wbsong111
7746570ec0
images/·scripts/build/build-hardened-image.sh·suggest-go-upgrades.py·
build-image.yml·.claude/image-authoring.md·이미지 ADR(0001·0002·0004)을 삭제했다 —
전부 별도 public 레포 security-images 로 이미 이관됐다.
카탈로그 쪽에는 "무엇을 배포 중인가"를 아는 부분만 남긴다:
- catalog/image-map/<image>.env — 옛 catalog.env 의 카탈로그 레이아웃 정보만 뗀 것
- scripts/build/check-rebuild-needed.py — 드리프트 탐지(A 파트)만 남기고 핀 판단
(B 파트: pin_changes/apply_changes/parse_module_specs)은 제거
- scripts/build/apply-published-tags.py(신규) — security-images 의 published.json
을 읽어 카탈로그 values 를 패치
- .github/workflows/{self-build-drift-check,catalog-tag-update}.yml(신규) — 각각
드리프트 스캔+트리거, 발행 태그 반영
effective_severity 를 cve-gate.py 로 옮겼다 — check-rebuild-needed.py 가 핀 도구를
거치지 않고 게이트를 직접 로드하게 하기 위한 선행 작업이다.
두 레포의 계약은 published.json 스키마 하나뿐이다 — security-images 는 이 카탈로그를
모른다(단방향 의존). 이관 배경·결합점 전체는
doc/migrations/self-build-images-to-security-images.md.
부수 수정: 자체 빌드 이미지를 참조하는 차트 values/README 의 죽은 링크(images/**,
doc/decisions/000{1,2,4}, .claude/image-authoring.md)를 security-images 레포를
가리키는 서술로 교체. deploy-test 스크립트·CUSTOM-README 의 개인 Docker Hub 계정
(docker.io/wbsong111) 을 docker.io/paasup 로 교체.
pitfalls.md 의 "스캐너 결과를 그대로 믿지 말 것" 절은 sbom-cve-gate skill 이 차트
축 설명에 실제로 참조하고 있어 남겼다 — "이미지 태그의 베이스 OS" 절만 제거했다
(다른 참조 없음, security-images 문서로 이관 완료).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
결정 기록 (ADR)
카탈로그의 차트 선택 중 재측정으로 복원되지 않는 것만 여기 둔다.
CVE 건수·커버리지·패키지 버전 같은 수치는 게이트가 매 실행마다 다시 재므로 문서로 남기지 않는다(doc/sbom-pipeline.md). 반면 "왜 이 후보를 골랐고 무엇을 비용으로 받아들였나" 는 어디에서도 재생성되지 않는다 — 그것이 ADR 의 범위다.
| # | 결정 | 날짜 | 상태 |
|---|---|---|---|
| 0003 | etcd 는 groundhog2k/etcd 단일 차트 · replicas=1 로 배포한다 |
2026-07-31 | 확정 |
이미지 자체 빌드 ADR(0001·0002·0004)은 별도 레포 security-images 로 이관됐다 —
그 이미지들의 빌드 정의와 함께 그 레포의 docs/decisions/ 에 있다. 카탈로그가 무엇을
배포하는가(차트)와 그 이미지를 어떻게 만드는가(자체 빌드)가 다른 레포에 놓이며 근거도
함께 옮긴 것이다. 이관 배경은
doc/migrations/self-build-images-to-security-images.md.
번호가 0003 하나만 남아 이어지지 않아 보이지만, 다른 세 번호가 예약돼 있던 것일 뿐이고
새 ADR 은 0005 부터 잇는다.
이 문서들의 출처
이 카탈로그의 결정은 원래 security-catalog 프로젝트에서 내려졌다. 결정 당시의 원본
분석·계획 문서(doc/analysis/*, doc/plans/*)까지 연쇄로 가져오면 이중 기록이 생기므로
결론과 근거만 추려 자립적으로 옮겼다 — 이 디렉토리의 문서는 레포 밖을 가리키는 링크가
없다.
새 ADR 을 언제 쓰나
- 이미지·차트 후보를 비교해 하나를 골랐고, 탈락한 후보가 있다
- 자체 빌드로 가면서 업스트림 서명·provenance 를 잃는 비용을 받아들였다
- 기본값을 의도적으로 어겼다 (예: HA 대신 SPOF 수용)
반대로 "게이트가 차단해서 태그를 올렸다" 처럼 선택지가 하나뿐인 조치는 ADR 이 아니다 — 커밋 메시지와 PR 설명이 기록이다(CLAUDE.md "작업 기록을 어디에 남기는가").
파일명은 NNNN-<주제>.md, 번호는 이어서 붙인다. 결정이 뒤집히면 문서를 지우지 않고 상태를
대체됨 → NNNN 으로 바꾼다.