자체 빌드 이미지 3종(cloudnative-pg/cnpg-postgresql/etcd) + 대응 헬름 차트 도입

security-catalog 프로젝트에서 첫 실사용 자체 빌드 이미지 3종을 포팅한다 — 전부
상위 태그·베이스 OS 교체로 해소 안 되는 CVE(Go 모듈 정적 링크 또는 미수정 CRITICAL/
HIGH)를 자체 빌드(소스 컴파일 또는 SUSE BCI 재설치)로 대응한다:

- images/cloudnative-pg: CNPG operator, release-1.30 소스 컴파일 + bci-micro
- images/cnpg-postgresql: PostgreSQL 18.4, bci-base + zypper 재설치
- images/etcd: etcd v3.7.1, 소스 컴파일(x/text 강제 업그레이드) + bci-micro

함께 추가:
- manifests/helm/{cloudnative-pg,cnpg-cluster,etcd} — 위 이미지를 참조하는 카탈로그 차트
- scripts/deploy-test/*.sh, .claude/deploy-test-procedure.md — CVE 0건과 별개로
  "실제로 뜨는가"를 검증하는 배포 스모크 테스트
- .claude/pitfalls.md — 자체 빌드/배포 테스트 중 실측한 함정 모음

검토 중 발견해 반영한 수정:
- cloudnative-pg 차트의 image 블록을 etcd와 동일한 registry/repository/tag 3필드+
  따옴표 포맷으로 통일 — 기존 포맷(repository에 registry+repo 결합, 따옴표 없음)은
  patch-catalog-tag.py 의 split 패처가 tag만 갱신하고 repository는 그대로 남기는
  조용한 부분 치환을 일으켜, 향후 레지스트리 마이그레이션 시 깨진 참조를 만들 수 있었다
- cnpg-cluster 차트의 SLES 커버리지 코멘트를 최신 실측(trivy가 SLES 15.7을 정상
  커버함, 2026-07-29 재측정)에 맞게 정정 — 폐기된 "측정 불가/OVAL 우회 필요" 결론이
  남아있었다
- CLAUDE.md/MEMORY.md 의 "images/ 디렉토리 없음" 서술을 갱신하고, 레지스트리
  마이그레이션(docker.io/wbsong111 → docker.io/paasup)·decisions/analysis 문서 이관·
  리소스 프로파일 추가를 다음 작업으로 기록

이 3개 이미지는 아직 dip-catalog 자체 CI(build-image.yml)로 빌드·게이트·push 를
실행해본 적이 없다 — 현재 참조 태그는 security-catalog 쪽에서 이미 검증된 것이다.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

images/etcd/README.md

@@ -0,0 +1,95 @@
+# etcd — 자체 빌드
+
+etcd 서버/`etcdctl`/`etcdutl` 바이너리를 업스트림 소스에서 직접 컴파일한다.
+`manifests/helm/etcd/1.1.12/custom-values.yaml` 의 `image.repository`/`image.tag` 가
+이 산출물을 가리킨다.
+
+security-catalog 프로젝트에서 포팅했다. 목표 정의·CVE 조사 실측·이미지 채택 결정
+근거(각각 `doc/cve-zero-pipeline.md`, `doc/analysis/etcd-cve.md`,
+`doc/decisions/0007-etcd-image-self-build.md`)는 security-catalog 프로젝트에 있고
+dip-catalog 에는 아직 이관되지 않았다 — 신규 자체 빌드 이미지 추가 절차 전반은
+[.claude/image-authoring.md](../../.claude/image-authoring.md) 참고.
+
+> **자체 빌드는 대응 우선순위 3번이다.** 상위 태그 교체·베이스 OS 교체로 목표를
+> 만족할 수 있으면 그 쪽을 쓴다. 자체 빌드는 업스트림 서명·provenance·SBOM attestation 을
+> 잃고 재빌드 책임을 지는 선택이다.
+
+## 왜 자체 빌드하나 — 그리고 왜 `cloudnative-pg` 와 같은 방법인가
+
+업스트림 `quay.io/coreos/etcd:v3.7.1` 은 실효 HIGH 1건(`CVE-2026-56852`,
+`golang.org/x/text` — 깨진 UTF-8 입력에 대한 `norm.Iter` 무한루프 DoS)으로 차단된다.
+상위 태그가 없다(2026-07-31 확인, 최신 릴리스가 여전히 `v3.7.1`이고 `release-3.7`
+브랜치도 아직 이 CVE 를 백포트하지 않았다). 업스트림 배포 이미지 베이스가
+`gcr.io/distroless/static-debian12`(OS 패키지 사실상 0개)라 **베이스 OS 를 바꾸는 것만
+으로는 고쳐지지 않는다** — CVE 는 바이너리에 정적 링크된 Go 모듈 버전이 원인이다.
+자체 빌드(소스 컴파일)만 유효한 대응이다.
+
+이는 `cloudnative-pg` 오퍼레이터 자체 빌드와 **완전히 같은 유형의 문제**(같은
+CVE-2026-56852)이고 대응도 같다 — **오케스트레이션은 동일한
+[scripts/build/build-hardened-image.sh](../../scripts/build/build-hardened-image.sh)
+하나를 공유한다.**
+
+## 소스·버전 관리
+
+| 항목 | 값 |
+| --- | --- |
+| 소스 | `https://github.com/etcd-io/etcd.git` |
+| pinned commit | `source.build.env` 의 `SOURCE_COMMIT` — `v3.7.1` 태그가 가리키는 실제 커밋 |
+| 빌더 | 공식 `golang` 이미지 (`source.build.env` 의 `GO_BUILDER_TAG`, go.mod 요구 버전과 일치) |
+| 최종 베이스 | `registry.suse.com/bci/bci-micro:15.7` — security-catalog 는 SUSE BCI 하나만 쓰기로 결정했다(ADR 미이관); 업스트림의 distroless 대신 여기 적용 |
+
+빌더 스테이지(Go 컴파일)는 공식 `golang` 이미지를 그대로 쓴다 — 최종 이미지에 남는 것이
+아니라 컴파일 산출물만 최종 스테이지로 넘어오므로 스캔·정책 대상이 아니다.
+
+**업스트림과 다른 부분은 딱 하나다** — `golang.org/x/text` 를 워크스페이스 전역
+`go.work` `replace` 한 줄로 `0.39.0` 이상으로 강제 업그레이드한다(각 서브모듈의
+`go.mod` 를 개별로 고치지 않는다). 그 외 빌드 절차(`server`/`etcdutl`/`etcdctl` 세
+바이너리를 각각 컴파일, `CGO_ENABLED=0` 정적 링크)는 업스트림
+`scripts/build_lib.sh` 의 `etcd_build()` 를 그대로 재현한다.
+
+`SOURCE_COMMIT` 은 **자동 추적하지 않는다.** `cloudnative-pg` 와 동일하게 사람이
+업스트림 `release-3.7` 브랜치(또는 그다음 패치 릴리스가 나오면 그 태그)를 보고
+`source.build.env` 를 고쳐 PR 을 여는 것 자체가 갱신 트리거다.
+
+**권장 점검 주기**: 카탈로그 게이트가 이 이미지의 차단 CVE 를 다시 보고할 때, 또는
+업스트림이 `v3.7.2`(혹은 그 이상, `x/text` 백포트 포함)를 릴리스했을 때 — 릴리스가
+나오면 그쪽으로 갈아타는 것(대응 우선순위 a)이 이 자체 빌드를 유지하는 것보다 항상
+우선이다.
+
+## 빌드
+
+```sh
+# 로컬 빌드 (push 없음)
+IMAGE=etcd BASE_OS=source bash scripts/build/build-hardened-image.sh /tmp/out
+
+# 레지스트리에 push 까지 (현재 실제 배포 이미지도 이 네임스페이스에 있다)
+IMAGE=etcd BASE_OS=source REGISTRY=docker.io/wbsong111 \
+  bash scripts/build/build-hardened-image.sh /tmp/out
+```
+
+수행 순서: **빌드 → 기능 검증(`verify.sh`) → SBOM → 전 심각도 스캔 → 게이트 판정.**
+`verify.sh` 는 `etcd`/`etcdctl`/`etcdutl` 이 PATH 에 있는지, `etcd --version` 출력에
+pinned commit 이 실제로 반영됐는지(ldflags 주입 확인), 단일 노드로 기동해 `etcdctl`
+put/get 왕복이 실제로 동작하는지를 확인한다 — 다중 노드 쿼럼·TLS 등은 이 스모크 테스트
+범위 밖이며, dev 클러스터 배포 테스트(`.claude/deploy-test-procedure.md`,
+`scripts/deploy-test/deploy-test-etcd.sh`)가 담당한다.
+
+### 파일 구성
+
+| 파일 | 역할 |
+| --- | --- |
+| `source.Dockerfile` | 빌드 정의 — 소스 컴파일(builder 스테이지) + SUSE BCI(`bci-micro`) 패키징(final 스테이지) |
+| `source.build.env` | pinned commit·버전·빌더 이미지 태그. `BUILD_ARGS` 에 나열한 이름만 `--build-arg` 로 전달된다 |
+| `verify.sh` | 기능 검증. 호스트에서 bash 로 실행되며 `docker run --entrypoint sh` 로 게스트 셸 스크립트를 주입한다(`bci-micro` 는 bash·coreutils 가 있다 — `cnpg-postgresql/verify.sh` 와 같은 패턴, `cloudnative-pg` 의 셸 없는 distroless 와는 다르다) |
+
+베이스 변종이 하나뿐이라 파일명이 `source.*` 로 고정돼 있다.
+
+### 태그
+
+```
+docker.io/wbsong111/etcd:3.7.1-security-hardened-20260731
+                          └ app ┘└ 슬러그 ┘└ 하드닝 ┘└ 빌드일 ┘
+```
+
+이 태그는 security-catalog 프로젝트에서 이미 빌드·게이트 PASS·push 된 실제 이미지다.
+dip-catalog 는 이를 그대로 재사용한다 — 재빌드·재푸시 여부는 `MEMORY.md` 참고.

images/etcd/catalog.env

@@ -0,0 +1,11 @@
+# build-image.yml 이 읽는 카탈로그 반영 메타데이터. 빌드 정의(<variant>.build.env)와는
+# 별개다 — 이건 "이 이미지가 어느 차트의 어느 필드를 가리키는가" 만 담는다.
+
+CHART_DIRS="manifests/helm/etcd/1.1.12"
+
+# 태그 표기 스타일 — imageName(단일 필드 문자열) | split(registry/repository/tag 분리)
+TAG_STYLE=split
+TAG_BLOCK=image
+
+# base_os 입력을 안 주면 쓸 기본 변종 (images/<image>/<DEFAULT_BASE_OS>.build.env)
+DEFAULT_BASE_OS=source

images/etcd/source.Dockerfile

@@ -0,0 +1,83 @@
+# etcd — 업스트림 소스를 pinned commit 으로 직접 컴파일한다.
+#
+# 업스트림(https://github.com/etcd-io/etcd) 의 루트 Dockerfile 은 이미 빌드된 바이너리
+# (`etcd`/`etcdctl`/`etcdutl`)를 ADD 만 한다 — 컴파일 자체는 `scripts/build.sh` →
+# `scripts/build_lib.sh` 의 `etcd_build()` 가 Dockerfile 밖에서 수행한다. 우리는 그 빌드
+# 단계를 Dockerfile 안으로 가져와 `go build` 로 직접 재현한다(cloudnative-pg 자체 빌드와
+# 동일한 패턴 — doc/decisions/0005 참고).
+#
+# 왜 자체 빌드인가 — quay.io/coreos/etcd:v3.7.1 이 게이트에서 차단하는 HIGH 1건
+# (CVE-2026-56852, golang.org/x/text)은 OS 패키지가 아니라 바이너리에 정적 링크된 Go
+# 모듈 버전이 원인이다. etcd v3.7.1/release-3.7 브랜치는 go.mod 에 x/text v0.37.0(취약)을
+# 고정하고 있고 상위 패치 릴리스가 아직 없다(2026-07-31 확인) — 베이스 OS 교체로는
+# 고쳐지지 않으므로 자체 빌드가 유일한 대응이다. 근거: doc/analysis/etcd-cve.md
+#
+# 업스트림과의 대응 관계 (v3.7.1 태그, scripts/build_lib.sh 의 etcd_build() 기준)
+#   cd server && go build ...    →  동일 (ldflags 는 GitSHA 대신 pinned commit 을 직접 주입 — 아래 참고)
+#   cd etcdutl && go build ...   →  동일
+#   cd etcdctl && go build ...   →  동일
+#   distroless/static-debian12   →  SUSE BCI(bci-micro)로 교체. 카탈로그는 SUSE BCI 하나만
+#     쓴다(decisions/0001) — builder 스테이지(Go 컴파일)는 공식 golang 이미지를 그대로 쓴다
+#
+# 업스트림과 다르게 하는 부분 — x/text 강제 업그레이드
+#   etcd 는 Go 워크스페이스(go.work)로 서버/etcdctl/etcdutl 모듈을 함께 관리한다.
+#   각 go.mod 를 개별로 고치는 대신 go.work 에 워크스페이스 전역 replace 한 줄만 추가해
+#   golang.org/x/text 를 강제 업그레이드한다 — 업스트림과의 차이를 최소로 유지하기 위함
+#   (doc/image-selection.md 7절 "빌드 원칙: 업스트림과의 차이를 최소로 유지한다").
+#
+# ldflags — GitSHA 대신 pinned commit 을 직접 주입하는 이유
+#   업스트림은 `git rev-parse --short HEAD` 로 얻은 값을 버전 문자열에 심는다. 우리는
+#   BuildKit 의 git context(`ADD ...#${SOURCE_COMMIT}`)로 체크아웃하므로 커밋을 이미 알고
+#   있다 — 호스트의 verify.sh 가 굳이 컨테이너 안에서 git 을 실행하지 않고도 버전 문자열에
+#   pinned commit 이 반영됐는지 확인할 수 있도록, 알고 있는 전체 커밋 해시를 그대로 심는다
+#   (cloudnative-pg/source.Dockerfile 과 동일한 이유).
+
+# syntax=docker/dockerfile:1
+
+ARG GO_BUILDER_TAG=1.26.5-trixie
+# FROM 에서 쓰는 ARG 는 반드시 첫 FROM 이전(전역 스코프)에 선언해야 한다 — .claude/image-authoring.md
+# 3번 항목, cloudnative-pg/source.Dockerfile 에서 실제로 겪은 버그.
+ARG RUNTIME_BASE=registry.suse.com/bci/bci-micro:15.7
+
+# 호스트 네이티브 아키텍처로 빌더를 띄운다. Go 크로스컴파일은 에뮬레이션이 필요 없다.
+FROM --platform=$BUILDPLATFORM golang:${GO_BUILDER_TAG} AS builder
+ARG TARGETARCH
+ARG SOURCE_COMMIT
+ARG APP_VERSION
+ARG XTEXT_FIX_VERSION
+WORKDIR /src
+
+# BuildKit 의 git context 지원 — tarball+checksum 관리 없이 git 자체가 커밋 무결성을 보장한다.
+ADD https://github.com/etcd-io/etcd.git#${SOURCE_COMMIT} /src
+
+# CVE-2026-56852 대응: golang.org/x/text 를 워크스페이스 전역으로 강제 업그레이드한다.
+# `go work sync` 가 이 replace 를 각 모듈(server/etcdctl/etcdutl 등)의 go.sum 에 반영한다.
+RUN echo "replace golang.org/x/text => golang.org/x/text v${XTEXT_FIX_VERSION}" >> go.work \
+ && go work sync
+
+# 업스트림 scripts/build_lib.sh 의 etcd_build() 를 그대로 재현한다.
+# (GOARCH 는 TARGETARCH 로 대체, GitSHA 대신 pinned commit 전체 해시를 심는다 — 위 설명 참고)
+RUN --mount=type=cache,target=/root/go/pkg/mod \
+    --mount=type=cache,target=/root/.cache/go-build \
+    set -eux; \
+    mkdir -p /out; \
+    LDFLAGS="-X=go.etcd.io/etcd/api/v3/version.GitSHA=${SOURCE_COMMIT}"; \
+    ( cd server  && CGO_ENABLED=0 GOOS=linux GOARCH=${TARGETARCH} go build -trimpath -installsuffix=cgo -ldflags="${LDFLAGS}" -o /out/etcd    . ); \
+    ( cd etcdutl && CGO_ENABLED=0 GOOS=linux GOARCH=${TARGETARCH} go build -trimpath -installsuffix=cgo -ldflags="${LDFLAGS}" -o /out/etcdutl . ); \
+    ( cd etcdctl && CGO_ENABLED=0 GOOS=linux GOARCH=${TARGETARCH} go build -trimpath -installsuffix=cgo -ldflags="${LDFLAGS}" -o /out/etcdctl . )
+
+FROM ${RUNTIME_BASE} AS final
+
+# 업스트림 루트 Dockerfile 과 동일한 경로·구조 — chart(groundhog2k/etcd) 의 startup/liveness/
+# readiness probe 가 `/usr/local/bin/etcdctl` 을 하드코딩해 호출하므로 경로를 바꾸면 안 된다.
+COPY --from=builder /out/etcd    /usr/local/bin/etcd
+COPY --from=builder /out/etcdctl /usr/local/bin/etcdctl
+COPY --from=builder /out/etcdutl /usr/local/bin/etcdutl
+COPY --from=builder /src/LICENSE /licenses/LICENSE
+
+WORKDIR /var/etcd/
+WORKDIR /var/lib/etcd/
+
+EXPOSE 2379 2380
+
+CMD ["/usr/local/bin/etcd"]

images/etcd/source.build.env

@@ -0,0 +1,37 @@
+# etcd — 소스 컴파일형 자체 빌드 (유일한 변종)
+#
+# build-hardened-image.sh 가 source 한다. BUILD_ARGS 에 나열한 이름만 --build-arg 로 넘어간다.
+# 이 이미지는 소스를 직접 컴파일하므로 "베이스 OS" 선택지가 없다 — BASE_OS=source 로 호출한다:
+#   IMAGE=etcd BASE_OS=source bash scripts/build/build-hardened-image.sh <OUT_DIR>
+#
+# 왜 자체 빌드하는가·CVE 근거 → doc/analysis/etcd-cve.md
+# 결정 → doc/decisions/0007-etcd-image-self-build.md
+
+DOCKERFILE=source.Dockerfile
+TARGET=final
+TAG_SLUG=security
+
+# build-hardened-image.sh 가 태그·verify.sh 전달용으로 요구하는 범용 필수값.
+# 업스트림 stock 이미지(quay.io/coreos/etcd:v3.7.1)와는 태그 슬러그(TAG_SLUG=security)로
+# 구분되므로 버전 문자열 자체는 그대로 둔다.
+APP_VERSION=3.7.1
+
+# v3.7.1 태그가 가리키는 실제 커밋(태그 객체가 아니라 peeled commit), 2026-07-31 확인:
+#   git ls-remote --tags https://github.com/etcd-io/etcd.git v3.7.1 v3.7.1^{}
+SOURCE_COMMIT=5e7fd0de9a57db03ecc11794dc40403a734c07bb
+
+# go.mod 의 `go 1.26`/`toolchain go1.26.5` 요구를 만족하는 공식 golang 이미지 태그.
+# 이 이미지는 builder 스테이지에서만 쓰이고 최종 이미지에는 남지 않는다.
+GO_BUILDER_TAG=1.26.5-trixie
+
+# 최종 런타임 베이스 — 카탈로그는 SUSE BCI 하나만 쓴다(decisions/0001). 정적 링크
+# 바이너리(CGO_ENABLED=0)라 패키지 매니저가 없는 가장 가벼운 bci-micro 로 충분하다.
+RUNTIME_BASE=registry.suse.com/bci/bci-micro:15.7
+
+# CVE-2026-56852 대응 — golang.org/x/text 를 이 버전 이상으로 강제 업그레이드한다.
+# v3.7.1/release-3.7 브랜치는 아직 이 CVE 를 백포트하지 않았다(go.mod 실측 x/text
+# v0.37.0). etcd 메인테이너가 release-3.7 브랜치에 패치를 백포트하면(그리고 v3.7.2 가
+# 나오면) 이 자체 빌드는 걷어내고 상위 태그로 돌아간다(대응 우선순위 a 가 c 보다 우선).
+XTEXT_FIX_VERSION=0.39.0
+
+BUILD_ARGS="SOURCE_COMMIT GO_BUILDER_TAG APP_VERSION RUNTIME_BASE XTEXT_FIX_VERSION"

images/etcd/verify.sh

@@ -0,0 +1,81 @@
+#!/usr/bin/env bash
+# etcd 이미지 기능 검증 — 호스트에서 bash 로 실행된다(build-hardened-image.sh 가
+# `env TAG=... PLATFORM=... SOURCE_COMMIT=... XTEXT_FIX_VERSION=... bash verify.sh`
+# 형태로 호출한다). 최종 베이스가 bci-micro 라 bash/coreutils 가 있으므로(패키지
+# 매니저만 없음 — .claude/image-authoring.md), cnpg-postgresql/verify.sh 와 같은
+# 게스트 셸 패턴을 쓴다(cloudnative-pg 처럼 셸 없는 distroless 가 아니다).
+#
+# 마지막 줄에 VERIFY-OK 를 출력하면 통과다. build-hardened-image.sh 가 그것으로 판정한다.
+#
+# 이 이미지에 요구하는 것
+#   - /usr/local/bin/etcd·etcdctl·etcdutl 이 PATH 에 있어야 한다 (chart 의 startup/
+#     liveness/readiness probe 가 /usr/local/bin/etcdctl 을 하드코딩해 호출한다)
+#   - 단일 노드로 기동해 put/get 왕복이 실제로 동작해야 한다 (게이트 0건이어도 못 쓰는
+#     이미지는 무의미하다 — .claude/image-authoring.md 5번)
+set -e
+
+TAG="${TAG:?TAG 환경변수가 필요하다}"
+PLATFORM="${PLATFORM:-linux/amd64}"
+SOURCE_COMMIT="${SOURCE_COMMIT:?SOURCE_COMMIT 환경변수가 필요하다 (build-hardened-image.sh 가 build.env 에서 전달)}"
+
+docker run --rm -i --platform "$PLATFORM" -e SOURCE_COMMIT="$SOURCE_COMMIT" --entrypoint sh "$TAG" <<'GUEST'
+set -e
+
+echo "== 바이너리 탐색 (PATH 기준) =="
+for b in etcd etcdctl etcdutl; do
+  p=$(command -v "$b") || { echo "FAIL: $b 를 PATH 에서 찾을 수 없다"; exit 1; }
+  echo "   $b -> $p"
+done
+
+echo "== 버전 (pinned commit 반영 확인) =="
+# sed 가 없다(bci-micro 는 bash·coreutils 는 있지만 sed 는 별도 패키지라 빠져 있다 —
+# 2026-07-31 CI 에서 실측: "sh: sed: command not found"). 순수 셸 루프로 들여쓴다.
+OUT="$(etcd --version)"
+while IFS= read -r line; do echo "   $line"; done <<EOF
+$OUT
+EOF
+case "$OUT" in
+  *"$SOURCE_COMMIT"*) ;;
+  *) echo "FAIL: 버전 출력에 pinned commit($SOURCE_COMMIT) 이 없다 — ldflags 주입 확인 필요"; exit 1 ;;
+esac
+
+echo "== 단일 노드 기동 =="
+export ETCD_DATA_DIR=/tmp/verify-data
+export ETCD_LISTEN_CLIENT_URLS=http://127.0.0.1:2379
+export ETCD_ADVERTISE_CLIENT_URLS=http://127.0.0.1:2379
+export ETCD_LISTEN_PEER_URLS=http://127.0.0.1:12380
+export ETCD_INITIAL_ADVERTISE_PEER_URLS=http://127.0.0.1:12380
+export ETCD_INITIAL_CLUSTER=default=http://127.0.0.1:12380
+export ETCD_NAME=default
+etcd >/tmp/etcd-verify.log 2>&1 &
+ETCD_PID=$!
+
+trap 'kill $ETCD_PID 2>/dev/null || true' EXIT
+
+echo "== health 대기 (최대 30s) =="
+ok=0
+for i in $(seq 1 30); do
+  if etcdctl endpoint health >/dev/null 2>&1; then ok=1; break; fi
+  sleep 1
+done
+if [ "$ok" != "1" ]; then
+  echo "FAIL: etcd 가 30초 내에 healthy 상태가 되지 못했다"
+  cat /tmp/etcd-verify.log
+  exit 1
+fi
+HEALTH="$(etcdctl endpoint health)"
+while IFS= read -r line; do echo "   $line"; done <<EOF
+$HEALTH
+EOF
+
+echo "== put/get 왕복 =="
+etcdctl put smoke-test ok >/dev/null
+answer="$(etcdctl get smoke-test --print-value-only)"
+[ "$answer" = "ok" ] || { echo "FAIL: get 응답 이상 (got: '$answer')"; exit 1; }
+echo "   get smoke-test => '$answer'"
+
+kill "$ETCD_PID" 2>/dev/null || true
+trap - EXIT
+
+echo "VERIFY-OK"
+GUEST