fix(deploy): let the production image and compose run OIDC

[Eomdahyeon]

Refs #992

결정

이슈가 "먼저 정할 것 (사람)"으로 둔 두 가지:

• 운영 인증 모드 → OIDC 멀티유저를 켤 수 있게 하되, 켜지는 않는다. Studio 는 Bearer 만 보내므로 Studio 가 붙는 배포에는 OIDC 가 필요하다(이슈의 권장안). 다만 fix(byok): REQUIRE_OWN_PROVIDER_CREDENTIAL still runs a keyless request on the operator's environment key #990·fix(api): POST /builds returns another caller's job when given its run_id #991 이 열려 있는 동안 멀티유저로 여는 것은 그 결함을 노출시킨다. 그래서 이 PR 은 배관만 놓는다 — 변수를 비워 두면 지금과 똑같은 API 키 전용 배포다.
• 토큰 종류 → access 토큰. docs(auth): state that the bearer token Builder accepts is an access token #1019 (studio#722) 에서 정하고 realm 설정 단계를 docs/deploy.md 에 적었다.

변경 내용

• Dockerfile: 기본 EXTRAS 를 publish → publish auth. 기본 이미지에 pyjwt 가 들어간다.
• docker-compose.prod.app.yml: OIDC_ISSUER, OIDC_AUDIENCE, OIDC_ALLOWED_HD/SUBJECTS/EMAILS, KPUBDATA_BUILDER_ADMIN_SUBJECTS, KPUBDATA_BUILDER_AUTH_FAILURE_LIMIT 를 .env 에서 넘긴다(기본 빈 값).
• .env.app.example: OIDC 블록과, 멀티유저에서는 CREDENTIAL_MASTER_KEY·프로바이더 키 환경변수를 두지 않는다는 안내.
• CHANGELOG [Unreleased] Fixed.

하지 않은 것 — 그래서 Refs

• deploy.yml 이 .env 를 렌더하는 부분. OIDC 변수를 secrets 에서 넣으려면 워크플로를 고쳐야 하는데 이 계정은 워크플로 파일을 push 할 수 없다. 지금은 VM 의 .env 에 직접 적어야 한다.
• docker.yml 의 cubrid 변형 이미지(EXTRAS=publish cubrid)에는 auth 가 들어가지 않는다 — 같은 이유.
• Keycloak realm export (audience mapper, email_verified) 를 저장소에 추가하는 것. 실제 realm 없이 만들어 넣을 수 없었다. 설정 단계는 docs(auth): state that the bearer token Builder accepts is an access token #1019 가 문서로 적는다.
• 완료 조건 "OIDC 프로필이 CI 에서 기동 스모크 통과", "실 Keycloak 토큰으로 200" — 둘 다 이 PR 밖이다.

검증

• tests/unit/test_prod_oidc_plumbing.py: 기본 이미지의 EXTRAS 에 auth / compose 가 일곱 변수를 ${VAR:-} 로 전달 / 빈 값이면 OIDC 가 꺼진 채(oidc_enabled() is False, multi_user_mode() is False) / .env.app.example 에 변수 전부.
• 이미지를 실제로 빌드해 import jwt 를 확인하지는 못했다(로컬에 docker 없음) — 이 PR 의 docker build and scan 이 빌드는 확인한다.

review:R3 — 작성자가 아닌 사람의 승인이 필요하다.

🤖 Generated with Claude Code

[yeongseon]

리뷰 (코멘트, 승인 아님 — R3).

결정에 동의합니다: OIDC 를 켤 수 있게 배관만 놓고, 켜지는 않습니다. 멀티유저는 #1014·#1008 과 env_keys 를 담은 kpubdata 릴리스(10월 정기 릴리스) 뒤에 켭니다. 빈 값이면 OIDC 가 꺼진 채라는 테스트가 있어 기존 배포에 영향이 없습니다.

• #1012 와 .env.app.example·docker-compose.prod.app.yml 의 같은 자리를 고칩니다. 하나가 먼저 들어가면 다른 쪽은 리베이스가 필요합니다.
• 본문이 남긴 두 가지 — deploy.yml 의 .env 렌더, docker.yml 의 cubrid 변형 이미지에 auth extra — 는 워크플로 push 권한이 있는 계정이 따로 고쳐야 합니다.

[yeongseon]

승인합니다. 앞선 리뷰 코멘트 그대로입니다.