Somaz의 IT 공부 일지

Cilium Tetragon 완벽 실전 가이드: eBPF 인커널 런타임 보안 감시부터 TracingPolicy 실시간 프로세스 차단까지

Overview클라우드 네이티브 환경의 엔터프라이즈 보안은 정적 이미지 취약점 스캐닝(Trivy, Grype)과 배포 시점의 어드미션 컨트롤(Kyverno, Gatekeeper)만으로는 완성될 수 없다. 사전에 정상 검증을 통과한 파드라 할지라도 런타임 단계에서 제로데이 취약점을 악용한 원격 코드 실행(RCE), 비인가 셸 탈취, 권한 상승(Privilege Escalation), 컨테이너 탈출(Container Escape)과 같은 실시간 침해 위협에 직면한다. 따라서 커널 레벨에서 컨테이너 내부의 모든 행위를 지속적으로 감시하고 위협 발생 즉시 무력화하는 런타임 보안 체계가 필수적이다. 기존의 대표적인 런타임 보안 도구들은 시스템 콜(System Call) 이벤트를 링 버퍼(Ring Buffer)를 ..

Overview쿠버네티스 환경에서 애플리케이션 배포와 인프라 형상을 코드로 관리하는 GitOps 파이프라인의 사실상 표준(de-facto standard) 도구로 ArgoCD가 자리잡았다. 단일 퍼블릭 클라우드를 넘어 AWS, GCP, Azure 전반에 워크로드를 분산 배치하는 멀티 클라우드 환경이 보편화되면서, 각 클라우드의 관리형 쿠버네티스 서비스에 일관된 방식으로 ArgoCD를 배포하고 외부 접근을 통제하는 아키텍처 설계가 필수적이다. 하지만 실제 운영 환경에서는 클라우드 제공업체마다 IAM 인증 체계와 인그레스(Ingress) 트래픽 라우팅 메커니즘이 근본적으로 다르다. AWS EKS는 과거 문법 오류 시 클러스터 접근이 차단되던 `aws-auth` ConfigMap을 폐기하고 AWS API 레벨..

Overview클라우드 네이티브 환경에서 쿠버네티스 워커 노드를 운영할 때 대표적으로 간과하기 쉬운 보안 사각지대는 바로 노드 레벨의 호스트 운영체제(OS)다. 대다수의 엔지니어링 팀은 Amazon Linux 2(AL2), Amazon Linux 2023(AL2023), 혹은 Ubuntu 같은 범용 리눅스 배포판을 EKS 워커 노드 AMI로 채택한다. 그러나 범용 OS는 패키지 관리자(yum, dnf, apt), 파이썬/펄 같은 스크립트 인터프리터, 수많은 유틸리티와 기본 셸(bash)을 내장하고 있어 컨테이너 구동이라는 단일 목적에 비해 공격 표면(Attack Surface)이 지나치게 넓다. 또한 엔지니어가 SSH나 SSM으로 노드에 임의로 접속해 설정을 바꾸면서 발생하는 구성 드리프트(Configu..

Overview한동안 우리 클러스터는 GitLab을 모든 앱의 OIDC Identity Provider로 써 왔다. ArgoCD는 내장 dex의 GitLab connector를, Harbor는 native OIDC 엔드포인트를, Vaultwarden은 SSO authority로 각각 GitLab을 바라보는 구조였다. 잘 굴러가긴 했지만 새 요구사항이 생길 때마다 — LDAP 연동, MFA 정책, 세션 수명, SSO 전용 관리 도구 등 — GitLab에 새 기능을 욱여넣거나 별도 인증 레이어를 또 하나 띄워야 했다. 결국 대부분의 팀이 도달하는 결론을 우리도 따랐다. GitLab 앞에 Keycloak을 중앙 IdP로 두고, Identity Brokering으로 기존 GitLab 계정을 그대로 쓰면서, 다운..

Overview쿠버네티스 환경에서 애플리케이션을 운영하다 보면 Deployment, Service, ConfigMap, Ingress 등 수많은 YAML 매니페스트를 관리해야 하는 복잡성에 직면하게 된다. 환경별(dev, stage, prod)로 달라지는 설정을 일일이 매니페스트 파일 복사본으로 관리하면 설정 누락과 휴먼 에러가 발생하기 쉽다. Helm은 이러한 매니페스트들을 템플릿화하고 파라미터화하여 단일 패키지(Chart) 단위로 릴리스 수명 주기를 제어할 수 있게 돕는 쿠버네티스의 표준 패키지 관리자이다. 과거 Helm v2 시절에는 클러스터 내부에 `Tiller`라는 슈퍼루트 데몬을 설치하여 배포를 위임했으나, 이는 클러스터 전체 보안을 위협하는 취약점으로 지적되었다. Helm v3로 전환되면서 ..

Overview쿠버네티스 클러스터를 구축하는 도구 중 kubeadm은 컨트롤 플레인 컴포넌트의 기동 원리와 정적 파드(Static Pods), 인증서 발급 흐름을 가장 투명하게 학습하고 제어할 수 있는 표준 부트스트랩 도구이다. Kubespray나 관리형 EKS와 달리 인프라의 세부 설정이 엔지니어의 손을 직접 거치므로 장애 원인을 분석하고 클러스터 수명 주기를 직접 제어하는 기본기를 다질 수 있다. 과거 가이드에서 사용되던 구글 호스팅 저장소(`packages.cloud.google.com`)가 완전히 폐쇄되고 커뮤니티 전용 `pkgs.k8s.io` 저장소로 전환되었으며, cgroupfs 대신 systemd 기반 cgroup 드라이버 일치가 필수가 되는 등 최신 환경(Kubernetes v1.37+)에..

Overview기업이나 조직의 규모가 커질수록 다양한 시스템과 애플리케이션이 늘어나고, 그에 따라 사용자 계정 관리의 복잡성도 함께 증가한다. 각 시스템마다 별도의 계정을 관리하다 보면 보안 취약점이 생기고, 사용자는 여러 개의 비밀번호를 기억해야 하는 불편함을 겪게 된다. 이러한 문제를 해결하기 위해 등장한 것이 중앙 집중식 인증 시스템(Centralized Authentication) 이다. 그중에서도 OpenLDAP과 Keycloak은 오픈소스 진영에서 가장 널리 사용되는 솔루션으로, 두 도구를 함께 사용하면 강력하고 유연한 통합 인증 환경을 구축할 수 있다. 이번 글에서는 OpenLDAP과 Keycloak이 각각 무엇이며, 어떻게 함께 동작하는지에 대한 개념과 아키텍처를 정리해본다. Ope..

Overview쿠버네티스 클러스터를 운영할 때 TLS 인증서 관리는 외부 트래픽 암호화뿐 아니라 클러스터 내부 컴포넌트 간 통신 보안에서도 필수 요건이다. 특히 OpenTelemetry Operator, Kyverno, KEDA 같은 현대적인 클라우드 네이티브 워크로드는 파드 생성이나 스펙 검증 과정에서 Admission Webhook을 적극 활용한다. 쿠버네티스 API 서버가 이들 Webhook과 통신할 때 HTTPS 통신이 강제되므로, 만료되지 않는 안전한 TLS 인증서 주입 및 갱신 체계가 갖추어지지 않으면 파드 배포 자체가 차단되는 심각한 장애가 발생한다. 하지만 많은 환경에서 cert-manager를 단순한 Ingress용 Let's Encrypt 인증서 발급 도구로만 취급하거나, 과거 방식대로..

Overview업무용 계정과 개인용 계정으로 Claude Code를 분리해 사용하는 환경에서 두 계정을 동시에 띄워 작업해야 할 때가 있다. VS Code 창을 각각 열어 서로 다른 Claude Code 계정으로 로그인한 상태를 유지하되, 에디터 설정, 확장 프로그램, 서브 에이전트(Sub-agents)는 양쪽 창에서 동일하게 공유하는 구성이다. Claude Code 자체는 환경 변수 하나로 계정 디렉터리를 분리할 수 있다. 그러나 macOS 환경의 VS Code는 단일 인스턴스 구조로 동작하기 때문에 단순 alias나 환경 변수 주입만으로는 기존 프로세스의 환경 변수를 그대로 상속받는 문제가 발생한다. 단일 인스턴스 한계를 우회하고 두 계정을 완전히 격리하는 방법과 설정 공유 절차를 정리한다. ..

OverviewGitHub Actions를 사용하다 보면 여러 워크플로우에서 동일한 Step들이 반복되는 경우가 자주 발생한다. Node.js 환경 셋업, Docker 이미지 빌드, 특정 도구 설치 같은 작업은 프로젝트마다 비슷하게 복사-붙여넣기 되어 유지보수 부담이 점점 커진다. 이런 중복을 제거하고 재사용 가능한 컴포넌트로 묶어주는 것이 바로 Composite Action이다. Composite Action은 여러 개의 워크플로우 Step을 하나의 Action으로 캡슐화하여, 다른 워크플로우에서 단일 Step처럼 호출할 수 있게 해주는 기능이다. JavaScript Action이나 Docker Action과 달리 YAML만으로 작성할 수 있어 진입 장벽이 낮고, 기존 워크플로우 문법을 그대로 활용할 ..