apisix 카탈로그 CVE 게이트 완전 해소 (차단 165건 → 0건)
etcd(bitnamilegacy 동결 미러) → etcd.enabled=false + 카탈로그 자체 etcd 차트를 externalEtcd 기본값으로 연결. adc·apisix-ingress-controller·apisix(paasup/apisix) 세 이미지는 SUSE BCI 자체 빌드로 교체 — 전부 벤더 등급만으로는 안 보이던 벤더 하향 등급 CVE(NVD 재평가 시 드러남)가 원인이었다. - images/apisix-ingress-controller: 정적 링크 Go 모듈 취약 버전만 강제 업그레이드 - images/apisix: APISIX-Runtime(WASM·dubbo 등 커스텀 모듈 포함) 전체를 SUSE BCI 위에서 소스로 재현, keycloak-authz 플러그인 오버레이 - images/adc: 업스트림 빌더 스테이지는 그대로 두고 distroless 최종 베이스만 SUSE BCI+nodejs24 로 교체 scripts/build/patch-catalog-tag.py 의 TAG_BLOCK 이 점 구분 중첩 경로를 지원하도록 확장(apisix 서브차트 alias 때문에 필요). 세 이미지 모두 게이트 PASS(실효 CRITICAL/HIGH 0/0)와 배포 검증(테스트 클러스터)을 마쳤다. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
This commit is contained in:
wbsong111
@@ -37,16 +37,26 @@ ingress-controller:
|
||||
|
||||
두 값이 불일치하면 ingress-controller가 Admin API 인증에 실패해 라우트 등록이 되지 않는다.
|
||||
|
||||
### 2. etcd StorageClass 확인
|
||||
### 2. externalEtcd 접속 정보 확인 (CVE 대응으로 기본값 변경됨)
|
||||
|
||||
`etcd.enabled`는 **기본 `false`**다. 내장 etcd(bitnami 서브차트)가 쓰던
|
||||
`bitnamilegacy/etcd:latest`가 CVE 게이트 차단 65건(2026-08-11 실측)이었고,
|
||||
업스트림이 `latest` 태그만 제공해 태그 교체로 해소되지 않는 알려진 이슈다
|
||||
(bitnami/containers#83267). 기본값은 카탈로그의 하드닝된 별도
|
||||
`etcd`(`manifests/helm/etcd/1.1.12`) 차트를 가리킨다.
|
||||
|
||||
```yaml
|
||||
etcd:
|
||||
persistence:
|
||||
storageClass: longhorn # 클러스터에 설치된 StorageClass로 변경
|
||||
externalEtcd:
|
||||
host:
|
||||
- http://etcd.etcd-system.svc.cluster.local:2379 # 릴리스명 etcd, 네임스페이스 etcd-system 기준
|
||||
```
|
||||
|
||||
클러스터에 `longhorn`이 없으면 PVC가 Pending 상태로 남아 배포가 중단된다.
|
||||
사용 가능한 StorageClass는 `kubectl get storageclass`로 확인한다.
|
||||
`manifests/helm/etcd/1.1.12`를 다른 릴리스명/네임스페이스로 배포했거나 TLS(`autoTls`)를
|
||||
켰다면 `host`/TLS 설정을 그에 맞게 바꾼다. 그 차트가 아직 없다면 먼저 배포한다
|
||||
(`manifests/helm/etcd/1.1.12/CUSTOM-README.md`).
|
||||
|
||||
개발/테스트에서 내장 etcd가 필요하면 `etcd.enabled: true`로 되돌릴 수 있지만, 그러면
|
||||
`bitnamilegacy/etcd:latest`의 CVE 노출이 그대로 돌아온다는 점을 감수해야 한다.
|
||||
|
||||
### 3. ingress-controller 엔드포인트 및 publishService 확인
|
||||
|
||||
@@ -131,28 +141,29 @@ ingress:
|
||||
- APISIX Admin API를 외부에 노출할 경우에만 활성화한다
|
||||
- `host`를 실제 도메인으로 변경한다
|
||||
|
||||
### etcd (내장 etcd)
|
||||
### etcd (내장 etcd, 기본 비활성)
|
||||
|
||||
```yaml
|
||||
etcd:
|
||||
enabled: true # 내장 etcd 사용 (개발/테스트용)
|
||||
enabled: true # 켜면 bitnamilegacy/etcd:latest 의 CVE 노출이 돌아온다
|
||||
replicaCount: 3 # 운영 환경 HA: 3개 권장
|
||||
persistence:
|
||||
enabled: true
|
||||
size: 8Gi
|
||||
```
|
||||
|
||||
> **운영 환경 주의**: 내장 etcd는 테스트 전용이다.
|
||||
> 운영에서는 `etcd.enabled: false`로 설정하고 외부 etcd를 `externalEtcd`로 연결한다.
|
||||
> **기본값이 `externalEtcd`로 바뀌었다(CVE 대응).** 내장 etcd는 개발/테스트에서
|
||||
> `etcd.enabled: true`로 켤 수 있지만, `bitnamilegacy/etcd:latest`는 상위 태그가 없어
|
||||
> CVE 게이트가 계속 차단한다.
|
||||
|
||||
### externalEtcd (외부 etcd 연동)
|
||||
### externalEtcd (기본값 — 카탈로그의 하드닝된 etcd 차트 연동)
|
||||
|
||||
```yaml
|
||||
etcd:
|
||||
enabled: false
|
||||
externalEtcd:
|
||||
host:
|
||||
- http://etcd-cluster.platform.svc.cluster.local:2379
|
||||
- http://etcd.etcd-system.svc.cluster.local:2379 # manifests/helm/etcd/1.1.12 기본 배포 기준
|
||||
user: ""
|
||||
password: ""
|
||||
```
|
||||
@@ -192,8 +203,11 @@ helm template apisix apisix/apisix \
|
||||
|
||||
### etcd 데이터 마이그레이션
|
||||
|
||||
- etcd 내장 차트를 사용 중이라면 버전 업그레이드 전 etcd 스냅샷을 반드시 백업한다
|
||||
- `etcd.image.tag`가 `latest`로 고정되어 있으므로 버전 고정이 필요하면 `externalEtcd`로 전환한다
|
||||
- 기본값은 `externalEtcd`(카탈로그 `etcd` 차트)라 이 차트 자체의 업그레이드는 etcd 데이터에
|
||||
영향을 주지 않는다
|
||||
- `etcd.enabled: true`로 내장 etcd를 쓰는 중이라면 버전 업그레이드 전 스냅샷을 반드시
|
||||
백업한다 — `etcd.image.tag`가 `latest` 고정이라(bitnami/containers#83267) 버전 고정이
|
||||
필요하면 `externalEtcd`로 전환한다
|
||||
|
||||
### Breaking Change 체크 키
|
||||
|
||||
|
||||
Reference in New Issue
Block a user