kubectl -n sysmasterdb logs deployment/sdm        # 터미널 출력 로그
kubectl -n sysmasterdb logs deployment/sdm -f     # 실시간 확인

kubectl -n sysmasterdb exec deployment/sdm -- ls /sysmaster/logs
kubectl -n sysmasterdb exec deployment/sdm -- sh -c 'tail -f /sysmaster/logs/sdm.v.{version}.log'

POD=$(kubectl -n sysmasterdb get pod -l app=sdm -o jsonpath='{.items[0].metadata.name}')

kubectl -n sysmasterdb debug -it "$POD" \
  --image={registry}/sysmaster-db-alpine-linux:{version} --target=sdm

kubectl create secret generic sdm-license -n sysmasterdb \
  --from-file=sysmaster-db-license.xml=/path/to/new-license.xml \
  --dry-run=client -o yaml | kubectl apply -f -

kubectl -n sysmasterdb exec deploy/sdm -- grep serial_id /sysmaster/license/sysmaster-db-license.xml

kubectl -n sysmasterdb exec deploy/sdm -- refresh-license

{"message":"License store refresh succeeded.","licenseType":"SUBSCRIPTION","maxMonitoringCores":1000,"expirationDate":"..."}

kubectl -n sysmasterdb rollout restart deploy/sdm
kubectl -n sysmasterdb rollout status  deploy/sdm

kubectl -n sysmasterdb delete deploy,svc --all
kubectl -n sysmasterdb get pvc                 # 3개가 Bound 상태로 남아 있어야 한다

kubectl -n sysmasterdb get pvc -o custom-columns=PVC:.metadata.name,PV:.spec.volumeName

kubectl delete -k kubernetes
kubectl get ns sysmasterdb             # NotFound 가 될 때까지 대기한다
kubectl get pv | grep sysmasterdb      # 남아 있으면 스토리지 정책에 따라 처리한다

for pvc in metadb-data repodb-data sdm-reports; do
  pv=$(kubectl -n sysmasterdb get pvc "$pvc" -o jsonpath='{.spec.volumeName}')
  kubectl patch pv "$pv" -p '{"spec":{"persistentVolumeReclaimPolicy":"Retain"}}'
done

kubectl -n sysmasterdb get events --sort-by=.lastTimestamp | tail -30

docker tag sysmaster-db-sdm:{version} {registry}/sysmaster-db-sdm:{version}
docker push {registry}/sysmaster-db-sdm:{version}
# 나머지 이미지들도 동일하게 수행한다.

ADMIN_PASSWORD=... METADB_PASSWORD=... REPODB_PASSWORD=... \
  ./setup-once.sh /path/to/sysmaster-db-license.xml

apiVersion: v1
kind: ConfigMap
metadata:
  name: smdb-env
  namespace: sysmasterdb
data:
  TZ: "Asia/Seoul"
  USE_SENTRY: "false"
  DONT_CHECK_HTTP_HEALTH: "false"
  HEALTH_LOG_RETENTION_DAY: "30"
  KAFKA_MESSAGE_MAX_BYTES: "20971520"
  METADB_USER: "sysmaster"
  REPODB_USER: "sysmaster"

# kubernetes/base/sysmaster/sdm.yml
          env:
            ...
            - { name: metric_retention_day, value: "14" }    # 기본값 "7"

kubectl -n sysmasterdb exec deploy/sdm -- printenv metric_retention_day

# kubernetes/base/sysmaster/sdm.yml
          env:
            ...
            - { name: "account_inactive-lock-days", value: "0" }
            - { name: "account_refresh-token-expire-days", value: "0" }
            - { name: "account_password-history-count", value: "1" }
            - { name: "account_password-change-days", value: "0" }
            - { name: "security_session_max-concurrent-sessions", value: "0" }
            - { name: "security_ip-restriction_target", value: "NONE" }
            - { name: "security_ip-restriction_super-admin-ip", value: "" }
            - { name: "security_ip-restriction_trusted-proxies", value: "127.0.0.0/8,::1,172.16.0.0/12,10.88.0.0/15" }
            - { name: "access-log_retention_day", value: "365" }

pg_superuser: "postgres"
pg_superuser_password: "postgres"
pg_data: "/pgdata"
pg_log: "/sysmaster/logs"        # 로그 볼륨 마운트 경로와 일치해야 한다
pg_users:
  - name: "sysmaster"
    pass: "sysmaster"            # setup-once.sh 의 METADB_PASSWORD 와 같은 값이어야 한다
    role_attr_flags: LOGIN
pg_databases:
  - name: metadb
    owner: sysmaster
pg_extensions:
  - name: "timescaledb"
    database: "metadb"
    state: present
  - name: "vector"
    database: "metadb"
    state: present
pg_max_connections: 100
pg_owner_id: 1000
pg_group_id: 1000

pg_multi_params:
  - name: "shared_preload_libraries"
    value: "pg_stat_statements,timescaledb"
    state: present

pg_postgres_conf_params:
  - name: "shared_buffers"
    value: "256MB"
  - name: "effective_cache_size"
    value: "768MB"
  - name: "maintenance_work_mem"
    value: "64MB"
  - name: "work_mem"
    value: "3276kB"
  - name: "log_filename"
    value: "metadb-%H%M.log"
  - name: "log_timezone"
    value: "Asia/Seoul"
  - name: "log_min_duration_statement"
    value: "2000"
  - name: "log_min_messages"
    value: "INFO"
  - name: "log_parameter_max_length"
    value: "0"
  - name: "log_rotation_age"
    value: "60"
  - name: "log_rotation_size"
    value: "100MB"
  - name: "log_truncate_on_rotation"
    value: "on"

kubectl -n sysmasterdb get svc client-gateway collector-ingest

kubectl -n sysmasterdb create secret docker-registry smdb-registry \
  --docker-server={registry} --docker-username={계정} --docker-password={암호}

patches:
  - path: gateway-lb.yml                 # [기존] 삭제하지 않는다
    target: { kind: Service, name: client-gateway }
  - path: image-pull-secret.yml          # <- 추가
    target: { kind: Deployment }

patches:
  - path: gateway-lb.yml                 # [기존] 삭제하지 않는다
    target: { kind: Service, name: client-gateway }
  - path: image-pull-policy.yml          # <- 추가
    target: { kind: Deployment }

kubectl -n sysmasterdb create secret generic smdb-https-cert \
  --from-file=sysmaster-db-server.crt={인증서 파일} \
  --from-file=sysmaster-db-server.key={개인키 파일}

patches:
  - path: gateway-lb.yml                 # [기존] 삭제하지 않는다
    target: { kind: Service, name: client-gateway }
  - path: https-cert.yml                 # <- 추가
    target: { kind: Deployment, name: client-gateway }

apiVersion: apps/v1
kind: Deployment
metadata:
  name: client-gateway
  namespace: sysmasterdb
spec:
  template:
    spec:
      volumes:
        - name: ssl
          # base의 emptyDir를 지우지 않으면 볼륨 소스가 2개가 되어 API 서버가 거부한다.
          emptyDir: null
          secret:
            secretName: smdb-https-cert

resources:
  - base                                 # [기존]
  - collector-lb.yml                     # [기존] 삭제하면 수집 진입점이 사라진다
  - logs-pvc.yml                         # <- 추가

patches:
  - path: gateway-lb.yml                 # [기존] 삭제하지 않는다
    target: { kind: Service, name: client-gateway }
  - path: logs-pvc-patch.yml             # <- 추가
    target: { kind: Deployment }

kubectl get sc            # default 표시와 ReadWriteMany 제공 StorageClass 확인

# kubernetes/logs-pvc.yml
spec:
  storageClassName: {RWX-StorageClass}     # <- 추가
  accessModes: ["ReadWriteMany"]

kubectl -n sysmasterdb exec -it deploy/smdb-logs-viewer -- sh
kubectl -n sysmasterdb exec deploy/smdb-logs-viewer -- sh -c 'tail -f /sysmaster/logs/sdm/sdm.v.*.log'

resources:
  - base                                 # [기존]
  - collector-lb.yml                     # [기존]
  - network-policy.yml                   # <- 추가

SDM_IP=$(kubectl -n sysmasterdb get pod -l app=sdm -o jsonpath='{.items[0].status.podIP}')
kubectl -n sysmasterdb exec deploy/chatbot -- python -c 'import socket,sys
ip=sys.argv[1]
for p in (8090, 8080):
    try:
        socket.create_connection((ip, p), 5).close(); print(p, "OPEN")
    except Exception as e:
        print(p, "BLOCKED", type(e).__name__)' "$SDM_IP"

kubernetes/
├── kustomization.yml      배포 진입점. 레지스트리 주소와 외부 노출 방식을 지정한다
├── setup-once.sh          클러스터 1회 부트스트랩 (라이선스·크리덴셜 Secret, CoreDNS)
├── base/                  전체 스택 매니페스트. 파일은 추가·삭제하지 않고 값만 수정한다
│   ├── kustomization.yml    base 파일 목록
│   ├── foundation.yml       Namespace + 공통 환경변수(ConfigMap) + PVC 3개
│   ├── meta.conf            Meta DB 초기화 설정
│   ├── repo.conf            Repository DB 초기화 설정
│   ├── db/metadb.yml, db/repodb.yml
│   ├── kafka/zookeeper.yml, kafka/broker.yml
│   ├── sysmaster/sdm.yml, collector.yml, analyzer.yml, dbmanager.yml, chatbot.yml
│   └── client/client-gateway.yml, client/client-tibero.yml
├── gateway-lb.yml         사용자 UI/API를 LoadBalancer로 노출 (기본 적용)
├── collector-lb.yml       수집 포트 8292를 LoadBalancer로 노출 (기본 적용)
├── image-pull-secret.yml  [선택] 사설 레지스트리 인증
├── image-pull-policy.yml  [선택] 폐쇄망 환경의 이미지 pull 정책
├── https-cert.yml         [선택] 사이트 HTTPS 인증서 반입
├── logs-pvc.yml           [선택] 로그 영속화
├── logs-pvc-patch.yml     [선택] 위와 한 쌍
└── network-policy.yml     [선택] 파드 간 통신 제한

apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization

resources:
  - base                  # 전체 스택 매니페스트
  - collector-lb.yml      # 수집 포트(8292) 외부 노출

images:                   # 각 이미지의 레지스트리 주소를 사이트 값으로 교체한다
  - { name: sysmaster-db-sdm,                    newName: {registry}/sysmaster-db-sdm }
  - { name: sysmaster-db-dbmanager,              newName: {registry}/sysmaster-db-dbmanager }
  - { name: sysmaster-db-collector,              newName: {registry}/sysmaster-db-collector }
  - { name: sysmaster-db-analyzer,               newName: {registry}/sysmaster-db-analyzer }
  - { name: sysmaster-db-tiberoopensql-postgres, newName: {registry}/sysmaster-db-tiberoopensql-postgres }
  - { name: sysmaster-db-zookeeper-loggable,     newName: {registry}/sysmaster-db-zookeeper-loggable }
  - { name: sysmaster-db-kafka-loggable,         newName: {registry}/sysmaster-db-kafka-loggable }
  - { name: sysmaster-db-client,                 newName: {registry}/sysmaster-db-client }
  - { name: sysmaster-db-client-tibero,          newName: {registry}/sysmaster-db-client-tibero }
  - { name: sysmaster-db-chatbot,                newName: {registry}/sysmaster-db-chatbot }
  - { name: sysmaster-db-alpine-linux,           newName: {registry}/sysmaster-db-alpine-linux }

patches:
  - path: gateway-lb.yml                              # 사용자 UI/API 외부 노출
    target: { kind: Service, name: client-gateway }

apiVersion: v1
kind: Namespace
metadata:
  name: sysmasterdb
---
# 전 모듈이 공통으로 주입받는 환경변수.
# 값을 변경한 뒤에는 파드를 교체해야 반영된다.
#   kubectl -n sysmasterdb rollout restart deploy
# 계정 암호는 여기 두지 않는다 - setup-once.sh가 생성하는 smdb-credentials Secret이 담당한다.
apiVersion: v1
kind: ConfigMap
metadata:
  name: smdb-env
  namespace: sysmasterdb
data:
  TZ: "Asia/Seoul"
  USE_SENTRY: "false"
  DONT_CHECK_HTTP_HEALTH: "false"
  HEALTH_LOG_RETENTION_DAY: "30"
  ...
---
apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: metadb-data
  namespace: sysmasterdb
spec:
  # storageClassName 미지정 -> 클러스터 default StorageClass로 프로비저닝된다.
  # default가 없거나 특정 StorageClass를 써야 하면 이 위치에 storageClassName: {StorageClass} 를 추가한다.
  # 미지정 상태에서 default도 없으면 PVC가 Pending에 머물고 파드가 기동하지 못한다.
  accessModes: ["ReadWriteOnce"]
  resources:
    requests:
      storage: 10Gi
---
apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: repodb-data
  namespace: sysmasterdb
spec:
  # 수집 메트릭 저장소. 관제 대상 수와 보관 주기에 비례해 커진다.
  # 배포 후 확장은 StorageClass가 볼륨 확장을 지원할 때만 가능하므로 최초에 넉넉히 잡는다.
  accessModes: ["ReadWriteOnce"]
  resources:
    requests:
      storage: 20Gi
---
# sdm이 생성하는 TPR/ASH 리포트 파일 저장소(/sysmaster/reports).
# 리포트 목록은 Meta DB에 남으므로, 파일이 사라지면 목록에는 보이는데 열리지 않는 상태가 된다.
# 반드시 영구 볼륨이어야 한다.
apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: sdm-reports
  namespace: sysmasterdb
spec:
  accessModes: ["ReadWriteOnce"]
  resources:
    requests:
      storage: 10Gi

apiVersion: apps/v1
kind: Deployment
metadata: { name: sdm, namespace: sysmasterdb }
spec:
  replicas: 1
  # 새 파드를 먼저 띄우지 않고 기존 파드를 내린 뒤 교체한다.
  # 기본값(RollingUpdate)이면 배포 중 두 파드가 잠시 공존하는데,
  # reports PVC가 ReadWriteOnce라 두 번째 파드가 볼륨을 붙지 못해 배포가 끝나지 않는다.
  strategy: { type: Recreate }
  selector: { matchLabels: { app: sdm } }
  template:
    metadata: { labels: { app: sdm } }
    spec:
      containers:
        - name: sdm
          image: sysmaster-db-sdm:{version}
          imagePullPolicy: Always
          envFrom: [{ configMapRef: { name: smdb-env } }]   # 공통 설정 일괄 주입
          env:
            # JVM 힙. 아래 메모리 limits의 약 2/3이며, limits를 조정하면 함께 변경한다.
            - { name: java_heap_size_max, value: "2g" }
            - { name: java_heap_size_min, value: "512m" }
            - { name: spring_datasource_hikari_jdbc-url, value: "jdbc:postgresql://metadb:5432/metadb" }
            - { name: spring_datasource_hikari_username, value: "sysmaster" }
            # 암호는 매니페스트에 두지 않고 Secret에서 참조한다.
            - { name: spring_datasource_hikari_password,
                valueFrom: { secretKeyRef: { name: smdb-credentials, key: METADB_PASSWORD } } }
            - { name: metric_retention_day, value: "7" }    # 수집 메트릭 보관 주기(일)
            - { name: logging_file_max-history, value: "30" }  # 로그 보관 일수
            - { name: logging_file_max-size, value: "20MB" }
            - { name: logging_file_total-size-cap, value: "1GB" }
            # 업그레이드 시 수행되는 데이터 마이그레이션 패치 제어.
            # 문제가 발생하면 해당 패치만 즉시 비활성화할 수 있다.
            #   kubectl -n sysmasterdb set env deploy/sdm patch_v8-2-1-to-v8-3-0-migration_skip=true
            - { name: "patch_v8-2-1-to-v8-3-0-migration_skip", value: "false" }
          ports:
            - { containerPort: 8090 }   # 내부 통신용
            - { containerPort: 8080 }   # 사용자 API용
          # 기동이 완료될 때까지 readiness/liveness를 유예한다(기동 중 재시작 방지).
          # 8080이 아니라 8090을 확인하는 이유: 8080에는 라이선스 상태 필터가 있어
          # 라이선스 만료·코어 초과 시 401을 반환하며, 이 경우 정상 동작 중인 파드가
          # 재시작되고 재기동도 실패해 복구가 불가능해진다.
          startupProbe:
            httpGet:
              path: /actuator/health
              port: 8090
              httpHeaders: [{ name: Authorization, value: smdb-internal }]
            periodSeconds: 5
            failureThreshold: 180       # 대기 한도 15분 (5초 x 180)
          readinessProbe:               # 실패 시 트래픽만 차단, 재시작하지 않는다
            httpGet:
              path: /actuator/health
              port: 8090
              httpHeaders: [{ name: Authorization, value: smdb-internal }]
            periodSeconds: 10
            failureThreshold: 3
          livenessProbe:                # 실패 시 컨테이너를 재시작한다
            httpGet:
              path: /actuator/health
              port: 8090
              httpHeaders: [{ name: Authorization, value: smdb-internal }]
            periodSeconds: 20
            failureThreshold: 6
          resources:
            requests: { memory: 1Gi, cpu: 200m }   # 스케줄링에 필요한 예약량
            limits:   { memory: 3Gi }              # 초과 시 컨테이너가 강제 종료(OOMKilled)된다
          volumeMounts:
            - { name: license, mountPath: /sysmaster/license }
            - { name: reports, mountPath: /sysmaster/reports }
            # subPath로 모듈별 하위 디렉터리에 기록한다. 로그 영속화(선택 구성) 시
            # 모듈 간 로그 파일명이 겹치는 것을 방지한다.
            - { name: logs, mountPath: /sysmaster/logs, subPath: sdm }
      volumes:
        # setup-once.sh가 생성한 라이선스 Secret. 없으면 sdm이 기동하지 못한다.
        - { name: license, secret: { secretName: sdm-license } }
        - { name: reports, persistentVolumeClaim: { claimName: sdm-reports } }
        # 로그는 파드 내부 임시 볼륨. 컨테이너가 재시작해도 남지만 파드가 교체되면 사라진다.
        - { name: logs, emptyDir: {} }
---
apiVersion: v1
kind: Service
metadata: { name: sdm, namespace: sysmasterdb }
spec:
  selector: { app: sdm }
  ports:
    - { name: master, port: 8090, targetPort: 8090 }
    - { name: http,   port: 8080, targetPort: 8080 }