36장. Ephemeral debug container를 높은 권한으로 본다

kubectl debug는 workload copy, ephemeral container, node debug를 지원한다. 이는 production network와 filesystem 접근을 넓힐 수 있어 승인·RBAC·감사가 필요하다.

kubectl -n checkout debug pod/checkout-api-abc -it 
  --image=busybox:stable --target=api

image source·digest를 승인하고 shell history와 packet capture를 보존 정책에 맞춘다. app image에 curl을 영구 추가하기보다 제한된 debug path를 운영한다.