Operator로 만들 수 있는 것들 — 실전 사례 카탈로그

사용자가 CR(Custom Resource)을 선언
        |
        v
+------------------------+
|  Operator(컨트롤러)     |
|  reconcile 루프         |
|  desired vs actual 비교 |
+-----------+------------+
        |
        v  부족한 것 생성/수정/삭제
+------------------------+
| StatefulSet / Service  |
| ConfigMap / PVC / Job  |
| (실제 쿠버네티스 리소스) |
+------------------------+

apiVersion: postgresql.cnpg.io/v1
kind: Cluster
metadata:
  name: pg-prod
spec:
  instances: 3
  imageName: ghcr.io/cloudnative-pg/postgresql:16.3
  storage:
    size: 100Gi
  backup:
    barmanObjectStore:
      destinationPath: s3://my-backups/pg-prod
      s3Credentials:
        accessKeyId:
          name: backup-creds
          key: ACCESS_KEY_ID
        secretAccessKey:
          name: backup-creds
          key: SECRET_ACCESS_KEY
    retentionPolicy: "30d"

apiVersion: acid.zalan.do/v1
kind: postgresql
metadata:
  name: acid-minimal-cluster
spec:
  teamId: "acid"
  numberOfInstances: 2
  postgresql:
    version: "16"
  volume:
    size: 10Gi

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
spec:
  kafka:
    version: 3.9.0
    replicas: 3
    listeners:
      - name: tls
        port: 9093
        type: internal
        tls: true
    config:
      offsets.topic.replication.factor: 3
      min.insync.replicas: 2
    storage:
      type: persistent-claim
      size: 100Gi
  entityOperator:
    topicOperator: {}
    userOperator: {}

apiVersion: kafka.strimzi.io/v1beta2
kind: KafkaTopic
metadata:
  name: orders
  labels:
    strimzi.io/cluster: my-cluster
spec:
  partitions: 12
  replicas: 3
  config:
    retention.ms: 604800000

apiVersion: databases.spotahome.com/v1
kind: RedisFailover
metadata:
  name: redisfailover
spec:
  sentinel:
    replicas: 3
  redis:
    replicas: 3
    storage:
      persistentVolumeClaim:
        metadata:
          name: redisfailover-data
        spec:
          accessModes: ["ReadWriteOnce"]
          resources:
            requests:
              storage: 10Gi

apiVersion: monitoring.coreos.com/v1
kind: ServiceMonitor
metadata:
  name: my-app
  labels:
    release: kube-prometheus-stack
spec:
  selector:
    matchLabels:
      app: my-app
  endpoints:
    - port: metrics
      interval: 30s
      path: /metrics

apiVersion: monitoring.coreos.com/v1
kind: PrometheusRule
metadata:
  name: my-app-rules
spec:
  groups:
    - name: my-app
      rules:
        - alert: HighErrorRate
          expr: rate(http_requests_total{code=~"5.."}[5m]) > 0.05
          for: 10m
          labels:
            severity: critical
          annotations:
            summary: "5xx error rate is high"

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: example-tls
spec:
  secretName: example-tls-secret
  dnsNames:
    - app.example.com
  issuerRef:
    name: letsencrypt-prod
    kind: ClusterIssuer

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: db-credentials
spec:
  refreshInterval: 1h
  secretStoreRef:
    name: aws-secrets-manager
    kind: SecretStore
  target:
    name: db-credentials
  data:
    - secretKey: password
      remoteRef:
        key: prod/db/password

apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: my-app
  namespace: argocd
spec:
  project: default
  source:
    repoURL: https://github.com/my-org/my-app-config
    targetRevision: main
    path: overlays/prod
  destination:
    server: https://kubernetes.default.svc
    namespace: my-app
  syncPolicy:
    automated:
      prune: true
      selfHeal: true

apiVersion: velero.io/v1
kind: Schedule
metadata:
  name: daily-backup
  namespace: velero
spec:
  schedule: "0 2 * * *"
  template:
    includedNamespaces:
      - production
    storageLocation: aws-s3
    ttl: 720h0m0s

apiVersion: networking.istio.io/v1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
    - reviews
  http:
    - route:
        - destination:
            host: reviews
            subset: v1
          weight: 90
        - destination:
            host: reviews
            subset: v2
          weight: 10

apiVersion: kubeflow.org/v1
kind: PyTorchJob
metadata:
  name: pytorch-dist
spec:
  pytorchReplicaSpecs:
    Master:
      replicas: 1
      template:
        spec:
          containers:
            - name: pytorch
              image: my-registry/pytorch-train:latest
    Worker:
      replicas: 4
      template:
        spec:
          containers:
            - name: pytorch
              image: my-registry/pytorch-train:latest

 1. 온보딩 Operator
    - Tenant CR 하나로 네임스페이스 + RBAC + 쿼터 + 기본 NetworkPolicy 일괄 생성
 2. 인증서/도메인 Operator
    - 내부 서비스 등록 시 DNS 레코드 + 인증서 + Ingress를 묶어 프로비저닝
 3. 비용 라벨 강제 Operator
    - cost-center 라벨 없는 워크로드를 거부하거나 자동 태깅
 4. 야간 절전 Operator
    - dev 네임스페이스를 업무 외 시간에 replicas=0으로 스케일 다운
 5. 데이터베이스 셀프서비스 Operator
    - DevDatabase CR로 격리된 테스트 DB를 즉석 생성/만료 삭제
 6. 시크릿 회전 Operator
    - 사내 정책에 맞춰 API 키를 주기적으로 회전하고 워크로드 롤링 재시작
 7. 백업 검증 Operator
    - 백업을 임시 클러스터에 복원해 무결성을 자동 검증
 8. 카나리 분석 Operator
    - 배포 후 메트릭을 평가해 자동 승격 또는 롤백
 9. 컴플라이언스 스캔 Operator
    - 이미지 취약점 스캔 결과를 CR status로 노출하고 정책 위반 차단
10. 멀티클러스터 배포 Operator
    - PlacementPolicy CR로 워크로드를 여러 클러스터에 분배

[직접 만들 가치가 높은 신호]
  - 운영 절차가 명확하고 반복적이다 (런북이 이미 존재한다)
  - 그 절차를 사람이 자주 실수한다 (새벽 대응, 휴먼 에러)
  - 조직 고유의 도메인이라 기성 Operator가 없다
  - 선언적으로 표현하기 자연스럽다 (desired state가 명확)
  - reconcile로 수렴 가능하다 (멱등하게 만들 수 있다)

[직접 만들지 말아야 할 신호]
  - 일회성 작업이다 (Job이나 스크립트로 충분)
  - 절차가 매번 사람의 판단을 요구한다 (자동화 위험)
  - 이미 성숙한 기성 Operator가 있다 (cert-manager를 재발명하지 말 것)
  - 상태가 없고 reconcile할 것이 없다 (그냥 웹훅이나 컨트롤러로 충분)
  - 팀에 컨트롤러 운영 역량이 없다 (방치되면 부채)