🚪 धडा 04 — Push च्या मर्यादा: courier पोहोचवतो… आणि निघून जातो

📍 तुम्ही इथे आहात: 12 पैकी धडा 04 — भाग 1 चा शेवट · मागे: lesson-03-cicd-push · पुढे: lesson-05-gitops-idea

📦 या ब्रँचमध्ये काय आहे

धडे 01–03, आणि त्यासोबत push model चे प्रामाणिक परीक्षण — असे चार खड्डे जे कितीही चांगली pipeline बनवली तरी बुजत नाहीत. हेच भाग 2 मध्ये जाण्याचे दार आहे.

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

Courier robot 📮 खरोखरच छान आहे. पण 14:04 ला काय होते ते पाहा, म्हणजे तो पोहोचवून निघून गेल्यावर एका मिनिटाने:

खोलीवर कोणीच लक्ष ठेवत नाही. 🪑 15:00 ला एक मूल खुर्च्यांची जागा बदलते (drift, धडा 02!). Courier? तो कधीच गेला. कोणी नवा गृहपाठ टपालात टाकला तरच तो परत येतो — कदाचित पुढच्या मंगळवारी. तो पसारा कित्येक दिवस कोणाच्या लक्षात न येता तसाच पडून राहतो.
Courier ला बाहेरून आत येण्याचा मार्ग लागतो. 🔑 पोहोचवण्यासाठी courier ला deployment credentials मिळवावे लागतात — सगळ्यात वाईट म्हणजे त्याच्या गाडीत ठेवलेली चावीची नक्कल (CI मध्ये साठवलेले kubeconfig), सगळ्यात चांगले म्हणजे थोड्या काळाचा badge (OIDC, जसे CI/CD शाळा शिकवते). थोड्या काळाचे खूपच चांगले — पण रस्त्याकडून उघडणारे दार तरीही अस्तित्वात असावेच लागते, मर्यादित करावे लागते, आणि त्यावर लक्ष ठेवावे लागते.
दहा शाळा? गाडीत दहा चाव्या. 🏫🏫🏫 प्रत्येक नवा cluster = CI मध्ये आणखी एक credential, आणखी एक pipeline config, बदलत राहायची आणखी एक गोष्ट.
पोहोचवण्याची नोंदवही टपालखोलीत आहे, शाळेत नाही. 🧾 "आत्ता खोली 3B मध्ये काय आहे?" याचे उत्तर देताना CI history काय पाठवले ते दाखवते — प्रत्यक्षात तिथे काय आहे ते नाही (खड्डा #1 पाहा).

या संपूर्ण कोर्सचे मर्म: उपाय म्हणजे अधिक चांगला courier नाही. तर शाळेतच राहणारा पहारेकरी, जो खोल्यांची आराखड्याशी तुलना करणे कधीच थांबवत नाही.

🚪 Push चे चार खड्डे — क्रमांक लक्षात ठेवा; भाग 2 ते एकेक करून बुजवतो: खड्डा 1 — दोन deploys मधला drift अदृश्य असतो → धडा 09 मध्ये बुजतो (selfHeal) खड्डा 2 — deployment credentials बाहेरून यावे लागतात → धडा 07 मध्ये बुजतो (robot आतून pull करतो) खड्डा 3 — प्रत्येक जास्तीचा cluster keys आणि pipelines वाढवतो → धडा 11 मध्ये बुजतो (एक वही, प्रत्येक cluster साठी एक robot) खड्डा 4 — पोहोचवण्याची नोंदवही म्हणजे live सत्य नाही → धडा 10 मध्ये बुजतो (Synced = खोली पानाशी जुळते; sync history कधी ते सांगते)

🗺️ आकृती

flowchart LR
    ci["📮 pipeline run<br/>deploys at 14:03<br/>then EXITS"]
    cluster["🏫 cluster at 14:04+<br/>unguarded until the next push"]
    ci -->|"1 delivery moment - all good"| cluster
    cluster -.-> d1["2 🪑 drift creeps back<br/>nobody notices"]
    cluster -.-> d2["3 🔑 deploy credentials needed<br/>from OUTSIDE - short-lived at best"]
    cluster -.-> d3["4 🏫×10 clusters =<br/>10 keys, 10 configs"]

❓ काय (चार खड्डे, नेमकेपणाने)

#	खड्डा	Pipeline तो का बुजवू शकत नाही
1	दोन push च्या मध्ये drift परत येतो	Pipeline deploy च्या क्षणी चालते; drift मधल्या काळात होतो
2	Deployment credentials बाहेरून मिळवले जातात	Push ला रस्त्यावरून चालणारे credentials लागतात — OIDC सह थोड्या काळाचे, पण बाहेरून आत उघडणारे दार हेच तर model आहे
3	अनेक clusters चा पसारा	प्रत्येक target ला CI मध्ये स्वतःची key + config लागते
4	Live source of truth नाही	CI logs काय पाठवले ते सांगतात, आत्ता काय चालू आहे ते नाही

🤔 हे का महत्त्वाचे आहे

प्रत्येक खड्डा एकटा त्रासदायक आहे; सगळे मिळून "pipeline हिरवी आहे पण prod तुटलेले आहे" हा meme का बनला त्याचे कारण आहेत. खड्डा #1 म्हणजे पुन्हा धडा 02 — automation ने drift संपवला नाही, फक्त deploys छान केले. खड्डा #2 मुळे security teams ची झोप उडते. आणि खड्डा #4 म्हणजे incident दरम्यान तुम्ही अशा दोन sources of truth चा debugging करत असता ज्या दोन्ही खोटे बोलत असू शकतात.

🔧 कसे (खड्डा #1 आत्ताच अनुभवा)

# the "pipeline" (you, lesson 03) deployed replicas: 2. Now, at "15:00":
kubectl -n gitops-school scale deployment hello-school --replicas=1

# question: what will tell you about this? answer: NOTHING.
# no alert, no status, no robot. It sits like this until the next push.
kubectl -n gitops-school get deploy hello-school     # 1/1 — silently degraded

भाग 2 आधी ते परत दुरुस्त करा: kubectl apply -f k8s/

✅ तपासा — तुम्हाला काय दिसायला हवे

scale --replicas=1 नंतर: kubectl -n gitops-school get deploy hello-school 1/1 दाखवते आणि बाकी काहीच घडत नाही — कोणताही event, alert, status कुठेही "हे git सांगते तसे नाही" असे म्हणत नाही. ती शांतताच पुरावा आहे.

🧹 साफसफाई

kubectl apply -f k8s/ भाग 2 आधी replicas: 2 परत आणते (तसेही धडा 07 namespace delete करतो).

⚠️ नेहमीच्या चुका

ठरलेल्या वेळी चालणारी pipeline हाच उपाय आहे असा निष्कर्ष काढणे — cron apply खड्डा 1 वाईट पद्धतीने बुजवतो (त्यातून धडा 02 चे निरागस re-apply परत येते) आणि बाकीचा एकही नाही
CI vendor ला दोष देणे — हे चार खड्डे push चे गुणधर्म आहेत, कोणत्याही product चे नाहीत
खड्डा 2 चा अर्थ "push असुरक्षित आहे" असा घेणे — थोड्या काळाचे OIDC credentials ते खूपच सुरक्षित करतात; मुद्दा हा आहे की दार तरीही बाहेरून उघडते

🏭 प्रत्यक्ष वापरात हे का महत्त्वाचे आहे: teams वर्षानुवर्षे process जोडून हे चार खड्डे सहन करत जगतात: change tickets, deploy windows, kubeconfig कोणाकडे आहे याची spreadsheet. प्रत्येक म्हणजे रचनेतल्या भोकावर माणसाने लावलेले ठिगळ. ठिगळ विकत घेण्याआधी खड्ड्याला नाव द्या.

⏭️ पुढे — भाग 2 सुरू होतो

आतच राहणारा, बाहेरची कोणतीही key न बाळगणारा, आणि खोल्यांची आराखड्याशी तुलना दर काही मिनिटांनी, कायम करणारा पहारेकरी. आधी, नाव असलेली कल्पना: GitOps. (गुणपत्रक आत्ताच हवे? कोर्सच्या मुख्य पानावर push-विरुद्ध-pull गुणपत्रक आहे; धडा 12 शेवटचा स्तंभ टिप्पणीसह भरतो.)

git checkout lesson-05-gitops-idea

🚪 Lesson 04 — Limits of push: the courier delivers… and LEAVES

📍 You are here: Lesson 04 of 12 — end of Part 1 · Previous: lesson-03-cicd-push · Next: lesson-05-gitops-idea

📦 What's in this branch

Lessons 01–03, plus the honest audit of the push model — the four gaps that no amount of better pipeline fixes. This is the door into Part 2.

🧒 Explain like I'm 5

The courier robot 📮 is genuinely great. But watch what happens at 14:04, one minute after it delivered and drove away:

Nobody is watching the room. 🪑 A kid rearranges the chairs at 15:00 (drift, lesson 02!). The courier? Already gone. It only comes back when someone mails new homework — maybe next Tuesday. The mess sits there unnoticed for days.
The courier needs a way in from outside. 🔑 To deliver, the courier must obtain deployment credentials — a copied key kept in its van at worst (a kubeconfig stored in CI), a short-lived badge at best (OIDC, as the CI/CD school teaches). Short-lived is much better — but a door that opens from the street still has to exist, be scoped, and be watched.
Ten schools? Ten keys in the van. 🏫🏫🏫 Every new cluster = another credential in CI, another pipeline config, another thing to rotate.
The delivery log is in the mailroom, not the school. 🧾 To answer "what's in Room 3B right now?", CI history shows what was sent — not what's actually there (see gap #1).

The insight of this whole course: the fix is not a better courier. It's a guard who lives in the school and never stops comparing rooms to the plan.

🚪 The four gaps of push — memorise the numbers; Part 2 closes them one by one: Gap 1 — drift between deploys is invisible → closed in lesson 09 (selfHeal) Gap 2 — deployment credentials must come from outside → closed in lesson 07 (the robot pulls from inside) Gap 3 — every extra cluster multiplies keys and pipelines → closed in lesson 11 (one book, one robot per cluster) Gap 4 — the delivery log is not the live truth → closed in lesson 10 (Synced = room matches page; sync history says when)

🗺️ Diagram

flowchart LR
    ci["📮 pipeline run<br/>deploys at 14:03<br/>then EXITS"]
    cluster["🏫 cluster at 14:04+<br/>unguarded until the next push"]
    ci -->|"1 delivery moment - all good"| cluster
    cluster -.-> d1["2 🪑 drift creeps back<br/>nobody notices"]
    cluster -.-> d2["3 🔑 deploy credentials needed<br/>from OUTSIDE - short-lived at best"]
    cluster -.-> d3["4 🏫×10 clusters =<br/>10 keys, 10 configs"]

❓ What (the four gaps, precisely)

#	Gap	Why the pipeline can't fix it
1	Drift returns between pushes	The pipeline runs at deploy moments; drift happens in the gaps
2	Deployment credentials obtained from outside	Push needs credentials that work from the street — short-lived with OIDC, but the outside-in door is the model
3	Multi-cluster sprawl	Each target needs its own key + config in CI
4	No live source of truth	CI logs say what was sent, not what's running now

🤔 Why this matters

Each gap is annoying alone; together they're why "the pipeline is green but prod is broken" is a meme. Gap #1 is lesson 02 all over again — automation didn't kill drift, it just made deploys nicer. Gap #2 is the one security teams lose sleep over. And gap #4 means that during an incident, you're debugging two sources of truth that both might be lying.

🔧 How (feel gap #1 right now)

# the "pipeline" (you, lesson 03) deployed replicas: 2. Now, at "15:00":
kubectl -n gitops-school scale deployment hello-school --replicas=1

# question: what will tell you about this? answer: NOTHING.
# no alert, no status, no robot. It sits like this until the next push.
kubectl -n gitops-school get deploy hello-school     # 1/1 — silently degraded

Fix it back before Part 2: kubectl apply -f k8s/

✅ Verify — what you should see

After scale --replicas=1: kubectl -n gitops-school get deploy hello-school shows 1/1 and nothing else happens — no event, no alert, no status anywhere says "this is not what git says". That silence is the exhibit.

🧹 Clean up

kubectl apply -f k8s/ restores replicas: 2 before Part 2 (lesson 07 deletes the namespace anyway).

⚠️ Common mistakes

concluding the fix is a scheduled pipeline run — a cron apply fixes gap 1 badly (it brings back lesson 02's innocent re-apply) and none of the others
blaming the CI vendor — the four gaps are properties of push, not of any product
reading gap 2 as "push is insecure" — short-lived OIDC credentials make it much safer; the point is that the door still opens from outside

🏭 Why this matters in production: teams live with these four gaps for years by adding process: change tickets, deploy windows, a spreadsheet of who holds the kubeconfig. Each is a human patch over a structural hole. Name the gap before buying the patch.

⏭️ Next — Part 2 begins

A guard who lives inside, holds no outside key, and compares the rooms to the plan every few minutes, forever. First, the idea with a name: GitOps. (Want the scorecard now? The course home has the push-vs-pull scorecard; lesson 12 fills in the last column with commentary.)

git checkout lesson-05-gitops-idea

← Previouscicd push Next →gitops idea

This page is the lesson's README from the lesson-04-limits-of-push branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.