Was du nicht tun solltest
kubectl apply am Repo vorbei: die
nächste Reconciliation überschreibt den Hotfix still.
Änderungen gehören ins Repo; Notfall-Stopp ist
flux suspend.
prune: false als Dauerzustand: gelöschte Manifeste bleiben als Waisen im Cluster stehen: Drift, den niemand mehr sieht.
Eine Mega-Kustomization: CRDs, Operatoren und
deren Custom Resources in einem Apply racen gegeneinander.
Aufteilen + dependsOn/healthChecks.
Mutable Tags ohne Digest: ImagePolicy
wählt per Tag-Sortierung, ein neu gepushtes
latest bliebe unbemerkt. Besser unveränderliche
SemVer-Tags. Muss es latest sein:
filterTags.pattern: '^latest$' +
policy.alphabetical,
digestReflectionPolicy: Always +
interval, Setter-Marker :digest.
Klartext-Secrets im Repo: SOPS/age gehört vor das erste Secret-Commit ins Setup, nicht danach.
Multi-Tenant ohne Lockdown: ohne
--no-cross-namespace-refs und
Default-ServiceAccount greift jeder Tenant auf fremde Sources
zu.