Wave Flow CRD

이 종류들은 CRD Mode에서 Wave Flow를 설정합니다. 우선순위 기반 트래픽 보호에는 WaveFlowPolicy를, NetFunnel 연동에는 WaveNetfunnelMapping과 WaveNetfunnelConnection을 사용합니다.

WaveFlowPolicy

WaveFlowPolicy는 들어오는 트래픽의 우선순위 클래스와 클래스별 트래픽 보호 동작을 정의합니다. namespace와 name으로 하나 이상의 워크로드를 대상으로 지정하며, 부하가 발생하면 Wave가 클래스별로 설정된 차단 전략을 적용합니다.

범위: 클러스터 범위(cluster-scoped)이며 metadata.namespace가 필요하지 않습니다.

apiVersion: wavek8s.com/v1alpha1
kind: WaveFlowPolicy
metadata:
  name: checkout-priority-policy
spec:
  description: Priority policy for the checkout service.
  enabled: true
  priorityClasses:
    - name: CRITICAL
      shed: disabled  # never shed — revenue-critical traffic must always pass
      concurrencyLimit: 200
      matchRules:
        - headers:
            - name: x-tier
              value: premium
          paths:
            - prefix: /api/v1/checkout
          methods:
            - POST
            - PUT
    - name: IMPORTANT
      shed: auto
      matchRules:
        - headers:
            - name: x-tier
              value: standard
    - name: MODERATE
      shed: auto
    - name: BULK
      shed: force  # force = always reject — emergency block
  targets:
    - namespace: payment
      name: checkout-api

Spec 필드

참고 사항

• 클러스터 범위(cluster-scoped)입니다. WaveFlowPolicy 하나로 targets[].namespace를 통해 여러 namespace의 워크로드를 대상으로 지정할 수 있습니다.
• priorityClasses의 기본값은 빈 목록입니다. 클래스가 없는 정책도 유효하지만 아무것도 적용하지 않습니다.
• matchRule 내에서는 headers와 paths 항목이 모두 매치해야 합니다 (AND 로직). methods는 나열된 값 중 하나라도 일치하면 매치됩니다 (OR 로직이며, 요청은 정확히 하나의 HTTP 메서드를 가집니다). 하나의 priorityClasses 항목 안에 여러 matchRules가 있으면 OR 로직으로 평가되어, 하나라도 완전히 매치하면 해당 클래스와 매치됩니다.
• 아직 존재하지 않는 대상 워크로드를 지정해도 kubectl apply는 성공합니다. Wave는 .status.conditions에 TargetNotFound를 보고하며, 워크로드가 나타나면 자동으로 reconcile합니다.
• Pruning(CR에서 target이나 class를 제거하는 작업)은 하드 삭제입니다. 현재 CR에 없는 항목은 다음 reconcile 시 완전히 제거되며, 비활성화 처리되지 않습니다.

WaveNetfunnelMapping

WaveNetfunnelMapping은 워크로드를 NetFunnel 프로젝트/세그먼트 규칙에 바인딩합니다. 이를 통해 Wave는 지정한 워크로드에 대한 트래픽 제어 신호를 NetFunnel 서비스로 전달할 수 있으며, 워크로드를 하나 이상의 NetFunnel 프로젝트-세그먼트 쌍에 매핑할 수도 있습니다.

범위: namespace 범위(namespaced)이며, 대상 워크로드와 같은 namespace에 생성해야 합니다.

apiVersion: wavek8s.com/v1alpha1
kind: WaveNetfunnelMapping
metadata:
  name: checkout-nf-mapping
  namespace: payment
spec:
  targetRef:
    kind: Deployment
    name: checkout-api
  nfMapping:
    - nfProjectId: nf-project-001
      nfSegmentId: nf-segment-001
      isSection: true
    - nfProjectId: nf-project-001
      nfSegmentId: nf-segment-002
  rule:
    nfEnabled: true
    ruleCpu: 70.5
    ruleMemory: 80.0
    ruleMaxReplicas: true
    cooldownPeriodSecs: 120

Spec 필드

참고 사항

• namespace 범위입니다. 대상 워크로드와 같은 namespace에 CR을 생성합니다. targetRef.kind는 Deployment, Rollout (Argo Rollouts), DeploymentConfig (OpenShift) 중 하나여야 합니다.
• 아직 존재하지 않는 워크로드를 지정해도 kubectl apply는 성공합니다. Wave는 .status.conditions에 TargetNotFound를 보고하며, 워크로드가 나타나면 자동으로 reconcile합니다.
• nfMapping은 reconcile할 때마다 전체가 교체됩니다. 현재 CR에 없는 항목은 소프트 삭제됩니다. 활성 상태를 유지하려는 프로젝트-세그먼트 쌍은 모두 포함해야 합니다.
• WaveNetfunnelConnection이 없어도 매핑 자체의 reconcile은 차단되지 않습니다. 다만 NetFunnel 적용이 실제로 동작하려면 정상적인 connection이 필요합니다.
• CR을 삭제하면 nfEnabled: false로 설정되고 워크로드의 매핑 항목이 제거됩니다. 규칙은 삭제되는 것이 아니라 비활성화됩니다.

WaveNetfunnelConnection

WaveNetfunnelConnection은 Wave를 NetFunnel 서비스와 연결합니다. API 엔드포인트, tenant/organization 식별자, 자격 증명용 Secret 참조를 제공합니다. 클러스터의 모든 WaveNetfunnelMapping CR은 이 connection 하나를 공유합니다.

범위: 클러스터 범위(cluster-scoped)이며 metadata.namespace가 필요하지 않습니다.

먼저 wave-autoscale namespace에 자격 증명용 Secret을 생성합니다.

apiVersion: v1
kind: Secret
metadata:
  name: nf-credentials
  namespace: wave-autoscale
type: Opaque
stringData:
  clientId: <your-netfunnel-client-id>
  secretKey: <your-netfunnel-secret-key>

그다음 connection CR을 생성합니다.

apiVersion: wavek8s.com/v1alpha1
kind: WaveNetfunnelConnection
metadata:
  name: nf-connection
spec:
  host: https://nf.example.com
  tenantId: my-tenant-id
  organizationId: my-org-id
  nfApiType: saas
  clientIdSecretRef:
    name: nf-credentials
    key: clientId
  secretKeySecretRef:
    name: nf-credentials
    key: secretKey
  enabled: true

Spec 필드

참고 사항

• 클러스터 범위입니다. CR 하나가 클러스터 내 모든 WaveNetfunnelMapping CR에 사용됩니다.
• 자격 증명은 CR에 저장되지 않습니다. Wave는 reconcile 시점에 wave-autoscale namespace에서 Secret 값을 읽습니다. Secret이 없거나 접근할 수 없으면 .status.conditions에 SecretNotFound가 보고됩니다.
• 싱글톤: 클러스터당 활성화된 WaveNetfunnelConnection은 하나만 존재할 수 있습니다. 두 번째 CR을 적용하면 .status.conditions에 Conflicted가 보고되고 해당 CR은 건너뜁니다. 먼저 reconcile된 CR이 활성 connection을 유지합니다.