keys, a permissions boundary on every role it creates, permission and creation split into two PRs, and EKS access entries as one line in the cluster’s roster.
API 서버로 가는 모든 요청은 인증·인가·어드미션 세 관문을 지난다. Role과 RoleBinding을 분리해 권한을 설계하고, ClusterRole의 범위는 정의가 아니라 바인딩이 정한다는 것까지.
Secret은 암호화가 아니라 인코딩이다. Sealed Secrets·External Secrets·sops로 Git 노출을 막고, CSI·사이드카 주입으로 클러스터에 아무것도 남기지 않는 방법.
NetworkPolicy와 Istio AuthorizationPolicy로 파드 간 통신을 제한하는 방법. 기본 차단에서 시작해 필요한 경로만 허용한다.
검사는 언젠가 뚫린다고 가정하고, securityContext 7종 세트로 프로세스를 최소 권한의 울타리에 가둔 뒤, PSS/PSA 정책으로 그 울타리를 클러스터 차원에서 강제하는 법.
eBPF 로 Pod 네트워크와 네트워크 정책, 서비스 로드 밸런싱, 통신 관측을 처리하는 CNI 플러그인. Hubble 로 누가 어디로 통신했고 왜 막혔는지 기록한다.
컨테이너 앱의 시스템 콜을 호스트 커널 대신 받아 처리하는 사용자 공간 커널. 컨테이너가 호스트 커널을 직접 건드리지 못하게 하는 샌드박스 런타임이다.
EC2 인스턴스가 자기 정보와 IAM 역할 자격 증명을 읽어 오는 링크 로컬 주소 169.254.169.254 의 서비스. 컨테이너가 이 주소에 닿으면 노드의 AWS 권한을 가져갈 수 있다.