GKE 클러스터 라벨 누락

설명

resource_labels는 GKE 클러스터의 용도, 환경, 담당 팀을 구분하는 정보입니다. 라벨이 없으면 리소스 추적이 어려워지고 비용 분석이나 자산 관리가 비일관적으로 이루어질 수 있습니다.

클러스터 리소스 라벨은 Kubernetes Pod 라벨과 다릅니다. 라벨 자체가 IAM 권한이나 네트워크 접근을 제한하지는 않습니다.

잠재적 영향

• 클러스터의 담당 팀과 목적을 식별하기 어려워질 수 있습니다.
• 비용 분석과 자산 관리 자동화에 필요한 정보가 빠질 수 있습니다.

해결 방법

• google.cloud.gcp_container_cluster 작업에 resource_labels를 키·값 맵으로 설정하세요.
• 환경, 시스템명, 담당 팀 같은 공통 기준을 정하고 변경 시 라벨을 갱신하세요. 비밀정보는 라벨에 넣지 마세요.

예시

작업 발췌입니다. 프로젝트, 클러스터 이름과 서비스 계정 JSON 파일 경로는 실제 환경에 맞게 바꾸세요. 네트워크와 다른 클러스터 요구사항도 별도로 확인해야 합니다.

변경 전

- name: GKE 클러스터 생성
  google.cloud.gcp_container_cluster:
    name: my-cluster1
    initial_node_count: 2
    location: us-central1-a
    project: test_project
    auth_kind: serviceaccount
    service_account_file: /tmp/auth.pem
    state: present

변경 후

- name: GKE 클러스터 생성
  google.cloud.gcp_container_cluster:
    name: my-cluster
    initial_node_count: 2
    location: us-central1-a
    project: test_project
    auth_kind: serviceaccount
    service_account_file: /tmp/auth.pem
    state: present
    resource_labels:
      env: prod
      owner: platform

설명:

• 변경 전: 용도와 담당 팀을 나타내는 라벨을 지정하지 않습니다.
• 변경 후: 환경과 담당 팀을 맵으로 지정합니다. 접근 제어는 별도로 구성해야 합니다.

참조

• CWE-710
• Ansible GKE 클러스터 모듈