GitOps hält den Sollzustand des Systems in git und betreibt einen Agent innerhalb der Zielumgebung, der diesen Zustand kontinuierlich zieht und die Realität dagegen abgleicht. Bei einem push-basierten Deploy hält die CI Credentials für das Cluster und wendet Änderungen von außen an. Das Pull-Modell heißt, dass CI nie Produktions-Credentials braucht, Drift automatisch korrigiert wird und die git-Historie ein akkurates Audit-Log des Deployten ist.
Warum Interviewer das fragen
Das testet, ob du einen echten Architekturunterschied von einer Branding-Übung unterscheiden kannst. Der Interviewer achtet auf die Richtung der Credentials und kontinuierliche Reconciliation als die wirklichen Unterschiede, nicht bloß darauf, YAML in git zu legen. Gute Kandidaten sprechen auch die harten Teile an: Promotion zwischen Umgebungen, Secrets in einem öffentlich einsehbaren Repository und was passiert, wenn jemand manuell etwas ändert.
So baust du deine Antwort auf
- Definiere GitOps über die Reconciliation-Schleife, nicht über die Nutzung von git.
- Stell die Credential-Richtung gegenüber: Pull gegen Push.
- Erklär Drift-Korrektur und Auditierbarkeit als die praktischen Gewinne.
- Benenne die harten Teile: Promotion, Secrets und Notfalländerungen.
Beispielantwort
Das Entscheidende ist nicht, dass die Manifeste in git liegen, sondern dass ein Agent im Cluster das Repository beobachtet und den laufenden Zustand kontinuierlich angleicht. Push-basiert heißt, mein CI-Job hält eine kubeconfig mit Schreibrechten und wendet von außen an, diese Credentials existieren also im CI-System, und nach dem Anwenden interessiert es ihn nicht mehr. Beim Pull-Modell schreibt CI nur in ein Repository. Nichts außerhalb braucht Cluster-Credentials, was die Angriffsfläche deutlich verengt. Und weil Reconciliation eine Schleife ist und kein Event, wird eine nachts um zwei von Hand editierte Deployment-Ressource zurückgesetzt und ich sehe den Drift. Die unangenehmen Teile sind aber real. Promotion zwischen Umgebungen wird zu einem Pull Request, der einen Image-Tag in einem Overlay ändert, was sich langsamer anfühlt, bis du merkst, dass es zugleich der Audit-Datensatz ist. Secrets brauchen Verschlüsselung gegen einen Key-Management-Service, denn das Repository selbst ist kein sicherer Ort. Und du brauchst einen dokumentierten Break-Glass-Pfad für den Fall, dass ausgerechnet die Reconciliation zwischen dir und der Behebung eines Ausfalls steht.
Steht dieses Vorstellungsgespräch bald an? GhostPilot hört bei deinem Live-Call mit, erkennt die Frage in dem Moment, in dem sie gestellt wird, und bringt dir eine strukturierte Antwort in Echtzeit auf den Bildschirm. Probier es im nächsten Mock aus, oder hol dir einen $29 Session Pass, kein Abo, für den Ernstfall.
So funktioniert esNachfragen, mit denen du rechnen solltest
- Wie promotest du in diesem Modell eine Änderung von Staging nach Produktion?
- Wie machst du einen Rollback, wenn das Repository die Quelle der Wahrheit ist?
- Wie sieht dein Break-Glass-Verfahren während eines Incidents aus?
Weitere Fragen für DevOps Engineer
Dein Interviewer stellt seine eigene Version davon. Kopier deine echte Stellenbeschreibung in den kostenlosen Question Predictor und bekomm die 20 Fragen, die diese Rolle am wahrscheinlichsten stellt, samt dem, worauf jede wirklich abzielt.
Meine Fragen vorhersagen