34장. Rollback을 버튼이 아니라 복구 제품으로 만든다

rollback 대상 digest와 config revision을 자동으로 알 수 있어야 한다. artifact가 남아 있고 이전 app이 현재 DB·queue message를 읽을 수 있어야 한다. traffic, migration, cache, consumer를 포함한 순서를 runbook으로 만든다.

freeze promotion -> route traffic back -> verify old digest
-> assess data writes -> drain incompatible consumers
-> business invariant check -> communicate -> preserve evidence

rollback 자체가 더 위험한 destructive migration이면 forward fix를 선택한다. 선택 기준과 decision owner를 미리 정한다. 분기마다 RTO를 연습해 “5분 rollback”이 실제인지 측정한다.