kustomization.yaml은 bootstrap root Application이 읽는 유일한 cluster entrypoint이며 permission-scoped Argo CD control plane을 조립합니다. ApplicationSet inventory는 아래 cluster-specific overlay를 child Application source로 선택합니다.

overlays/platform/vault: dev Vault namespace, NetworkPolicy와 single-node profile
overlays/systems/auth-system: auth-system-dev namespace, internal/public host, Vault injection path와 system NetworkPolicy
overlays/workloads/*: dev namespace, image reference, ingress, pull SealedSecret과 workload NetworkPolicy

현재 Vault NetworkPolicy의 Kubernetes API CIDR와 node address는 dev-k3s에 종속됩니다. 다른 클러스터에 그대로 복사하지 말고 해당 클러스터의 service/node network를 확인해야 합니다.

두 번째 클러스터를 추가할 때는 다음 순서를 사용합니다.

실제 차이가 있는 overlay만 gitops/clusters/<cluster>/overlays에 추가합니다.
Argo CD cluster credential을 Git 밖에서 등록합니다.
각 AppProject destination에 정확한 API server/namespace를 추가합니다.
권한별 ApplicationSet inventory에 autoSync: "false" element를 추가합니다.
Render, live diff와 외부 prerequisite를 검증한 단계별 PR로 gate를 엽니다.

Production은 이 profile의 이름 변경이나 복사로 만들지 않습니다. TLS, availability, secret authority, storage/backup, approval과 recovery contract를 먼저 별도 설계해야 합니다.