一台 non-prod Jenkins 上几十个作业共用一把长期 AWS key。改成每次构建由 Jenkins 签 OIDC token、经 STS 换最长 1 小时的角色凭据后，Jenkins 里不再存 AWS 密钥，但签名私钥仍在控制器上。

在 AWS EKS 集群上将默认 VPC CNI 迁移至 Cilium Standalone ENI 模式并开启 kubeProxyReplacement。梳理双 CNI 调度门禁、Nitro AL2023 网卡探测、节点单台滚动置换与出站策略加固等关键步骤。

AWS Load Balancer Controller 默认一个 Ingress 一个 ALB。共用 ALB 有三种做法：IngressGroup、TargetGroupBinding，以及 v3.0.0 起 GA 的 Gateway API。

旧缓存 key 没有 TTL，其中一类的 key 名就是明文 API key。自建单机上用 SCAN 盘点、Lua 分批 UNLINK、SLOWLOG 验证；ElastiCache 上查配置和监控的方式不同，cluster 模式还要逐个主节点执行。

两种 VPC endpoint 只有在 S3 和 DynamoDB 上才有得选，其余服务只有 interface 一种。一个靠路由表里的 prefix list 生效，一个靠子网里的 ENI 和私有 DNS，分界在请求来源和客户端连的名字上。

私有子网的默认路由指向 NAT 之后，钱会从三个地方漏出去：没人用的网关一直计小时费，S3 和 ECR 镜像层绕公网按 GB 收费，SaaS 的公网域名让 peering 闲着。三笔各自的成因、对应解法和回本点。