37장. 장애 훈련 — GitOps가 hotfix를 되돌린다

당직자가 cluster에서 image를 직접 바꿨는데 self-heal이 Git 상태로 되돌렸다. controller가 고장 난 것이 아니라 선언된 정책대로 동작한 것이다. break-glass 절차는 auto-sync pause 권한, 시간 제한, 변경 기록, 환경 repo 반영 또는 원복을 포함해야 한다.

declare emergency -> pause reconciliation with expiry
-> minimal live change -> verify -> PR desired state
-> resume sync -> confirm no drift -> audit

장기적으로 hotfix도 새 artifact digest와 environment commit으로 만든다. live-only 변경이 남으면 다음 sync 때 재발한다. 누가 auto-sync를 끄고 켰는지 감사한다.