[BE/Infra][Memory] Physical purge·storage generation migration·versioned worker rollout

[HyungminYoon1]

배경

nodease/mbased#649이 authenticated internal Session/Turn/Entry window path를 만들고 nodease/mbased#522가 Summary·provenance·usage record 계약을 고정한 뒤에야, 모든 content-bearing record를 빠짐없이 지우고 mixed-version Worker를 안전하게 전환할 수 있다.

nodease/mbased#521의 Public Chatbot은 client-held history이며 Public durable lifecycle을 다시 활성화하지 않는다. #519/317의 기존 Public table·grant·replay foundation은 dormant legacy data로만 취급하고 migration/cleanup 시 보존·삭제 정책을 명시한다.

목표

Authenticated internal Conversation Memory의 physical purge, storage generation migration, versioned queue/Worker rollout과 rollback을 완성해 production activation과 #524 cutover에 필요한 서버 gate를 제공한다.

선행 조건

• [BE/Security][Memory] 인증형 내부 Chatbot durable Conversation Memory 활성화 #649: authenticated Session/Turn/Entry, lifecycle과 purge handoff contract
• [BE/Security][Memory] Authenticated Summary·Knowledge provenance·usage capability 연동 #522: Summary/Context/Dependency/usage reconciliation record 계약
• 완료된 외부 기반: [Architecture/BE][LLM Credential] Workflow LLM node credential selection policy 및 ProviderExecutionCapability 구현 #397, [Reliability][LLMOps] Provider usage durable ledger와 WorkflowRun projection 분리 #475, [Architecture/BE][LLM Credential/Knowledge] RAG query embedding 실행 capability 구현 #580, [BE][Workflow/LLM Credential] Nested LLM canonical container path·policy identity 구현 #581, [Security][Infra/Workflow] 프로덕션 HTTPS 경계 및 외부 HTTP 호출 정책 정리 #290

구현 범위

• Session/Turn/Entry/Summary/Dependency/Context plan·lease·provider attempt의 bounded physical purge
• logical delete 직후 runtime/provider 접근 차단과 legal-hold compliance 격리
• backup/export 삭제 또는 승인된 irreversible crypto-erasure marker
• purge claim generation, retry, dead-letter, terminal 상태와 safe operator alert
• storage generation migration, compatibility read와 rollback-safe writer fence
• task contract/minimum capability가 고정된 versioned queue와 전용 Worker pool
• Gateway/Worker mixed-version admission, drain, rollback과 startup readiness
• 기존 dormant Public grant/idempotency/replay row의 보존·만료·cleanup 정책
• production activation preflight와 nodease/mbased#524이 소비할 capability/remove gate

TDD 및 검증

• 모든 content-bearing record와 cache/export의 누락 없는 purge
• tenant/session composite scope와 다른 organization record 삭제 방지
• concurrent cleanup의 SKIP LOCKED quota, retry와 fencing
• legal hold가 runtime 접근을 복원하지 않고 hold 해제 후 실제 erasure로 수렴
• mixed old/new Gateway·Worker에서 unsupported task의 외부 I/O 전 차단
• migration upgrade/downgrade, partial deploy, drain과 rollback drill
• stale generation writer와 queue consumer 차단
• Public client-held route가 dormant lifecycle/table에 연결되지 않는 architecture test

완료 기준

• authenticated internal durable Memory의 모든 content record에 physical erasure 경로가 있다.
• storage generation과 Worker capability가 deployment/session/task에 고정된다.
• 실제 rollout/rollback drill과 readiness evidence가 완료된다.
• nodease/mbased#524이 global toggle 제거와 UI cutover를 시작할 수 있는 server capability가 제공된다.

비범위

• Summary/provenance/provider usage 기능 자체: [BE/Security][Memory] Authenticated Summary·Knowledge provenance·usage capability 연동 #522
• Node별 Memory UI, transcript control과 global toggle 제거: [FE/QA][Memory] Node별 Memory UI·E2E·global toggle cutover #524
• 별도 execution journal: [BE][Observability/Memory] Authenticated Conversation execution journal 및 운영 projection #648
• Public Session/Access Grant/lifecycle 재활성화

[linear-code]

MBA-320