システム設計/インフラ — GKE Gateway API 移行 × Probe 3種設計 × HPA + PDB + NetworkPolicy

📋 コピーapiVersion: apps/v1
kind: Deployment
metadata:
  name: coupon-api
spec:
  replicas: 2
  selector:
    matchLabels:
      app: coupon-api
  template:
    metadata:
      labels:
        app: coupon-api
    spec:
      containers:
      - name: coupon-api
        image: asia-northeast1-docker.pkg.dev/myproject/coupon-api:latest  # ❌ latest タグ（再現性なし）
        ports:
        - containerPort: 8080
        resources:
          requests:
            cpu: "100m"
            memory: "128Mi"
          limits:
            cpu: "4"       # ❌ リクエストの40倍（Autopilot でノードサイズ過小見積もり）
            memory: "4Gi"  # ❌ リクエストの32倍（OOM kill リスク）
        env:
        - name: DB_PASSWORD
          value: "supersecret"  # ❌ 平文 env（K8s Secret / Secret Manager 未使用）
        livenessProbe:
          httpGet:
            path: /health
            port: 8080
          initialDelaySeconds: 3   # ❌ 3秒は Gunicorn 起動に短すぎ（再起動ループ）
          periodSeconds: 10
        # ❌ readinessProbe なし（起動中もトラフィックを受けてエラー率上昇）
        # ❌ startupProbe なし（起動完了前に liveness が kill する）
        securityContext:
          runAsRoot: true   # ❌ root 実行（コンテナエスケープ時の影響が最大）
---
apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
  name: coupon-api-hpa
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: coupon-api
  minReplicas: 1   # ❌ 最小1では単一障害点（node drain / 再起動で全停止）
  maxReplicas: 5
  metrics:
  - type: Resource
    resource:
      name: cpu
      target:
        type: Utilization
        averageUtilization: 90   # ❌ 90%では HPA 反応前に過負荷（推奨60〜70%）
# ❌ PodDisruptionBudget 未定義（デプロイ中に全 Pod が同時終了する可能性）
# ❌ NetworkPolicy 未定義（Namespace 内の全 Pod 間通信が許可されている）

📋 コピー# good_deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: coupon-api
  namespace: coupon-ns
  labels:
    app: coupon-api
    version: "1.0.0"
spec:
  replicas: 2
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxSurge: 1
      maxUnavailable: 0        # ✅ ゼロダウンタイムデプロイ（PDB と組み合わせ）
  selector:
    matchLabels:
      app: coupon-api
  template:
    metadata:
      labels:
        app: coupon-api
    spec:
      serviceAccountName: coupon-api-sa  # ✅ Workload Identity 用 SA
      securityContext:
        runAsNonRoot: true               # ✅ 非 root 実行
        runAsUser: 1000
        fsGroup: 1000
      containers:
      - name: coupon-api
        # ✅ image digest 固定（latest タグ禁止・再現性確保）
        image: asia-northeast1-docker.pkg.dev/myproject/coupon-api@sha256:abc123def456
        ports:
        - containerPort: 8080
        resources:
          requests:
            cpu: "250m"
            memory: "256Mi"
          limits:
            cpu: "500m"     # ✅ requests の2倍以内（Autopilot Guaranteed QoS に近い設定）
            memory: "512Mi" # ✅ requests の2倍（OOM kill リスクを抑えつつ余裕を確保）
        env:
        - name: DB_PASSWORD
          valueFrom:
            secretKeyRef:                # ✅ Secret Manager → K8s Secret → secretKeyRef
              name: coupon-api-secrets
              key: db-password
        - name: APP_ENV
          value: "production"
        # ✅ startupProbe: 起動完了まで liveness を抑止（再起動ループ防止）
        startupProbe:
          httpGet:
            path: /healthz
            port: 8080
          failureThreshold: 20           # 最大 20 × 3秒 = 60秒 待機
          periodSeconds: 3
        # ✅ readinessProbe: トラフィック受け付け可否を制御
        readinessProbe:
          httpGet:
            path: /readyz
            port: 8080
          initialDelaySeconds: 10        # Gunicorn 起動を考慮
          periodSeconds: 5
          failureThreshold: 3
          successThreshold: 1
        # ✅ livenessProbe: デッドロック検知・Pod 再起動（readiness より長い delay）
        livenessProbe:
          httpGet:
            path: /healthz
            port: 8080
          initialDelaySeconds: 30        # readiness (10) より必ず長く
          periodSeconds: 15
          failureThreshold: 3
        securityContext:
          allowPrivilegeEscalation: false  # ✅ 特権昇格禁止
          readOnlyRootFilesystem: true     # ✅ 読み取り専用FS（GKE Autopilot 推奨）
          capabilities:
            drop:
            - ALL                          # ✅ 全 capability を削除
        volumeMounts:
        - name: tmp-dir
          mountPath: /tmp                  # ✅ 書き込み可能な /tmp は emptyDir で分離
      volumes:
      - name: tmp-dir
        emptyDir: {}

📋 コピー# HPA + PDB
# ── HorizontalPodAutoscaler（CPU 65% + scaleDown stabilization）─────────
apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
  name: coupon-api-hpa
  namespace: coupon-ns
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: coupon-api
  minReplicas: 2    # ✅ 単一障害点を排除（node drain 時も1 Pod が生き残る）
  maxReplicas: 10
  metrics:
  - type: Resource
    resource:
      name: cpu
      target:
        type: Utilization
        averageUtilization: 65   # ✅ スパイク前にスケールアウト開始（90%は遅すぎ）
  - type: Resource
    resource:
      name: memory
      target:
        type: Utilization
        averageUtilization: 70   # ✅ CPU と複合指標でより正確なスケーリング
  behavior:
    scaleDown:
      stabilizationWindowSeconds: 300  # ✅ 5分待機でフラッピング防止
      policies:
      - type: Pods
        value: 1
        periodSeconds: 60              # 1分に最大1 Pod ずつスケールダウン
    scaleUp:
      stabilizationWindowSeconds: 30
      policies:
      - type: Pods
        value: 2
        periodSeconds: 60              # 1分に最大2 Pod ずつスケールアップ
---
# ── PodDisruptionBudget（デプロイ / node drain 中の可用性保証）──────────
apiVersion: policy/v1
kind: PodDisruptionBudget
metadata:
  name: coupon-api-pdb
  namespace: coupon-ns
spec:
  minAvailable: 1    # ✅ 常に最低1 Pod が稼働（maxUnavailable: 0 の RollingUpdate と二重保護）
  selector:
    matchLabels:
      app: coupon-api

📋 コピー# NetworkPolicy（最小権限ネットワーク）
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: coupon-api-netpol
  namespace: coupon-ns
spec:
  podSelector:
    matchLabels:
      app: coupon-api
  policyTypes:
  - Ingress
  - Egress
  ingress:
  # ✅ Gateway コントローラー（gke-system NS）からのみ 8080 受信を許可
  - from:
    - namespaceSelector:
        matchLabels:
          kubernetes.io/metadata.name: gke-system
    ports:
    - protocol: TCP
      port: 8080
  egress:
  # ✅ DNS 名前解決（必須）
  - to:
    - namespaceSelector: {}
    ports:
    - protocol: UDP
      port: 53
    - protocol: TCP
      port: 53
  # ✅ Cloud SQL Proxy（VPC 内部 IP のみ）
  - to:
    - ipBlock:
        cidr: 10.0.0.0/8
    ports:
    - protocol: TCP
      port: 5432
  # ✅ Secret Manager / Cloud Monitoring API（外部 HTTPS のみ）
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
        except:
        - 10.0.0.0/8    # VPC 内部は上記ルールに委ねる
    ports:
    - protocol: TCP
      port: 443