밥벌이코딩

S3 수명주기 정책

babbeolicoding — Thu, 2 Apr 2026 22:10:47 +0900

버킷 -> 관리 -> 수명 주기 규칙 정책

스토리지 클래스 간에 객체의 현재 버전 전환

(현재 활발히 사용 중인 '최신 파일'을 더 저렴한 저장소로 옮기는 작업)

- 설명: 자주 쓰지 않는 파일을 S3 Standard(비쌈)에서 Standard-IA(조금 저렴)나 Glacier(매우 저렴)로 자동 이동
- 특징: 파일은 그대로 목록에 보이지만, 뒤에서 저장되는 물리적인 위치만 변경

스토리지 클래스 간에 객체의 이전 버전 전환

(수정되거나 삭제되어 '뒤로 밀려난 과거 버전'들을 저렴한 저장소로 옮기는 작업)

- 설명: 버전 관리가 켜진 버킷에서만 작동하며, 구버전 파일들을 Glacier 같은 아카이브 저장소로 이동
- 용도: "과거 이력 데이터는 거의 볼 일이 없으니 가장 싼 곳에 보관하고 싶을 때" 사용

객체의 현재 버전 만료 (Expiration)

(사용자가 보는 '최신 파일'을 목록에서 숨기고 '이전 버전' 상태로 만듭니다.)

- 동작: 파일에 **'삭제 마커'**를 붙입니다. 일반적인 조회 시에는 파일이 삭제된 것처럼 보이지 않음
- 핵심: 실제 데이터가 바로 지워지는 것이 아니라 '논리적 삭제' 상태(버전 표시를 누르면 복구 가능)

해당 작업이 진행되면 S3에서는 아무런 리스트가 보이지 않음

버전표시를 누르면 해당 파일이 보임

객체의 이전 버전 영구 삭제 (Noncurrent Version Expiration)

(목록에서 사라져 '이전 버전' 탭에 숨어 있는 데이터를 실제로 완전히 지우는 작업)

동작: 지정한 기간이 지나면 S3 저장소에서 데이터를 물리적으로 제거
핵심: 이 작업이 실행되어야 실제로 스토리지 비용이 줄어듭니다. 한번 지워지면 복구가 불가능

만료된 객체 삭제 마커 또는 완료되지 않은 멀티파트 업로드 삭제

(데이터가 지워지고 남은 '찌꺼기'들을 정리하는 청소 작업)

만료된 객체 삭제 마커 삭제: 데이터는 이미 영구 삭제되고 '삭제 마커(포스트잇)'만 덜렁 남은 경우, 이 마커까지 지워야 목록이 깔끔해짐
완료되지 않은 멀티파트 업로드 삭제: 파일을 올리다가 인터넷 끊김 등으로 중단된 '업로드 조각'들을 삭제. 이 조각들도 용량을 차지하며 비용이 나오기 때문에 반드시 체크해야 함.

Kubernetes Envoy로 Header 로깅하기 (Ingress 연동)

babbeolicoding — Mon, 2 Mar 2026 23:29:41 +0900

구조는 아래 이미지와 같다.

호출 → Ingress → Envoy Service → Envoy Pod(로그 기록) → Backend Service → Pod

테스트용 백앤드 서비스 생성

kubectl create deployment service-1 --image=nginx --replicas=1
kubectl create deployment service-2 --image=nginx --replicas=1
kubectl create deployment service-3 --image=nginx --replicas=1

kubectl expose deployment service-1 --port=80 --target-port=80
kubectl expose deployment service-2 --port=80 --target-port=80
kubectl expose deployment service-3 --port=80 --target-port=80

Envoy ConfigMap

apiVersion: v1
kind: ConfigMap
metadata:
  name: envoy-config
  namespace: default
data:
  envoy.yaml: |
    static_resources:
      listeners:
      - name: listener_0
        address:
          socket_address:
            address: 0.0.0.0
            port_value: 15001
        filter_chains:
        - filters:
          - name: envoy.filters.network.http_connection_manager
            typed_config:
              "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
              stat_prefix: ingress
              route_config:
                name: ingress_route
                virtual_hosts:
                - name: backend_services
                  domains:
                  - "*"
                  routes:
                  - match:
                      prefix: "/"
                    route:
                      cluster: service-1
              http_filters:
              - name: envoy.filters.http.lua
                typed_config:
                  "@type": type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
                  inline_code: |
                    function envoy_on_request(handle)
                      local headers = handle:headers()
                      local log = "=== REQUEST HEADERS START ===\n"
                      for key, value in pairs(headers) do
                        log = log .. key .. ": " .. value .. "\n"
                      end
                      log = log .. "=== REQUEST HEADERS END ==="
                      handle:logInfo(log)
                    end
              - name: envoy.filters.http.router
                typed_config:
                  "@type": type.googleapis.com/envoy.extensions.filters.http.router.v3.Router
              access_log:
              - name: envoy.access_loggers.stdout
                typed_config:
                  "@type": type.googleapis.com/envoy.extensions.access_loggers.stream.v3.StdoutAccessLog
                  log_format:
                   text_format: |
                    [START]
                    Remote Address: %DOWNSTREAM_REMOTE_ADDRESS%
                    Method: %REQ(:METHOD)%
                    Path: %REQ(:PATH)%
                    User-Agent: %REQ(USER-AGENT)%
                    Content-Type: %REQ(CONTENT-TYPE)%
                    Accept: %REQ(ACCEPT)%
                    Host: %REQ(HOST)%
                    Accept-Language: %REQ(ACCEPT-LANGUAGE)%
                    Content-Length: %REQ(CONTENT-LENGTH)%
                    Referrer: %REQ(REFERRER)%
                    Cookie: %REQ(COOKIE)%
                    X-Forwarded-For: %REQ(X-FORWARDED-FOR)%
                    X-Real-IP: %REQ(X-REAL-IP)%
                    Status: %RESP(:STATUS)%
                    TTTT Header: %REQ(tttt)%
                    Transfer-Encoding: %RESP(TRANSFER-ENCODING)%
                    Bytes Received: %BYTES_RECEIVED%
                    Bytes Sent: %BYTES_SENT%
                    Duration: %DURATION%
                    Requested Server Name: %REQUESTED_SERVER_NAME%
                    [END]

      clusters:
      - name: service-1
        connect_timeout: 1s
        type: STRICT_DNS
        lb_policy: ROUND_ROBIN
        load_assignment:
          cluster_name: service-1
          endpoints:
          - lb_endpoints:
            - endpoint:
                address:
                  socket_address:
                    address: service-1.default.svc.cluster.local
                    port_value: 80

Envoy Deployment & Service

apiVersion: apps/v1
kind: Deployment
metadata:
  name: envoy
spec:
  replicas: 1
  selector:
    matchLabels:
      app: envoy
  template:
    metadata:
      labels:
        app: envoy
    spec:
      containers:
      - name: envoy
        image: envoyproxy/envoy:v1.29-latest
        args: ["--config-path", "/etc/envoy/envoy.yaml"]
        ports:
        - containerPort: 15001
        volumeMounts:
        - name: config
          mountPath: /etc/envoy
      volumes:
      - name: config
        configMap:
          name: envoy-config
---
apiVersion: v1
kind: Service
metadata:
  name: envoy
spec:
  selector:
    app: envoy
  ports:
  - port: 15001
    targetPort: 15001

ingress에서 특정 경로만 Envoy로 라우팅

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: test-ingress
  annotations:
    nginx.ingress.kubernetes.io/use-regex: "true"
spec:
  ingressClassName: nginx
  rules:
  - host: test.local
    http:
      paths:
      - path: /test1(/|$)(.*)
        pathType: ImplementationSpecific
        backend:
          service:
            name: envoy
            port:
              number: 15001
      - path: /test2(/|$)(.*)
        pathType: ImplementationSpecific
        backend:
          service:
            name: service-2
            port:
              number: 80
      - path: /test3(/|$)(.*)
        pathType: ImplementationSpecific
        backend:
          service:
            name: service-3
            port:
              number: 80

ingress-nginx canary 설정

babbeolicoding — Mon, 2 Mar 2026 23:12:23 +0900

canary ⇒ 특정 pod에 설정한 weight만큼의 비율만 호출하게 하는 기능

ingress + deploy + svc 조합이 2개가 필요함

       [Ingress - Stable / Canary]
                     |
          ┌──────────┴──────────┐
          |                     |
         90%                   10%
          |                     |
   [test-service]     [test-canary-service]
          |                     |
    [Stable Pod1]          [Canary Pod1]
    
    
    
    
- Ingress
 : Stable/Canary용 Ingress가 각각 1개씩 존재
 : Host/Path는 동일할 수 있음

- Service
 : Stable: test-service → Stable Pods
 : Canary: test-canary-service → Canary Pods

- 트래픽 비율
 : Ingress의 **canary annotation weight**로 분배 (예: 90% Stable, 10% Canary)

ingress 설정 방법

nginx.ingress.kubernetes.io/canary: "true"
nginx.ingress.kubernetes.io/canary-weight: "10"

TLS 지원 버전 체크 방법

babbeolicoding — Sat, 7 Feb 2026 13:09:08 +0900

특정 서비스를 호출할 때 해당 서비스에서

어떤 버전의 TLS를 지원하냐에 따라 개발을 달리해야 할 때가 있다.

특정 서비스에서 TLS 지원이 가능한 범위를 확인하기 위해선 아래 명령어를 통해 확인이 가능하다.

#TLS 1.0 확인
openssl s_client -connect {domain}:{port} -tls1

#TLS 1.1 확인
openssl s_client -connect {domain}:{port} -tls1_1

#TLS 1.2 확인
openssl s_client -connect {domain}:{port} -tls1_2

#TLS 1.3 확인
openssl s_client -connect {domain}:{port} -tls1_3

호출했을 때 결과값을 통해서 지원 가능한 버전 확인이 가능하다.

elastic container registry 이미지 pull 권한 주는 방법

babbeolicoding — Thu, 5 Feb 2026 21:25:50 +0900

1. Node에 AmazonEC2ContainerRegistryReadOnly 권한을 추가

(단 eks와 ecr이 같은 계정에 있는 경우만 가능하다)

2. Secret 생성 후 deployment에 연결

kubectl create secret generic aws-registry     --from-file=.dockerconfigjson=/home/kuber/config.json     --type=kubernetes.io/dockerconfigjson

이런식으로 secret을 만들어서 사용하면 됨

Bucket {s3-name} already has continuous backup enabled for another vault Backup job failed.

babbeolicoding — Sun, 1 Feb 2026 11:10:18 +0900

S3 온디맨드 백업 진행 시 아래 오류가 발생
Bucket {s3-name} already has continuous backup enabled for another vault Backup job failed.

해당 오류 메시지 내용은

해당 S3 버킷은
이미 다른 Backup Vault에 연속 백업(Continuous backup / PITR) 이 활성화돼 있기 때문에
새 온디맨드 백업을 다른 Vault로 또 걸려고 하니까 거절되고 결과 상태가 “만료됨(Expired)” 으로 뜬 것

해당 S3가 포함된 백업 룰에서 Enable continuous backups for point-in-time recovery (PITR) 부분을

체크해제해도 되지만 전체 적용되므로 해당되는 S3만 연속 복구 시점의 연결을 해제함

백업 볼트 > 복구 시점 확인 > 해당 S3 확인 및 작업 삭제

복구 시점 연결 해제 선택

이후 온디맨드 백업을 진행하면 정상적으로 백업이 완료됨

Load balancers access log 남기는 방법

babbeolicoding — Wed, 28 Jan 2026 16:54:00 +0900

EC2 > Load balancers > Action > Edit load balancer atributes

S3 URI 입력

해당 LB 선택 후 엑세르 로그 S3 위치 부분에 위에서 설정한 S3가 연결되어 있는지 확인

EC2 이미지 생성(ami 생성)

babbeolicoding — Tue, 27 Jan 2026 22:53:53 +0900

현재 사용 중인 EC2를 통해서 AMI를 생성할 수 있다.

이미지 생성

인스턴스 선택 -> 작업 -> 이미지 및 템플릿 -> 이미지 생성

이미지 정보 입력

재부팅 안함 활성화/비활성화 선택

재부팅 안함을 선택하지 않으면 이미지를 뜨고 난 뒤 백업떠진 서버가 재부팅됨

AMI 생성 중 확인

AMI 생성 확인

snapshot 생성 확인

AMI를 생성하면 자동으로 EC2에서 사용 중인 EBS 스냅샷이 생성된다

calico 다중 네트워크 인터페이스 환경

babbeolicoding — Mon, 26 Jan 2026 22:28:49 +0900

calico가 비정상적으로 네트워크 인터페이스를 연결하는 경우

master node에서 worker node에 있는 pod로 연결이 안됨

pod간 통신이 원활하지 않는 경우가 있다.

status: conditions: 
- lastTransitionTime: "2025-08-28T02:59:56Z" 
message: 'failing or missing response from https://10.42.16.66:10250/apis/metrics.k8s.io/v1beta1: 
Get "https://10.42.16.66:10250/apis/metrics.k8s.io/v1beta1": 
net/http: request canceled while waiting for connection (Client.Timeout exceeded while awaiting headers)' 
reason: FailedDiscoveryCheck status: "False" 
type: Available

특정 네트워크 인터페이스만 사용

nodeAddressAutodetectionV4:
  # 사용할 인터페이스 정규식 표현
  interface: "enp0s3,enp0s4"

특정 네트워크 인터페이스만 제외

nodeAddressAutodetectionV4:
  # 제외할 인터페이스 정규식 표현
  skipInterface: "eth.*"

특정 ip 대역대 사용

nodeAddressAutodetectionV4:
  cidrs:
  - '192.168.200.0/24'

참고 자료

https://docs.tigera.io/calico/latest/networking/ipam/ip-autodetection

Configure IP autodetection | Calico Documentation

Calico IP autodetection ensures the correct IP address is used for routing. Learn how to customize it.

docs.tigera.io

pem convert to jks

babbeolicoding — Thu, 22 Jan 2026 21:45:38 +0900

pem -> p12 -> jks 순으로 변환해야 함.

1. pem -> pkcs12 변환

- 루트 인증서, 서버 인증서, 개인 키를 이용해서 pkcs12 파일을 생성할 수 있음.

openssl pkcs12 -export -in certs/server.crt -inkey private/server.key -out certs/server.p12 -CAfile certs/ca.cert.pem

ex)
certs/server.crt: 서버 인증서.
private/server.key: 서버 개인 키.
certs/ca.cert.pem: 루트 인증서 (중간 인증서가 없으면 루트 인증서만 사용).
certs/server.p12: 생성될 PKCS12 파일.

2. PKCS12 -> JKS 변환

- 생성된 p12 인증서를 java keystore 형식 jks로 변환

keytool -importkeystore -srckeystore certs/server.p12 -srcstoretype PKCS12 -destkeystore certs/server.jks -deststoretype JKS

참고사항

만약 중간 인증서가 없더라도 루트 인증서와 서버 인증서만 사용해서 PKCS12 파일을 만들 수 있음

그 후 이 파일을 JKS로 변환하면 된다.