구독 중인 기술 블로그 RSS 피드 목록 이 블로그는 다양한 기술 소식을 RSS 피드로 구독하여 콘텐츠를 생성하고 있습니다. 토스 기술 블로그: https://toss.tech/rss.xml 카카오 기술 블로그: https://tech.kakao.com/feed/ 당근(Daangn) 미디엄 블로그: https://medium.com/f...

서론: 오늘의 문제 취약점 scanner 결과만으로는 이미지에 무엇이 있고 누가 어떤 과정으로 만들었는지 증명할 수 없다. SBOM, digest, 서명과 provenance를 연결해 배포 전 검증한다. 1. SBOM의 역할 OS package와 언어 의존성, 버전을 기계가 읽을 수 있는 목록으로 만든다. 생성 시점과 도구, image diges...

서론: 오늘의 문제 Dockerfile에서 삭제한 비밀도 이전 layer나 build log에 남을 수 있다. build secret, 런타임 주입, 회전과 설정 검증을 생명주기별로 분리한다. 1. ARG와 ENV의 한계 ARG와 ENV는 민감 정보 전달 수단이 아니다. 이미지 metadata와 layer 기록, 프로세스 환경을 통해 노출될 수 ...

서론: 오늘의 문제 컨테이너는 가상 머신과 같은 강한 경계가 아니라 커널을 공유하는 프로세스 격리다. 사용자, capability, filesystem, syscall과 자원 제한을 최소 권한으로 설정한다. 1. Non-root 사용자 이미지에 전용 UID를 만들고 런타임에서도 non-root 실행을 강제한다. 숫자 UID와 파일 소유권을 맞춰 ...

서론: 오늘의 문제 컨테이너 이미지는 실행 파일과 운영체제 조각, 의존성을 묶은 배포 산출물이다. 작은 크기보다 동일 입력이 동일 결과를 만들고 출처를 추적할 수 있는 빌드를 우선한다. 1. Multi-stage 경계 컴파일러와 패키지 관리자는 build stage에 남기고 실행에 필요한 파일만 runtime stage로 복사한다. stage 사...

서론: 오늘의 문제 CI는 소스와 배포 환경을 모두 만나는 높은 권한의 공급망이다. 최소 권한 토큰, OIDC 단기 자격 증명, action 고정과 artifact attestation으로 신뢰 경로를 만든다. 1. GITHUB_TOKEN 최소화 job별로 필요한 permissions만 선언하고 기본을 read 또는 none에 가깝게 둔다. 쓰기...

서론: 오늘의 문제 배포 job은 파일 업로드 단계가 아니라 변경 승인과 환경 상태 전이를 기록하는 경계다. environment 보호, concurrency, 동일 artifact와 검증을 연결한다. 1. Environment 모델 staging과 production 같은 실제 대상을 environment로 표현한다. 환경별 secret, 허용...

서론: 오늘의 문제 복사한 workflow는 시간이 지나며 서로 다른 보안과 배포 규칙으로 갈라진다. reusable workflow와 composite action의 경계를 정해 공통 로직을 중앙에서 발전시킨다. 1. 재사용 단위 선택 여러 job과 권한, 환경을 포함한 전체 절차는 reusable workflow로 만들고 한 job 안의 반복...

서론: 오늘의 문제 병렬 실행과 캐시는 CI를 빠르게 만들지만 조합 폭발과 오래된 의존성 문제를 만들 수 있다. 테스트 범위, cache key, artifact 수명을 재현성 중심으로 설계한다. 1. Matrix의 목적 지원 런타임과 운영체제 조합을 명시하되 모든 축을 곱하지 않는다. 대표 조합과 위험 조합을 선택하고 experimental 항...

서론: 오늘의 문제 CI가 커질수록 YAML 줄 수보다 이벤트, 권한, job 의존성의 경계가 중요해진다. 어떤 변경이 어떤 검증을 실행하는지 예측 가능한 workflow 구조를 만든다. 1. 이벤트를 좁게 선택 push와 pull_request를 습관적으로 모두 켜면 같은 커밋을 중복 검증할 수 있다. branch와 path 필터를 사용하되 필...