아무도 선언하지 않은
기본값들

drift 탐지는 단순한 diff처럼 들린다. Git에 선언한 것과 돌고 있는 것을 가져와 비교하고, 다른 곳을 표시하면 된다. 이걸 손으로 쓴 픽스처가 아닌 실제 클러스터로 검증하려고 이렇게 했다. 정상인 걸 아는 매니페스트를 쓰고 버릴 kind 클러스터에 적용하고, kubectl get -o yaml로 라이브 상태를 그대로 덤프했다. 그리고 그 캡처를 원본 Git 소스와 비교했다. 깔끔하게 적용하고 몇 초 뒤, 뭔가 바뀔 틈도 없을 때였다.

비어 있어야 했던 diff

diff는 비어 있지 않았다. 거의 모든 리소스에서, 아무도 건드리지 않은 필드에 drift가 찍혔다. spec.strategy, imagePullPolicy, resources, dnsPolicy, securityContext 등이 모두 라이브 캡처에는 있고 Git 매니페스트에는 없었다. 누가 몰래 클러스터를 바꾼 것도 아니다. 적용 직후에 처음 읽은 상태였다. 리소스가 만들어지는 순간 API 서버와 admission 기본값 처리가 이 필드들을 알아서 채운 것이다. Kubernetes는 원래 그렇게 동작하도록 설계돼 있다.

strategy를 지정하지 않은 Deployment라고 전략 없이 도는 게 아니다. API 서버가 RollingUpdate를 골라 객체 스펙에 다시 써 넣는다. imagePullPolicy가 없는 컨테이너는 이미지 태그를 보고 값을 하나 받는다. 이 중 drift는 하나도 없다. 하지만 객체 전체를 그대로 비교하는 검사기 눈에는 전부 drift로 보였다.

똑똑한 diff 대신 작은 diff

해결책은 명시적인 허용 목록이다. API 서버나 admission 컨트롤러가 흔히 채워 넣는 것으로 알려진 키를 SERVER_DEFAULTED_KEYS라는 고정 집합으로 두고, drift를 판정하기 전에 비교에서 뺀다. 런타임에 추론하거나 맥락으로 짐작하지 않는다. 클러스터가 알아서 추가할 필드를 구체적으로 적어 두고 관리하는 목록이고, 문서만 믿지 않고 실제 클러스터 동작으로 한 번 확인했다. 이제 목록에 있는 필드가 라이브 캡처에만 있고 Git에 없으면 drift로 치지 않는다. 목록에 없는 필드가 그러면 지금처럼 drift로 잡힌다.

첫 번째 문제에 작은 문제가 하나 더 딸려 있었다. 컨테이너는 리스트인데, 리스트를 통째로 비교하면 컨테이너 하나에만 기본값 필드가 붙어도 리스트 전체가 실패한다. 나머지 컨테이너가 Git 선언과 똑같아도 마찬가지다. 그래서 컨테이너를 리스트 순서로 맞추지 않고 이름으로 맞춰 비교하게 했다. 컨테이너 하나에 정당하게 붙은 기본값 때문에 같은 Deployment 안의 다른 컨테이너까지 오탐에 휘말리지 않게 하려는 것이다.

왜 제대로 해야 하나

깔끔하게 적용할 때마다 양치기 소년처럼 drift를 외치는 검사는 슬그머니 무시되는 정도로 끝나지 않는다. 결국 꺼진다. 더 나쁘면 한 번도 깨끗했던 적이 없으니 다들 출력을 대충 넘기는 버릇이 든다. drift 신호의 가치는 조용함에 뜻이 있다는 데서 나온다. 출력이 없으면 정말로 아무것도 어긋나지 않았다는 뜻이어야 한다. "플랫폼이 설계대로 알아서 한 것"과 "누군가 Git 모르게 손으로 바꾼 것"을 구별하지 못하면, 비교 로직이 다른 면에서 아무리 정확해도 그런 조용함을 만들 수 없다.