DevOps 자동화: 완벽 실전 구축 가이드 2026

graph TD
    subgraph Developer_Experience["Developer Experience"]
        IDE[IDE / Local K8s<br/>Skaffold / Telepresence]
        PR[Pull Request<br/>GitHub / GitLab]
    end

    subgraph CI_Pipeline["CI Pipeline (GitHub Actions)"]
        LINT[Lint & Unit Test<br/>Hadolint, Kubeconform] DevOps 자동화 적용 시 이 설정이 중요합니다.
        BUILD[Build & Push<br/>Buildpacks / Kaniko]
        SCAN[Security Scan<br/>Trivy, Syft SBOM, Cosign Sign]
        POLICY[Policy Check<br/>OPA Rego / Kyverno]
    end

    subgraph Artifact_Registry["Artifact Registry"]
        IMG[Container Images<br/>GHCR / GAR]
        SBOM[SBOM / Attestations<br/>in-toto / SLSA]
        HELM[Helm Charts<br/>OCI Registry]
    end

    subgraph GitOps_CD["GitOps Continuous Delivery"]
        ARGO[Argo CD<br/>App of Apps Pattern]
        APPSET[ApplicationSet<br/>Matrix Generator]
        SYNC[Auto Sync + Prune<br/>Self Heal]
    end

    subgraph Platform_Infra["Platform Infrastructure (GKE/EKS)"] DevOps 자동화 적용 시 이 설정이 중요합니다.
        GKE[GKE Autopilot /<br/>EKS Fargate]
        CSI[CSI Drivers<br/>Filestore, Cloud SQL]
        NET[Gateway API /<br/>Cilium CNI]
        POLICY_ENF[Gatekeeper /<br/>Kyverno Admission]
    end

    subgraph Observability["Observability Stack"]
        PROM[Prometheus /<br/>Thanos / Mimir]
        GRAF[Grafana Dashboards<br/>Alerting]
        LOKI[Loki Logs]
        TEMPO[Tempo Traces]
        PYRO[Pyroscope Profiles]
    end

    Developer_Experience --> CI_Pipeline
    CI_Pipeline --> Artifact_Registry
    Artifact_Registry --> GitOps_CD DevOps 자동화 적용 시 이 설정이 중요합니다.
    GitOps_CD --> Platform_Infra
    Platform_Infra --> Observability
    Observability --> Developer_Experience

# main.tf - GKE Autopilot + Workload Identity + Private Cluster
terraform {
  required_version = ">= 1.6.0"
  required_providers {
    google = { source = "hashicorp/google", version = "~> 5.30" }
    kubernetes = { source = "hashicorp/kubernetes", version = "~> 2.30" }
  }
  backend "gcs" { bucket = "my-tf-state-bucket-devops-automation" }
}

provider "google" { project = var.project_id, region = var.region }

module "gke_autopilot" {
  source  = "terraform-google-modules/kubernetes-engine/google//modules/autopilot" DevOps 자동화 적용 시 이 설정이 중요합니다.
  version = "~> 28.0"

  project_id               = var.project_id
  name                     = "${var.env}-autopilot-cluster"
  region                   = var.region
  release_channel          = "REGULAR"
  workload_identity_config = { workload_pool = "${var.project_id}.svc.id.goog" }

  network                    = var.network_name
  subnetwork                 = var.subnet_name
  enable_private_nodes       = true
  enable_private_endpoint    = false # Cloud Build/External CI 접근 위해 마스터 공인 IP 허용
  master_ipv4_cidr_block     = "172.16.0.0/28"
  master_authorized_networks_config {
    cidr_blocks = [{ display_name = "cloud-build", cidr_block = "0.0.0.0/0" }] # 실제론 Cloud Build IP 대역만
  }

  # 비용/보안 최적화 설정
  logging_config = { component_config = { enable_components = ["SYSTEM_COMPONENTS", "WORKLOADS"] } } DevOps 자동화 적용 시 이 설정이 중요합니다.
  monitoring_config = { component_config = { enable_components = ["SYSTEM_COMPONENTS", "WORKLOADS", "APISERVER", "SCHEDULER", "CONTROLLER_MANAGER"] } }

  # 워크로드 아이덴티티 바인딩용 IAM (External Secrets Operator 등)
  service_accounts = {
    eso-sa = { name = "eso-sa", roles = ["roles/secretmanager.secretAccessor"] }
    csi-sa = { name = "csi-sa", roles = ["roles/cloudsql.client", "roles/storage.objectViewer"] }
  }
}

# kubernetes provider는 모듈 아웃풋의 host/ca_certificate/client_token 사용해 구성

name: CI - Build, Scan, Sign & Push
on:
  push:
    branches: [main]
    tags: ['v*']
  pull_request: DevOps 자동화 적용 시 이 설정이 중요합니다.
    branches: [main]
  workflow_dispatch:

env:
  REGISTRY: ghcr.io
  IMAGE_NAME: ${{ github.repository }}
  COSIGN_EXPERIMENTAL: "true" # 키리스 서명용

permissions:
  contents: read
  packages: write
  id-token: write # OIDC 토큰으로 Cosign 키리스 서명
  attestations: write

jobs:
  build-and-scan:
    runs-on: [self-hosted, linux, x64, builder] # GPU/ARM 러너 태그 지정
    timeout-minutes: 30 DevOps 자동화 적용 시 이 설정이 중요합니다.
    outputs:
      image-digest: ${{ steps.build.outputs.digest }}
      image-tag: ${{ steps.meta.outputs.tags }}
    steps:
      - name: Checkout
        uses: actions/checkout@v4
        with: { fetch-depth: 0 } # 태그/히스토리 필요

      - name: Set up Docker Buildx
        uses: docker/setup-buildx-action@v3

      - name: Login to GHCR
        uses: docker/login-action@v3
        with: { registry: ${{ env.REGISTRY }}, username: ${{ github.actor }}, password: ${{ secrets.GITHUB_TOKEN }} }

      - name: Extract metadata (tags, labels)
        id: meta
        uses: docker/metadata-action@v5 DevOps 자동화 적용 시 이 설정이 중요합니다.
        with:
          images: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}
          tags: |
            type=ref,event=branch
            type=semver,pattern={{version}}
            type=semver,pattern={{major}}.{{minor}}
            type=sha,prefix=
            type=raw,value=latest,enable={{is_default_branch}}

      - name: Build & Push with Buildpacks (Cloud Native Buildpacks)
        id: build
        uses: paketobuildpacks/builder@main # 또는 docker/build-push-action@v5 for Dockerfile
        with:
          image: ${{ steps.meta.outputs.tags }}
          builder: paketobuildpacks/builder-jammy-base
          publish: true DevOps 자동화 적용 시 이 설정이 중요합니다.
          cache: true # 레이어 캐싱 필수 (빌드 5분 이내)
          platforms: linux/amd64,linux/arm64

      - name: Generate SBOM (Syft)
        id: sbom
        uses: anchore/sbom-action@v0
        with:
          image: ${{ steps.meta.outputs.tags }}
          format: spdx-json
          output-file: sbom.spdx.json

      - name: Upload SBOM as Artifact
        uses: actions/upload-artifact@v4
        with: { name: sbom, path: sbom.spdx.json, retention-days: 90 }

      - name: Vulnerability Scan (Trivy) - Fail on Critical/High (Fixable only)
        uses: aquasecurity/trivy-action@master
        with: DevOps 자동화 적용 시 이 설정이 중요합니다.
          image-ref: ${{ steps.meta.outputs.tags }}
          format: sarif
          output: trivy.sarif
          severity: CRITICAL,HIGH
          ignore-unfixed: true # 수정 불가능한 취약점은 빌드 실패 안 시킴 (운영에서 패치 대기)
          exit-code: 1
          scanners: vuln,secret,config

      - name: Upload Trivy SARIF to GitHub Security Tab
        uses: github/codeql-action/upload-sarif@v3
        if: always()
        with: { sarif_file: trivy.sarif, category: container-image }

      - name: Sign Image with Cosign (Keyless + SBOM Attachment)
        uses: sigstore/cosign-installer@v3
        with: { cosign-release: 'v2.2.0' }

      - name: Cosign Sign & Attach SBOM DevOps 자동화 적용 시 이 설정이 중요합니다.
        env:
          COSIGN_YES: "true"
          DIGEST: ${{ steps.build.outputs.digest }}
        run: |
          cosign sign --yes ${REGISTRY}/${IMAGE_NAME}@${DIGEST}
          cosign attach sbom --sbom sbom.spdx.json ${REGISTRY}/${IMAGE_NAME}@${DIGEST}
          cosign attest --predicate sbom.spdx.json --type spdxjson ${REGISTRY}/${IMAGE_NAME}@${DIGEST}

  policy-check:
    needs: build-and-scan
    runs-on: ubuntu-latest
    steps:
      - name: Checkout GitOps Repo (별도 레포 권장)
        uses: actions/checkout@v4
        with: { repository: my-org/gitops-manifests, token: ${{ secrets.GITOPS_BOT_TOKEN }} }

      - name: Kubeconform (K8s 매니페스트 스키마 검증) DevOps 자동화 적용 시 이 설정이 중요합니다.
        uses: docker://ghcr.io/yannh/kubeconform:v0.6.7
        with: { args: "-strict -kubernetes-version 1.28 ./clusters/prod" }

      - name: Kyverno Policy Test (로컬 정책 테스트)
        run: |
          kyverno apply ./policies --resource ./clusters/prod --values-file ./values/prod.yaml

  promote-to-gitops:
    needs: [build-and-scan, policy-check]
    if: github.event_name == 'push' && startsWith(github.ref, 'refs/tags/')
    runs-on: ubuntu-latest
    steps:
      - name: Checkout GitOps Repo
        uses: actions/checkout@v4
        with: { repository: my-org/gitops-manifests, token: ${{ secrets.GITOPS_BOT_TOKEN }} }

      - name: Update Image Tag in Kustomize/Helm Values
        run: | DevOps 자동화 적용 시 이 설정이 중요합니다.
          # Kustomize 사용 시
          cd ./clusters/prod/services/my-service
          kustomize edit set image my-service=${{ needs.build-and-scan.outputs.image-tag }}
          # 또는 Helm values.yaml 업데이트 (yq 사용)
          # yq eval ".image.tag = \"${{ needs.build-and-scan.outputs.image-tag }}\"" -i values.yaml

      - name: Create Pull Request (Auto-merge 활성화)
        uses: peter-evans/create-pull-request@v6
        with:
          token: ${{ secrets.GITOPS_BOT_TOKEN }}
          branch: auto-update/my-service-${{ github.ref_name }}
          title: "chore(deps): update my-service to ${{ github.ref_name }}"
          body: "Automated update from CI pipeline. Trivy scan passed. SBOM attached."
          labels: "auto-merge, dependency-update"
          commit-message: "chore: update my-service image to ${{ github.ref_name }}"

# argocd/applicationset-services.yaml
apiVersion: argoproj.io/v1alpha1 DevOps 자동화 적용 시 이 설정이 중요합니다.
kind: ApplicationSet
metadata:
  name: microservices
  namespace: argocd
spec:
  generators:
    - matrix:
        generators:
          - git:
              repoURL: https://github.com/my-org/gitops-manifests.git
              revision: main
              directories:
                - path: clusters/prod/services/*
          - clusters:
              selector: matchLabels: DevOps 자동화 적용 시 이 설정이 중요합니다.
                environment: prod
  template:
    metadata:
      name: '{{path.basename}}-{{name}}'
      namespace: argocd
      labels:
        app.kubernetes.io/part-of: microservices-platform
    spec:
      project: production
      source:
        repoURL: https://github.com/my-org/gitops-manifests.git
        targetRevision: main
        path: '{{path}}'
        helm:
          valueFiles: DevOps 자동화 적용 시 이 설정이 중요합니다.
            - values.yaml
            - values-{{name}}.yaml # 클러스터별 오버라이드
      destination:
        server: '{{server}}'
        namespace: '{{path.basename}}'
      syncPolicy:
        automated:
          prune: true
          selfHeal: true
          allowEmpty: false
        syncOptions:
          - CreateNamespace=true
          - PrunePropagationPolicy=foreground
          - PruneLast=true
        retry: DevOps 자동화 적용 시 이 설정이 중요합니다.
          limit: 5
          backoff:
            duration: 5s
            factor: 2
            maxDuration: 3m
---
# argocd/project-production.yaml
apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: production
  namespace: argocd
spec:
  description: Production Workloads
  sourceRepos:
    - 'https://github.com/my-org/gitops-manifests.git' DevOps 자동화 적용 시 이 설정이 중요합니다.
  destinations:
    - namespace: '*'
      server: https://kubernetes.default.svc
  clusterResourceWhitelist:
    - group: ''
      kind: Namespace
  namespaceResourceWhitelist:
    - group: ''
      kind: '*'
  roles:
    - name: ci-bot
      description: CI Bot Permissions
      policies:
        - p, proj:production:ci-bot, applications, *, production/*, allow
      groups: [] DevOps 자동화 적용 시 이 설정이 중요합니다.
    - name: developers
      policies:
        - p, proj:production:developers, applications, get, production/*, allow
        - p, proj:production:developers, applications, sync, production/*, allow
      groups: [my-org:developers]

# policies/security-requirements.yaml
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: require-security-standards
spec:
  validationFailureAction: Enforce # 차단
  background: true
  rules: DevOps 자동화 적용 시 이 설정이 중요합니다.
    - name: check-image-signature-cosign
      match:
        any:
        - resources:
            kinds: [Pod, Deployment, StatefulSet, DaemonSet, Job, CronJob]
      verifyImages:
        - image: "ghcr.io/my-org/*"
          key: |-
            -----BEGIN PUBLIC KEY-----
            (Cosign 퍼블릭 키 - `cosign verify-blob`으로 추출)
            -----END PUBLIC KEY-----
          annotations:
            - "dev.sigstore.cosign/signature:.*"
    - name: require-resource-limits
      match: DevOps 자동화 적용 시 이 설정이 중요합니다.
        any: DevOps 자동화 도입 효과는 확실합니다.
        - resources:
            kinds: [Deployment, StatefulSet, DaemonSet, Job, CronJob]
      validate:
        message: "컨테이너에 resources.limits (cpu, memory) 필수"
        pattern:
          spec:
            template:
              spec:
                containers:
                  - name: "*"
                    resources:
                      limits:
                        cpu: "?*"
                        memory: "?*" DevOps 자동화 적용 시 이 설정이 중요합니다.
    - name: forbid-latest-tag
      match:
        any:
        - resources:
            kinds: [Deployment, StatefulSet, DaemonSet, Job, CronJob]
      validate:
        message: ":latest 태그 사용 금지 (불변 태그 사용)"
        deny:
          conditions:
            all:
              - key: "{{ spec.template.spec.containers[*].image }}"
                operator: EndsWith
                value: ":latest"
    - name: inject-sidecar-vault-agent (Mutating - 시크릿 자동 주입)
      match: DevOps 자동화 적용 시 이 설정이 중요합니다.
        any:
        - resources:
            kinds: [Pod]
            selector:
              matchLabels:
                vault.secrets/inject: "true"
      mutate:
        patchStrategicMerge:
          spec:
            initContainers:
              - name: vault-agent-init
                image: hashicorp/vault-agent-injector:latest
                env:
                  - name: VAULT_ADDR
                    value: "https://vault.my-org.com" DevOps 자동화 적용 시 이 설정이 중요합니다.
            volumes:
              - name: vault-agent-token
                emptyDir: { medium: Memory }

# charts/my-service/values.yaml (프로덕션 기본값)
replicaCount: 3
image:
  repository: ghcr.io/my-org/my-service
  tag: "sha-{{ .Values.imageDigest }}" # CI에서 다이제스트 주입
  pullPolicy: IfNotPresent
  pullSecrets: [ghcr-secret]

resources:
  limits:
    cpu: "500m"
    memory: "512Mi" DevOps 자동화 적용 시 이 설정이 중요합니다.
  requests:
    cpu: "100m"
    memory: "128Mi"

autoscaling:
  enabled: true
  minReplicas: 3
  maxReplicas: 50
  targetCPUUtilizationPercentage: 70
  targetMemoryUtilizationPercentage: 80
  behavior:
    scaleDown:
      stabilizationWindowSeconds: 300
      policies:
        - type: Percent
          value: 10 DevOps 자동화 적용 시 이 설정이 중요합니다.
          periodSeconds: 60
    scaleUp:
      stabilizationWindowSeconds: 0
      policies:
        - type: Percent
          value: 100
          periodSeconds: 15
        - type: Pods
          value: 4
          periodSeconds: 15
      selectPolicy: Max

podDisruptionBudget:
  enabled: true
  minAvailable: 50% # 롤링 업데이트 중 가용성 보장

service: DevOps 자동화 적용 시 이 설정이 중요합니다.
  type: ClusterIP
  port: 8080
  annotations:
    cloud.google.com/neg: '{"ingress": true}' # GKE Service NEG

ingress:
  enabled: true
  className: "gce"
  annotations:
    cert-manager.io/cluster-issuer: "letsencrypt-prod"
    networking.gke.io/managed-certificates: "my-service-cert"
  hosts:
    - host: api.my-service.my-org.com
      paths: ["/"]
  tls:
    - secretName: my-service-tls DevOps 자동화 적용 시 이 설정이 중요합니다.
      hosts: [api.my-service.my-org.com]

# External Secrets Operator 연동
externalSecrets:
  enabled: true
  secretStoreRef:
    name: vault-backend
    kind: ClusterSecretStore
  data:
    - secretKey: db-password
      remoteRef:
        key: prod/my-service/db
        property: password
    - secretKey: api-key
      remoteRef:
        key: prod/my-service/external-api
        property: key DevOps 자동화 적용 시 이 설정이 중요합니다.

# 프로브 설정 (중요: 롤아웃 안정성)
livenessProbe:
  httpGet: { path: /healthz, port: http }
  initialDelaySeconds: 15
  periodSeconds: 10
  failureThreshold: 3
readinessProbe:
  httpGet: { path: /ready, port: http }
  initialDelaySeconds: 5
  periodSeconds: 5
  failureThreshold: 3
startupProbe:
  httpGet: { path: /healthz, port: http }
  failureThreshold: 30
  periodSeconds: 10

# 네트워크 정책 (Zero Trust)
networkPolicy: DevOps 자동화 적용 시 이 설정이 중요합니다.
  enabled: true
  ingress:
    - from:
        - namespaceSelector: { matchLabels: { name: ingress-nginx } }
        - podSelector: { matchLabels: { app: my-service } } # 자기 자신 통신
      ports: [ { protocol: TCP, port: 8080 } ]
  egress:
    - to: [ { namespaceSelector: { matchLabels: { name: kube-system } } } ]
      ports: [ { protocol: UDP, port: 53 } ] # DNS
    - to: [ { podSelector: { matchLabels: { app: cloudsql-proxy } } } ]
      ports: [ { protocol: TCP, port: 5432 } ] # DB

# monitoring/prometheus-rules.yaml
apiVersion: monitoring.coreos.com/v1
kind: PrometheusRule DevOps 자동화 적용 시 이 설정이 중요합니다.
metadata:
  name: microservices-rules
  namespace: monitoring
  labels:
    prometheus: k8s
    role: alert-rules
spec:
  groups:
    - name: microservice.sla
      interval: 30s
      rules:
        # 1. 지연 시간 (SLO: p99 < 500ms)
        - alert: HighLatencyP99
          expr: |
            histogram_quantile(0.99,
              sum(rate(http_server_duration_seconds_bucket{namespace=~"prod-.*", job="my-service"}[5m])) by (le, service) DevOps 자동화 적용 시 이 설정이 중요합니다.
            ) > 0.5
          for: 5m
          labels: { severity: critical, team: backend }
          annotations:
            summary: "{{$labels.service}} p99 지연 시간 500ms 초과"
            runbook_url: "https://wiki.my-org.com/runbook/high-latency"

        # 2. 에러율 (SLO: Error Rate < 0.1%)
        - alert: HighErrorRate
          expr: |
            sum(rate(http_server_requests_total{namespace=~"prod-.*", status=~"5.."}[5m])) by (service)
            /
            sum(rate(http_server_requests_total{namespace=~"prod-.*"}[5m])) by (service)
            > 0.001
          for: 2m
          labels: { severity: critical, team: backend }
          annotations: DevOps 자동화 적용 시 이 설정이 중요합니다.
            summary: "{{$labels.service}} 5xx 에러율 0.1% 초과"

        # 3. 파드 재시작 (CrashLoop 감지)
        - alert: PodCrashLooping
          expr: |
            rate(kube_pod_container_status_restarts_total{namespace=~"prod-.*", container!=""}[15m]) > 0
          for: 1m
          labels: { severity: warning, team: platform }
          annotations:
            summary: "{{$labels.namespace}}/{{$labels.pod}} 컨테이너 재시작 발생"

        # 4. HPA 스케일링 한도 도달 (캐파 부족 신호)
        - alert: HPAReplicasMaxed
          expr: |
            kube_horizontalpodautoscaler_status_desired_replicas{namespace=~"prod-.*"} 
            == 
            kube_horizontalpodautoscaler_spec_max_replicas{namespace=~"prod-.*"}
          for: 10m
          labels: { severity: warning, team: platform } DevOps 자동화 적용 시 이 설정이 중요합니다.
          annotations:
            summary: "{{$labels.namespace}}/{{$labels.horizontalpodautoscaler}} 최대 레플리카 도달. 캐파 증설 검토 필요"

        # 5. 인증서 만료 임박 (Cert-Manager)
        - alert: CertExpiringSoon
          expr: |
            certmanager_certificate_expiration_timestamp_seconds - time() < 86400 * 14
          for: 1h
          labels: { severity: warning, team: platform }
          annotations:
            summary: "{{$labels.namespace}}/{{$labels.certificate}} 인증서 14일 내 만료"

# argocd/argocd-cm-patch.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: argocd-cm
  namespace: argocd
data:
  # 1. 헬름 훅 리소스 무시 (생성/삭제 주기적 차이 방지)
  resource.customizations.ignoreDifferences.batch/Job: |
    jqPathExpressions:
      - .metadata.annotations["helm.sh/hook"]
      - .metadata.annotations["helm.sh/hook-weight"]
      - .metadata.annotations["helm.sh/hook-delete-policy"]
  # 2. 시크릿 타입별 무시 필드 (External Secrets/SealedSecrets 공통)
  resource.customizations.ignoreDifferences.v1/Secret: |
    jqPathExpressions:
      - .metadata.annotations["kubectl.kubernetes.io/last-applied-configuration"] DevOps 자동화 적용 시 이 설정이 중요합니다.
      - .metadata.annotations["sealedsecrets.bitnami.com/managed"]
      - .metadata.creationTimestamp
      - .metadata.resourceVersion
      - .metadata.uid
  # 3. 인증서 매니저 리소스 무시 (자동 갱신 시 차이 발생)
  resource.customizations.ignoreDifferences.cert-manager.io/Certificate: |
    jqPathExpressions:
      - .status
      - .metadata.annotations["kubectl.kubernetes.io/last-applied-configuration"]
  # 4. 아르고씨디 자체 리소스 동기화 윈도우 설정 (야간 자동 동기화)
  application.syncWindows: |
    - kind: allow
      schedule: "0 2 * * *" # 매일 새벽 2시
      duration: 2h
      applications: ["*"]
      namespaces: ["*"]
      clusters: ["*"] DevOps 자동화 적용 시 이 설정이 중요합니다.

# monitoring/servicemonitor-standard.yaml (모든 팀 공통 템플릿 강제)
apiVersion: monitoring.coreos.com/v1
kind: ServiceMonitor
metadata:
  name: {{ .Release.Name }}-sm
  namespace: monitoring
  labels:
    release: prometheus-stack
spec: DevOps 자동화 적용 시 이 설정이 중요합니다.
  selector:
    matchLabels:
      app: {{ .Release.Name }}
  endpoints:
    - port: metrics
      interval: 30s
      scrapeTimeout: 10s
      # === 핵심: 메트릭 릴레이블링으로 불필요한 라벨 드랍 ===
      metricRelabelings:
        # 1. 고카디널리티 라벨 강제 제거 (정규식 매칭)
        - sourceLabels: [__name__]
          regex: 'go_.*|process_.*|node_.*' # Go/Node 런타임 기본 메트릭 드랍 (필요시만 유지)
          action: drop
        - sourceLabels: [pod, pod_template_hash, container_id, request_id, session_id, trace_id]
          action: labeldrop
        # 2. 필요한 라벨만 화이트리스트 (비용 절감 직결)
        - sourceLabels: [namespace, service, pod, endpoint]
          action: keep DevOps 자동화 적용 시 이 설정이 중요합니다.
        # 3. 비용 센 라벨 값 정규화 (예: URL 경로 /api/v1/users/123 -> /api/v1/users/:id)
        - sourceLabels: [url, path, route]
          regex: '(/[^/]+)(/[0-9a-f-]+)(.*)'
          targetLabel: route
          replacement: '${1}/:id${3}'
          action: replace
  namespaceSelector:
    matchNames: ["prod-*", "staging-*"]

# ServiceMonitor에 endpointSliceSelector 추가 (K8s 1.26+)
endpoints:
  - port: metrics
    endpointSliceSelector:
      matchLabels:
        # 준비된 엔드포인트만 스크랩 (Terminating 파드 제외)
        endpointslice.kubernetes.io/managed-by: "endpointslice-controller.kubernetes.io" DevOps 자동화 적용 시 이 설정이 중요합니다.

# prometheus/values.yaml (kube-prometheus-stack 차트)
prometheus:
  prometheusSpec:
    retention: 15d # 로컬 보관 2주
    retentionSize: 50GiB
    walCompression: true # WAL 압축 (디스크 I/O 40% 감소)
    # Thanos 사이드카로 장기 저장소(S3/GCS) 업로드
    thanos:
      baseImage: quay.io/thanos/thanos
      version: v0.35.0
      objectStorageConfig:
        key: thanos-objstore.yaml # S3/GCS 버킷 설정 시크릿 키
      resources:
        limits: DevOps 자동화 적용 시 이 설정이 중요합니다.
          memory: 2Gi
          cpu: 1000m
    resources:
      requests:
        memory: 8Gi
        cpu: 2000m
      limits:
        memory: 12Gi
        cpu: 4000m