Vault Agent Injector en GKE privado: el sidecar no aparece y el pod tarda 30 s (el control plane no llega al webhook en el 8080)
gcloud compute firewall-rules create … –source-ranges= –target-tags= –rules=tcp:8080. Valida borrando un pod y buscando ‘handler: Request received: Method=POST URL=/mutate’ en el injector. Aplica a cualquier webhook que no escuche en 443 o 10250.