用 OIDC 替换 Jenkins 流水线里的 AWS access key
一台 non-prod Jenkins 上几十个作业共用一把长期 AWS key。改成每次构建由 Jenkins 签 OIDC token、经 STS 换最长 1 小时的角色凭据后，Jenkins 里不再存 AWS 密钥，但签名私钥仍在控制器上。
最新文章
查看全部 →从 Vault Agent 迁移到 ESO：TLS 加固、权限收敛与业务平滑切换
微服务集群从 Vault Agent 切换到 ESO，核心在于平滑过渡与权限收敛。通过 Raft 热升级结合内置 PKI 开启 TLS、以 CEL 策略防范配置越权，配合双轨比对与分批灰度，安全完成数十个服务的 Sidecar 替换。
Argo CD 从 label 换成 annotation 跟踪资源：复制资源被 prune、63 字节上限，以及切换后要显式同步
Argo CD 3.0 起默认用 annotation 跟踪资源。kind 上的对比显示：label 方式会 prune 掉带同名 label 的副本，应用名超过 63 字节同步失败；切换后每个应用都要显式同步一次，否则会留下孤儿资源。
AWS EKS 从 VPC CNI 迁移到 Cilium eBPF 独立 ENI 模式
在 AWS EKS 集群上将默认 VPC CNI 迁移至 Cilium Standalone ENI 模式并开启 kubeProxyReplacement。梳理双 CNI 调度门禁、Nitro AL2023 网卡探测、节点单台滚动置换与出站策略加固等关键步骤。
K8s 网络策略与出站控制：云原生 CNI、Calico、出网代理和 Cilium 怎么选
标准 Kubernetes NetworkPolicy 能拦住 Pod 访问私网网段与云主机元数据，但管不了动态 IP 的外部域名和跨云策略统一。对比云厂商原生 CNI、Calico、出网代理与 Cilium 的优缺点后，按场景给出各自的适用边界与落地方式。
