[S15P11A705-154] Backend OAuth CLIENT_ID Infra 계약 확장

[tpals0409]

요약

• Backend back-prod owner Secret canonical 계약에 OAuth CLIENT_ID 3개 추가
• Composite Action의 dependency 설치 전 credential sanitization에 신규 키 3개 추가
• canonical policy YAML·Python implementation·exact-order 테스트를 동일한 8-key 계약으로 정렬

Jira

Jira: S15P11A705-154

최종 Backend owner key 계약

• JWT_PRIVATE_KEY
• GOOGLE_CLIENT_ID
• GOOGLE_CLIENT_SECRET
• KAKAO_CLIENT_ID
• KAKAO_CLIENT_SECRET
• NAVER_CLIENT_ID
• NAVER_CLIENT_SECRET
• PINLOG_AI_INTERNAL_SECRET

PINLOG_INFRA_SECRET_PR_TOKEN은 owner Secret이 아닌 bridge credential로 계속 분리합니다.

보안 경계

• dependency 설치 subprocess 전에 모든 owner credential을 unset
• AI policy·OIDC·certificate·namespace·target path 변경 없음
• Secret 값·SealedSecret ciphertext 변경 없음

TDD 증거

RED: python3 -m unittest tests.test_sealedsecret_infra_pr -v 신규 CLIENT_ID 3개의 dependency-install sanitization 누락을 6개 assertion failure로 검출, exit 1

GREEN: python3 -m unittest tests.test_sealedsecret_infra_pr -v 27개 테스트 통과, exit 0

Regression: python3 -m unittest discover -s tests -p 'test_*.py' 전체 219개 테스트 통과, exit 0

변경 범위

• .github/actions/sealedsecret-infra-pr/action.yml
• .github/actions/sealedsecret-infra-pr/sealedsecret_infra_pr.py
• policy/sealedsecrets/back-prod.yaml
• tests/test_sealedsecret_infra_pr.py

후속 순서

이 PR이 병합되어 새 immutable Infra action SHA가 확정된 후 Backend PR #100이 그 SHA와 동일한 8-key 계약을 pin해야 합니다. 이번 PR은 GitHub Environment 값이나 live Kubernetes Secret을 변경하지 않습니다.