Operatorで作れるもの — 実践事例カタログ

ユーザーがCR(Custom Resource)を宣言
        |
        v
+------------------------+
|  Operator(コントローラー)|
|  reconcileループ        |
|  desired vs actual 比較 |
+-----------+------------+
        |
        v  足りないものを作成/修正/削除
+------------------------+
| StatefulSet / Service  |
| ConfigMap / PVC / Job  |
| (実際のK8sリソース)     |
+------------------------+

apiVersion: postgresql.cnpg.io/v1
kind: Cluster
metadata:
  name: pg-prod
spec:
  instances: 3
  imageName: ghcr.io/cloudnative-pg/postgresql:16.3
  storage:
    size: 100Gi
  backup:
    barmanObjectStore:
      destinationPath: s3://my-backups/pg-prod
      s3Credentials:
        accessKeyId:
          name: backup-creds
          key: ACCESS_KEY_ID
        secretAccessKey:
          name: backup-creds
          key: SECRET_ACCESS_KEY
    retentionPolicy: "30d"

apiVersion: acid.zalan.do/v1
kind: postgresql
metadata:
  name: acid-minimal-cluster
spec:
  teamId: "acid"
  numberOfInstances: 2
  postgresql:
    version: "16"
  volume:
    size: 10Gi

apiVersion: kafka.strimzi.io/v1beta2
kind: Kafka
metadata:
  name: my-cluster
spec:
  kafka:
    version: 3.9.0
    replicas: 3
    listeners:
      - name: tls
        port: 9093
        type: internal
        tls: true
    config:
      offsets.topic.replication.factor: 3
      min.insync.replicas: 2
    storage:
      type: persistent-claim
      size: 100Gi
  entityOperator:
    topicOperator: {}
    userOperator: {}

apiVersion: kafka.strimzi.io/v1beta2
kind: KafkaTopic
metadata:
  name: orders
  labels:
    strimzi.io/cluster: my-cluster
spec:
  partitions: 12
  replicas: 3
  config:
    retention.ms: 604800000

apiVersion: databases.spotahome.com/v1
kind: RedisFailover
metadata:
  name: redisfailover
spec:
  sentinel:
    replicas: 3
  redis:
    replicas: 3
    storage:
      persistentVolumeClaim:
        metadata:
          name: redisfailover-data
        spec:
          accessModes: ["ReadWriteOnce"]
          resources:
            requests:
              storage: 10Gi

apiVersion: monitoring.coreos.com/v1
kind: ServiceMonitor
metadata:
  name: my-app
  labels:
    release: kube-prometheus-stack
spec:
  selector:
    matchLabels:
      app: my-app
  endpoints:
    - port: metrics
      interval: 30s
      path: /metrics

apiVersion: monitoring.coreos.com/v1
kind: PrometheusRule
metadata:
  name: my-app-rules
spec:
  groups:
    - name: my-app
      rules:
        - alert: HighErrorRate
          expr: rate(http_requests_total{code=~"5.."}[5m]) > 0.05
          for: 10m
          labels:
            severity: critical
          annotations:
            summary: "5xx error rate is high"

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: example-tls
spec:
  secretName: example-tls-secret
  dnsNames:
    - app.example.com
  issuerRef:
    name: letsencrypt-prod
    kind: ClusterIssuer

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: db-credentials
spec:
  refreshInterval: 1h
  secretStoreRef:
    name: aws-secrets-manager
    kind: SecretStore
  target:
    name: db-credentials
  data:
    - secretKey: password
      remoteRef:
        key: prod/db/password

apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: my-app
  namespace: argocd
spec:
  project: default
  source:
    repoURL: https://github.com/my-org/my-app-config
    targetRevision: main
    path: overlays/prod
  destination:
    server: https://kubernetes.default.svc
    namespace: my-app
  syncPolicy:
    automated:
      prune: true
      selfHeal: true

apiVersion: velero.io/v1
kind: Schedule
metadata:
  name: daily-backup
  namespace: velero
spec:
  schedule: "0 2 * * *"
  template:
    includedNamespaces:
      - production
    storageLocation: aws-s3
    ttl: 720h0m0s

apiVersion: networking.istio.io/v1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
    - reviews
  http:
    - route:
        - destination:
            host: reviews
            subset: v1
          weight: 90
        - destination:
            host: reviews
            subset: v2
          weight: 10

apiVersion: kubeflow.org/v1
kind: PyTorchJob
metadata:
  name: pytorch-dist
spec:
  pytorchReplicaSpecs:
    Master:
      replicas: 1
      template:
        spec:
          containers:
            - name: pytorch
              image: my-registry/pytorch-train:latest
    Worker:
      replicas: 4
      template:
        spec:
          containers:
            - name: pytorch
              image: my-registry/pytorch-train:latest

 1. オンボーディングOperator
    - Tenant CR一つでネームスペース + RBAC + クォータ + 既定NetworkPolicyを一括作成
 2. 証明書/ドメインOperator
    - 内部サービス登録時にDNSレコード + 証明書 + Ingressをまとめてプロビジョン
 3. コストラベル強制Operator
    - cost-centerラベルがないワークロードを拒否または自動タグ付け
 4. 夜間省電力Operator
    - devネームスペースを業務時間外にreplicas=0にスケールダウン
 5. データベースセルフサービスOperator
    - DevDatabase CRで隔離されたテストDBを即席作成/期限切れ削除
 6. シークレットローテーションOperator
    - 社内ポリシーに合わせてAPIキーを定期的にローテーションしワークロードをローリング再起動
 7. バックアップ検証Operator
    - バックアップを使い捨てクラスタに復元して整合性を自動検証
 8. カナリア分析Operator
    - デプロイ後のメトリクスを評価して自動昇格またはロールバック
 9. コンプライアンススキャンOperator
    - イメージ脆弱性スキャン結果をCR statusに公開しポリシー違反をブロック
10. マルチクラスタ配置Operator
    - PlacementPolicy CRでワークロードを複数クラスタに分配

[自作する価値が高いシグナル]
  - 運用手順が明確で反復的だ(ランブックが既に存在する)
  - その手順を人間が頻繁にミスする(深夜対応、ヒューマンエラー)
  - 組織固有のドメインで既存Operatorがない
  - 宣言的に表現するのが自然だ(desired stateが明確)
  - reconcileで収束可能だ(冪等にできる)

[自作すべきでないシグナル]
  - 一回限りの作業だ(Jobやスクリプトで十分)
  - 手順が毎回人間の判断を要求する(自動化が危険)
  - すでに成熟した既存Operatorがある(cert-managerを再発明しない)
  - 状態がなくreconcileするものがない(単なるwebhookやコントローラーで十分)
  - チームにコントローラー運用能力がない(放置されると負債)