test(deploy): start serve with the OIDC profile and ask it over HTTP

[Eomdahyeon]

무엇을

#992 의 남은 항목 가운데 "OIDC 설정으로 serve 기동 → /healthz 200" 스모크를 더합니다. 테스트 파일 하나와 CHANGELOG 뿐이고, 서비스 코드는 바꾸지 않았습니다.

어떻게

tests/unit/test_oidc_start_smoke.py 가 실제 serve 명령을 별도 프로세스로 띄웁니다. 환경은 다중 사용자 프로필입니다.

OIDC_ISSUER, OIDC_AUDIENCE, KPUBDATA_BUILDER_ADMIN_SUBJECTS=<issuer>|<sub>,
KPUBDATA_BUILDER_REQUIRE_OWN_PROVIDER_CREDENTIAL=true

DEV_MODE, API_KEY, CREDENTIAL_MASTER_KEY 는 테스트 실행 환경에 있더라도 빼고 띄웁니다.

• 프로세스가 뜨고 GET /healthz → 200 {"status": "ok"}
• 토큰 없이 /providers, /builds, /version → 401 unauthorized
• 검증할 수 없는 토큰 → 401 또는 503 auth_unavailable (통과시키지 않음)
• 부정: OIDC_AUDIENCE 가 없거나 ADMIN_SUBJECTS 가 없으면 "refusing to start" 로 종료

kpubdata 0.9.0 pin(#1050) 덕에 가능해졌습니다 — REQUIRE_OWN_PROVIDER_CREDENTIAL 이 켜져 있으면 serve 는 env_keys 를 모르는 kpubdata 에서 기동을 거부합니다(#990).

한계

• IdP 에 닿지 않습니다(idp.invalid). 서비스가 뜨고 닫혀 있다는 것만 보이고, 로그인이 된다는 것은 보이지 않습니다. 수용 기준의 "실 Keycloak 토큰으로 GET /providers 200" 은 실제 realm 이 정해진 뒤의 일입니다.
• 컨테이너나 compose 를 띄우지 않습니다. 이미지·compose 의 변수 전달은 test_prod_oidc_plumbing.py 가 파일로 확인합니다.
• 손으로 띄웠을 때 본 것: 토큰이 없을 때의 401 문구가 OIDC 배포에서도 api key not configured 입니다. 동작은 맞고 문구만 어색합니다. 이 PR 에서는 건드리지 않았습니다.

#992 수용 기준 대조

• 배포 이미지에서 import jwt — fix(deploy): let the production image and compose run OIDC #1020, fix(deploy): build the CUBRID-profile image with the auth extra #1033
• OIDC 변수가 있는 프로필이 CI 에서 기동 스모크를 통과 — 이 PR (프로세스 기동 기준. 컨테이너 기동은 아님)
• 실 Keycloak 토큰으로 GET /providers 200 — 배포 대상·realm 결정 필요

검증

• 새 파일 5건 통과 (약 5초), ruff, mypy 통과
• 전체 단위 스위트는 로컬에서 돌리지 않았습니다(테스트 추가만). CI 에 맡깁니다.

Refs #992 (닫지 않습니다)

🤖 Generated with Claude Code

[yeongseon]

diff 를 읽고 승인합니다. 테스트 한 파일과 CHANGELOG 한 줄입니다.

• 실제 serve 를 별도 프로세스로 띄우고, 테스트 실행 환경의 DEV_MODE·API_KEY·CREDENTIAL_MASTER_KEY·OIDC_* 를 빼고 프로필만 넣습니다 — CI 러너의 변수에 기대지 않습니다.
• 뜨지 않으면 프로세스 출력을 붙여 실패하고, 60초 한도가 있고, 끝나면 terminate → kill 로 정리합니다.
• 부정 2건(audience 없음, 관리자 없음)이 "refusing to start" 로 끝나는 것을 봅니다.

본문이 적은 한계에 동의합니다 — 이것은 "뜨고 닫혀 있다" 이지 "로그인이 된다" 가 아니고, #992 는 Refs 로 열어 둡니다. 남은 항목(실 Keycloak 토큰)은 kpubdata#812 §4 의 배포 대상·realm 결정을 기다립니다.

알아 둘 것 (막지 않음): 포트를 잡았다 놓고 다시 여는 방식이라 그 사이에 다른 프로세스가 같은 포트를 잡을 수 있습니다. 불안정해지면 그때 serve 가 포트 0 을 받아 실제 포트를 알려 주게 바꾸면 됩니다.