[FIX] 모니터링 api 차단 문제 해결

[HyeonBin2379]

작업 배경

• 모니터링 api 호출 시 401 에러 발생 문제 해결

작업 내용

• UserSecurityConfig의 설정 수정
• zipkin 서버 연동 관련 설정 추가
  • deploy/promtail-config.yml 파일도 원격 서버에 배포되도록 deploy.yaml의 배포 워크플로우 수정
  • application.yaml 파일에 Zipkin 관련 설정 추가
  • user-service 원격 VM 인스턴스에 zipkin, loki 관련 환경변수 추가
  • deploy/docker-compose.prod.yaml 파일에 promtail 관련 설정 추가
  • deploy/promtail-config.yml 파일 추가

테스트 여부

• 현재 PR에서 UserSecurityConfig 수정사항을 반영하기 위한 재배포부터 우선 진행
  • user-service의 모니터링 기능 연동 확인
  • user-service의 Zipkin 연동 여부 확인

user-service Prometheus 연동 확인

user-service Zipkin 연동 확인

기타

• 우선은 UserSecurityConfig의 보안 설정 수정사항부터 먼저 반영하기 위해 해당 사항에 관한 재배포만 먼저 수행했습니다.
• 이후 현재 PR에서 로그 수집 관련 설정까지 반영한 다음 PR merge를 진행할 예정입니다.

이슈

이 PR과 연관된 이슈 번호를 작성해주세요. (이슈 없으면 생략 가능)

• This closes [FIX] 모니터링 관련 보안 설정 수정 #54

Summary by CodeRabbit

릴리스 노트

• Chores
  • 모니터링 엔드포인트에 대한 비인증 액세스 범위를 확대하도록 보안 설정을 업데이트했습니다.

[coderabbitai]

📝 Walkthrough

Walkthrough

액추에이터 인증 규칙을 /actuator/**로 확대하고, 메트릭 레지스트리 추가, Promtail 서비스·구성 및 Zipkin 샘플링 설정을 추가하며, 배포 워크플로우의 HEALTH_INTERVAL을 10→5로 단축했습니다.

변경 사항

모니터링 및 배포 인프라

Layer / File(s)	Summary
액추에이터 엔드포인트 인증 규칙 확대 src/main/java/org/pgsg/user_service/auth/infrastructure/security/config/UserSecurityConfig.java	권한 부여 설정에서 액추에이터 엔드포인트의 와일드카드 경로(/actuator/**)를 허용하도록 변경했습니다.
빌드 종속성: common 버전 업그레이드, Prometheus 레지스트리 추가 build.gradle	org.pgsg:common 스냅샷 버전이 0.3.2-SNAPSHOT로 업데이트되고 io.micrometer:micrometer-registry-prometheus 의존성이 추가되었습니다.
프로메테일 서비스 추가 (docker-compose) deploy/docker-compose.prod.yaml	promtail 서비스가 추가되어 호스트 설정 파일과 로그 볼륨을 마운트하고 pgsg-network에 연결됩니다.
Promtail 구성 파일 deploy/promtail-config.yml	Loki 푸시 엔드포인트와 /logs/*.log를 스크랩하는 user-service job이 정의된 Promtail 설정이 추가되었습니다.
트레이싱 설정 및 배포 워크플로우 변수 src/main/resources/application.yml, .github/workflows/deploy.yaml	Zipkin 엔드포인트와 management.tracing.sampling.probability: 1.0가 추가되었고, 배포 워크플로우의 HEALTH_INTERVAL이 10에서 5로 변경되었습니다.

Estimated code review effort

🎯 3 (Moderate) | ⏱️ ~20 minutes

Possibly related PRs

• 89-49/user-service#29: 관련된 UserSecurityConfig 변경(액추에이터 접근 허용)와 직접적으로 연관됩니다.
• 89-49/user-service#3: 액추에이터 엔드포인트에 대한 Spring Security 허용 규칙 변경과 유사한 작업을 포함합니다.

Suggested reviewers

• loveletheart
• Jin4041

전체 변경 사항 요약

사용자 서비스의 보안 설정에서 모니터링 관련 액추에이터 엔드포인트에 대한 인증 규칙을 확대했습니다. 기존의 /actuator/health, /actuator/info 특정 경로 허용에서 /actuator/** 와일드카드로 변경하여 모든 액추에이터 엔드포인트에 대한 비인증 접근을 허용합니다. 또한 Prometheus 레지스트리 의존성 추가, Promtail 서비스 및 구성 파일 추가, Zipkin 트레이싱 샘플링 설정(100%) 및 배포 워크플로우의 HEALTH_INTERVAL 단축(10→5)이 포함됩니다.

시 (Poem)

🐰 밤새 로그를 모으며 말하네
작은 발로 새벽을 돌보고
와일드카드로 문을 살짝 열어
모니터링 빛이 퍼지네 ✨
모두의 서비스, 평온하길 바라며

🚥 Pre-merge checks | ✅ 1 | ❌ 2

❌ Failed checks (1 warning, 1 inconclusive)

Check name	Status	Explanation	Resolution
Out of Scope Changes check	⚠️ Warning	PR #54의 요구사항(UserSecurityConfig 수정)을 초과하는 변경사항들이 포함되어 있습니다: Prometheus 의존성 추가, HEALTH_INTERVAL 조정, Promtail/Zipkin 설정 추가.	범위 외 변경사항 제거 또는 별도 PR 분리: (1) Prometheus/Promtail/Zipkin 관련 변경을 별도 PR로 분리, (2) HEALTH_INTERVAL 변경의 필요성 검토 및 별도 이슈 생성 후 처리.
Linked Issues check	❓ Inconclusive	PR은 주요 목표인 UserSecurityConfig 수정을 통한 모니터링 엔드포인트 접근 허용을 구현했으나, 추가 변경사항들이 이슈 #54의 범위를 초과합니다.	PR 설명에서 언급한 대로 UserSecurityConfig 수정만 먼저 머지하고, 로그 관련 설정(Promtail, Zipkin, Prometheus)은 별도 PR에서 처리할 것을 권장합니다.

✅ Passed checks (1 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.

_{✏️ Tip: You can configure your own custom pre-merge checks in the settings.}

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch fix/#54-update-security-setting

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands and usage tips.}

[coderabbitai]

🧹 Nitpick comments (1)

src/main/java/org/pgsg/user_service/auth/infrastructure/security/config/UserSecurityConfig.java (1)

46-46: ⚡ Quick win

액추에이터 엔드포인트 접근 제어 개선 권장

현재 Spring Boot 3.5의 기본 설정에서는 /actuator/health 엔드포인트만 노출됩니다. 그러나 /actuator/** 와일드카드 패턴은 향후 management.endpoints.web.exposure.include 설정을 통해 추가 엔드포인트가 활성화될 경우, 다음과 같은 민감한 정보가 인증 없이 공개될 수 있는 잠재적 보안 위험을 남깁니다:

• /actuator/env - 환경 변수 및 시크릿
• /actuator/configprops - 설정 속성
• /actuator/heapdump - 힙 메모리 덤프
• /actuator/loggers - 로그 레벨 변경 가능

보안 강화 원칙(Defense in Depth)에 따라 필요한 엔드포인트만 명시적으로 허용하는 것이 권장됩니다.

추천 수정사항

-                        .requestMatchers("/actuator/**").permitAll()
+                        .requestMatchers("/actuator/health", "/actuator/info").permitAll()

프로메테우스 메트릭 모니터링이 필요한 경우 /actuator/prometheus를 추가로 포함하세요.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In
`@src/main/java/org/pgsg/user_service/auth/infrastructure/security/config/UserSecurityConfig.java`
at line 46, The current security rule in UserSecurityConfig that uses
.requestMatchers("/actuator/**").permitAll() is too permissive; replace it with
explicit actuator paths (e.g., .requestMatchers("/actuator/health").permitAll()
and, if required for metrics,
.requestMatchers("/actuator/prometheus").permitAll()) inside the same security
configuration method where requestMatchers is used so only those endpoints are
exposed without authentication and all other actuator endpoints remain
protected.

🤖 Prompt for all review comments with AI agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

Nitpick comments:
In
`@src/main/java/org/pgsg/user_service/auth/infrastructure/security/config/UserSecurityConfig.java`:
- Line 46: The current security rule in UserSecurityConfig that uses
.requestMatchers("/actuator/**").permitAll() is too permissive; replace it with
explicit actuator paths (e.g., .requestMatchers("/actuator/health").permitAll()
and, if required for metrics,
.requestMatchers("/actuator/prometheus").permitAll()) inside the same security
configuration method where requestMatchers is used so only those endpoints are
exposed without authentication and all other actuator endpoints remain
protected.

---

ℹ️ Review info

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro Plus

Run ID: dfac2f66-fa92-4295-93af-c4975b51c23f

📥 Commits

Reviewing files that changed from the base of the PR and between 80b9c19 and b0afd50.

📒 Files selected for processing (1)

• src/main/java/org/pgsg/user_service/auth/infrastructure/security/config/UserSecurityConfig.java

[Jin4041]

확인했습니다!

[coderabbitai]

Actionable comments posted: 6

🧹 Nitpick comments (4)

deploy/promtail-config.yml (2)

10-11: 💤 Low value

파일 기반 스크래핑에서 targets: localhost는 의미가 없습니다.

Promtail의 파일 기반 로그 수집에서 targets 필드는 실질적인 역할을 하지 않습니다. 서비스 디스커버리에서 사용되는 필드이므로 혼란을 줄 수 있습니다.

♻️ 간소화 제안

targets 필드를 제거하여 설정을 더 명확하게 만들 수 있습니다:

 scrape_configs:
   - job_name: user-service
     static_configs:
-      - targets:
-          - localhost
-        labels:
+      - labels:
           job: user-service
           __path__: /logs/*.log

하지만 현재 구성도 정상적으로 작동하므로 이는 선택 사항입니다.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@deploy/promtail-config.yml` around lines 10 - 11, 파일 기반 스크래핑 섹션에서 불필요한
"targets: - localhost" 필드는 의미가 없으니 제거하세요: locate the file-based scrape block
that contains the "targets" key (the YAML block shown in the diff) and delete
the "targets" and its value so the scrape config only defines the file
paths/labels; ensure no other references to "targets" remain in that scrape
config and validate the YAML after removing the key.

---

1-14: ⚡ Quick win

positions 파일 설정 추가를 권장합니다.

현재 설정에는 positions 파일 경로가 지정되지 않아 기본값 /tmp/positions.yaml이 사용됩니다. 컨테이너 재시작 시 이 파일이 손실되어 로그가 중복으로 수집될 수 있습니다.

📝 권장 설정 추가

영구 볼륨에 positions 파일을 저장하도록 설정을 추가하세요:

 server:
   http_listen_port: 9080
+
+positions:
+  filename: /logs/positions.yaml

 clients:
   - url: http://34.47.69.9:3100/loki/api/v1/push

positions 파일이 logs 볼륨에 저장되므로 추가 볼륨 마운트가 필요하지 않습니다.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@deploy/promtail-config.yml` around lines 1 - 14, Add a persistent positions
file to the promtail config so offsets aren’t lost on container restart: under
the top-level config (alongside server/clients/scrape_configs) add a positions
stanza that sets filename to a path on the existing logs volume (e.g.
/logs/positions.yaml). This change updates the positions file location used by
promtail (so that the __path__ /logs/*.log offsets persist) and requires
ensuring the container mounts the logs volume where /logs/positions.yaml will be
written.

deploy/docker-compose.prod.yaml (1)

15-25: 리소스 제한 설정을 추가하는 것을 고려하세요.

Promtail 서비스에 메모리 및 CPU 제한을 설정하면 호스트 시스템의 안정성을 보장할 수 있습니다.

💡 권장 리소스 제한 예시

  promtail:
    image: grafana/promtail:2.9.1
    container_name: user-service-promtail
    restart: always
    volumes:
      - /opt/user-service/promtail-config.yml:/etc/promtail/config.yml
      - /opt/user-service/logs:/logs
    command: -config.file=/etc/promtail/config.yml
    networks:
      - pgsg-network
    deploy:
      resources:
        limits:
          memory: 256M
          cpus: '0.5'
        reservations:
          memory: 128M
          cpus: '0.25'

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@deploy/docker-compose.prod.yaml` around lines 15 - 25, Add resource
constraints to the promtail service in docker-compose.prod.yaml by adding a
deploy.resources block under the promtail service (service name "promtail" /
container_name "user-service-promtail") with limits and reservations (e.g.,
limits.memory, limits.cpus and reservations.memory, reservations.cpus) to cap
memory and CPU usage; also update the promtail command if needed to match your
config flag style (the reviewer suggested using
"-config.file=/etc/promtail/config.yml") so the service uses the correct config
path and the host is protected by the specified resource limits.

.github/workflows/deploy.yaml (1)

17-18: 헬스체크 대기 시간이 서비스 시작에 충분한지 확인하세요.

HEALTH_INTERVAL을 10에서 5로 줄이면 총 대기 시간이 300초에서 150초로 단축됩니다. 이는 배포 속도를 개선하지만, user-service가 150초 이내에 정상적으로 시작되는지 확인이 필요합니다.

만약 서비스가 시작하는 데 더 많은 시간이 필요하다면 불필요한 배포 실패와 롤백이 발생할 수 있습니다.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In @.github/workflows/deploy.yaml around lines 17 - 18, HEALTH_INTERVAL을 5로 줄여 총
헬스체크 대기시간이 150초(HEALTH_RETRIES × HEALTH_INTERVAL)로 감소했으므로, 배포 실패를 방지하려면
user-service가 150초 이내에 시작되는지 검증하거나 설정을 변경하세요: 서비스 시작에 더 시간이 필요하면
HEALTH_INTERVAL을 원래 10으로 복원하거나 HEALTH_RETRIES 값을 늘려 총 대기시간을 이전 수준(예: 300초)으로
맞추고, user-service의 실제 시작 시간(로그/착신 헬스엔드포인트)을 측정한 뒤
HEALTH_INTERVAL/HEALTH_RETRIES를 조정해 안정성을 확보하세요.

🤖 Prompt for all review comments with AI agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

Inline comments:
In @.github/workflows/deploy.yaml:
- Line 18: The rollback health-check loop currently uses hardcoded retry/count
values ("seq 1 18" and "sleep 10") which diverge from the deployment path that
uses HEALTH_RETRIES and HEALTH_INTERVAL; update the rollback loop to use the
HEALTH_RETRIES and HEALTH_INTERVAL environment variables instead of hardcoded
values so both deploy and rollback share the same timeout/retry behavior
(replace occurrences of "seq 1 18" and "sleep 10" in the rollback block with
constructs that iterate HEALTH_RETRIES times and sleep HEALTH_INTERVAL seconds,
ensuring variable names HEALTH_RETRIES and HEALTH_INTERVAL are referenced).

In `@build.gradle`:
- Line 33: org.pgsg:common을 0.3.2-SNAPSHOT으로 올리면서 발생할 수 있는 호환성 문제를 검증하세요: 프로젝트에서
사용하는 핵심 타입들(CustomException, ErrorCode, BaseEntity, SecurityUtil, 응답 모델 클래스 등)을
검색해 해당 클래스/메서드 시그니처나 패키지명이 변경되었는지 확인하고(예: import 변경, 생성자/메서드 시그니처 차이), 변경사항에 맞춰
호출부를 수정하거나 어댑터를 추가한 뒤 단위·통합 테스트와 주요 시나리오(인증/권한, 예외 매핑, DB 엔티티 직렬화/저장, API 응답
포맷)를 실행해 실패를 모두 해결하세요.

In `@deploy/docker-compose.prod.yaml`:
- Line 22: The Promtail container command is invalid: replace the current `run
--config.format=promtail /etc/promtail/config.yml` invocation with a proper
Promtail startup command that uses the -config.file flag to point at the config
(i.e., start the promtail binary and pass
-config.file=/etc/promtail/config.yml); update the `command:` value so the
container runs the promtail binary with the -config.file flag instead of the
non-existent `run` subcommand and `--config.format` flag.

In `@deploy/promtail-config.yml`:
- Line 5: The Promtail config currently hardcodes the Loki endpoint IP on the
line with "url: http://34.47.69.9:3100/loki/api/v1/push"; change this to
reference an environment variable (e.g., use a placeholder like ${LOKI_URL}) and
update the Docker Compose service "promtail" to pass LOKI_URL (or switch the URL
to a DNS name such as http://loki.monitoring.svc:3100/loki/api/v1/push) so the
config is environment-driven; ensure the config templating syntax you use
matches Promtail/Compose variable substitution and add a default/fallback value
if supported.

In `@src/main/resources/application.yml`:
- Around line 54-57: The current tracing sampling setting
management.tracing.sampling.probability is set to 1.0 which will enable 100%
tracing and can cause performance issues in production; change this to a lower
default (e.g., 0.01–0.1) and externalize it to an environment variable or
profile-managed property so production can use a low sampling rate (e.g.,
replace the hardcoded probability with a placeholder like
${TRACING_SAMPLING_PROBABILITY:0.01} and ensure profiles or env vars override it
for dev/test as needed).
- Around line 58-60: Replace the hardcoded Zipkin IP in the configuration by
reading the endpoint from an environment/property value instead of literal
"http://34.47.69.9:9411/api/v2/spans"; update the zipkin.tracing.endpoint
property to reference a configurable variable (e.g., ${ZIPKIN_ENDPOINT} or an
application property) and ensure any default value or profile-specific override
is documented so environments can supply a DNS name or env var rather than the
fixed IP.

---

Nitpick comments:
In @.github/workflows/deploy.yaml:
- Around line 17-18: HEALTH_INTERVAL을 5로 줄여 총 헬스체크 대기시간이 150초(HEALTH_RETRIES ×
HEALTH_INTERVAL)로 감소했으므로, 배포 실패를 방지하려면 user-service가 150초 이내에 시작되는지 검증하거나 설정을
변경하세요: 서비스 시작에 더 시간이 필요하면 HEALTH_INTERVAL을 원래 10으로 복원하거나 HEALTH_RETRIES 값을 늘려 총
대기시간을 이전 수준(예: 300초)으로 맞추고, user-service의 실제 시작 시간(로그/착신 헬스엔드포인트)을 측정한 뒤
HEALTH_INTERVAL/HEALTH_RETRIES를 조정해 안정성을 확보하세요.

In `@deploy/docker-compose.prod.yaml`:
- Around line 15-25: Add resource constraints to the promtail service in
docker-compose.prod.yaml by adding a deploy.resources block under the promtail
service (service name "promtail" / container_name "user-service-promtail") with
limits and reservations (e.g., limits.memory, limits.cpus and
reservations.memory, reservations.cpus) to cap memory and CPU usage; also update
the promtail command if needed to match your config flag style (the reviewer
suggested using "-config.file=/etc/promtail/config.yml") so the service uses the
correct config path and the host is protected by the specified resource limits.

In `@deploy/promtail-config.yml`:
- Around line 10-11: 파일 기반 스크래핑 섹션에서 불필요한 "targets: - localhost" 필드는 의미가 없으니
제거하세요: locate the file-based scrape block that contains the "targets" key (the
YAML block shown in the diff) and delete the "targets" and its value so the
scrape config only defines the file paths/labels; ensure no other references to
"targets" remain in that scrape config and validate the YAML after removing the
key.
- Around line 1-14: Add a persistent positions file to the promtail config so
offsets aren’t lost on container restart: under the top-level config (alongside
server/clients/scrape_configs) add a positions stanza that sets filename to a
path on the existing logs volume (e.g. /logs/positions.yaml). This change
updates the positions file location used by promtail (so that the __path__
/logs/*.log offsets persist) and requires ensuring the container mounts the logs
volume where /logs/positions.yaml will be written.

🪄 Autofix (Beta)

Fix all unresolved CodeRabbit comments on this PR:

• Push a commit to this branch (recommended)
• Create a new PR with the fixes

---

ℹ️ Review info

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro Plus

Run ID: 0163534f-ff68-4444-af43-930f72689b2e

📥 Commits

Reviewing files that changed from the base of the PR and between b0afd50 and cfd7f23.

📒 Files selected for processing (5)

• .github/workflows/deploy.yaml
• build.gradle
• deploy/docker-compose.prod.yaml
• deploy/promtail-config.yml
• src/main/resources/application.yml