Ночью упала критическая нода K3s. Алерт: «kubelet не отвечает». Логи systemd — тишина. journalctl -u kubelet показал exit code 1, но без stderr. Причина? Кто-то месяц назад вручную добавил AmbientCapabilities=CAP_NET_BIND_SERVICE в основной unit-файл вместо drop-in (/etc/systemd/system/kubelet.service.d/override.conf). Обновление пакета kubelet перезаписало оригинальный unit — capabilities исчезли, сокеты не биндятся. Проверка: systemctl cat kubelet — покажет все слои конфигурации. Сравните с эталоном из GitOps. Метрика ядра: /proc/$(pgrep kubelet)/status — ищите CapPrm и CapEff. Если там нет нужных битов — вы проиграли. Неизменяемость — не фича CI/CD, а требование выживания. Подробнее: https://ftops.space/?utm_source=telegram&utm_medium=smm&utm_campaign=ftops&utm_content=systemd-drop-in-overrides-vs-ruchnye