A complete, production-ready GitOps implementation demonstrating modern cloud-native practices on AWS. This project showcases enterprise-grade infrastructure automation, multi-cluster management, and comprehensive CI/CD pipelines.

Internet → IGW → public subnets (ALB, NAT) → private worker subnets; VPC interface endpoints cho AWS APIs khi cluster private.

Private cluster = không có route internet từ worker node. Mỗi AWS API call phải qua VPC Endpoint. Thiếu một endpoint → service crash theo cách khó debug.

Flow chuẩn: Internet → Route 53 → ALB (public subnet) → AWS Load Balancer Controller (Ingress) → Kubernetes Service (ClusterIP) → Pod. ALB terminate TLS, check auth, rồi mới forward vào cluster.

Chiến lược multi-layer: Karpenter (node, 30–60s), KEDA (event-driven pod), HPA (CPU/mem 3–11 replicas). Cluster Autoscaler classic thường 3–5 phút cho node mới.

Tầng account (SCP, CloudTrail) → VPC (SG, NACL, flow logs) → cluster (Kyverno, NetworkPolicy, IRSA) → workload (non-root, read-only rootfs). Wiki HTML có thêm sơ đồ defense grid; semantics được giữ ở checklist và stack cards.

Mọi Terraform module follow pattern tagging nhất quán: tag derive từ basename(abspath(path.module)) — Cost breakdown theo team/product; terraform-module tự cập nhật khi rename folder.

# modules/_common/labels.tf — dùng chung mọi module
locals {
  default_tags = {
    (basename(abspath(path.module))) = var.name
    "terraform-module"              = basename(abspath(path.module))
    "product"                       = var.product
    "team"                          = var.team
    "environment"                   = var.environment
    "managed-by"                    = "terraform"
  }
  merged_tags = merge(local.default_tags, var.tags)
}

variable "name"        { type = string }
variable "product"     { type = string }
variable "environment" { type = string }
variable "tags"        { type = map(string); default = {} }
variable "team"        { type = string; default = "" }
variable "squad" {
  type        = string
  default     = ""
  description = "Deprecated: use team instead"
}
locals {
  resolved_team = coalesce(var.team, var.squad, "unknown")
}

# modules/eks/main.tf — consuming the pattern
module "eks" {
  source      = "../modules/eks"
  name        = "prod-cluster"
  product     = "platform"
  team        = "infra"
  environment = "prod"
  tags = {
    "cost-center" = "engineering"
    "criticality" = "high"
  }
}

resource "aws_eks_cluster" "this" {
  name = var.name
  tags = local.merged_tags
}

Pod trong EKS cần gọi AWS APIs (S3, Secrets Manager, DynamoDB…). Nếu không có cơ chế riêng, pod phải dùng node IAM role — mọi pod trên node chia sẻ quyền, vi phạm least privilege. IRSA và EKS Pod Identity đều giải quyết — theo hai cơ chế khác nhau.

Wiki HTML có sơ đồ so sánh IRSA vs EKS Pod Identity (flow lớn). Trang React giữ bảng quyết định + Terraform song song — đủ semantic để phỏng vấn.

Wiki gốc có sơ đồ Grafana Operator ~920×480 (Git → Flux → Operator → Grafana + Prometheus/Loki/Tempo/Alloy). Ở đây giữ prose + bảng + Helm snippet; xem HTML wiki nếu cần pixel-level diagram.

• Deploy Grafana Operator + Grafana instance (HelmRelease/Flux)
• Export dashboard từ Cloud → GrafanaDashboard CRD
• kube-prometheus-stack (tắt Grafana bundled)
• Loki + Alloy → in-cluster Loki thay Cloud
• Tempo + OTLP trong app
• GrafanaDatasource CRD → Prometheus/Loki/Tempo
• GrafanaAlertRule CRD → Git
• Cutover: dừng push Alloy ra Cloud

# Grafana Operator + instance (rút gọn)
helmRelease: grafana-operator
chart: grafana-operator/grafana-operator
---
apiVersion: grafana.integreatly.org/v1beta1
kind: Grafana
metadata:
  name: prod-grafana
  labels: { dashboards: prod }
spec:
  deployment: { spec: { replicas: 2 } }
  config:
    server: { root_url: https://grafana.gitops.duyne.me }
---
# kube-prometheus-stack: grafana.enabled: false
# loki: storage S3 IRSA cho chunks

Project dùng Grafana Alloy (metrics + logs + traces). Vector (Rust) là alternative throughput cao, footprint thấp; cả hai là unified agent — thay Promtail + Fluent Bit + OTel collector rời.

Wiki có sơ đồ pipeline Vector ~960×400 (sources → VRL transforms → sinks). Dưới đây là bảng so sánh đầy đủ.

Wiki có architecture SVG ~960×560 (GitOps → vm-operator → VMCluster/VMAgent/VMAlert/Grafana). Phần dưới: lý do migrate + YAML mẫu.

apiVersion: operator.victoriametrics.com/v1beta1
kind: VMCluster
metadata:
  name: vm-prod
  namespace: monitoring
spec:
  retentionPeriod: "3"
  replicationFactor: 2
  vminsert:
    replicaCount: 2
    image: { tag: v1.101.0-cluster }
  vmstorage:
    replicaCount: 3
    storage:
      volumeClaimTemplate:
        spec:
          storageClassName: gp3
          resources: { requests: { storage: 100Gi } }
  vmselect:
    replicaCount: 2
    extraArgs:
      dedup.minScrapeInterval: 1m

Flux ResourceSet + ResourceSetInputProvider: một template VMCluster/VMAgent cho mọi env; chỉ defaultValues (replicas, storage, scrape_interval) thay đổi — tránh drift cấu hình.

Kyverno ("to govern") là policy engine trong cluster — dynamic admission controller giữa kubectl/CI và etcd.

Request đi qua Authn/RBAC → Mutating webhook (Kyverno) → Validating webhook (Kyverno) → etcd.